GET /v1/encryption-configuration. Configurações gerenciadas pelo cliente retornam encryption_type: kms e kms_key como referência com ID, CRN e nome. Uma chave excluída mantém ID e CRN, sem nome; a vinculação nunca muda silenciosamente para criptografia da plataforma.
Substitua a configuração com PUT /v1/encryption-configuration:
kms_key aceita UUID, nome na conta ou CRN. O serviço verifica se a chave consegue proteger uma chave de camada antes de salvar. Para criptografia da plataforma, use {"encryption_type":"platform_managed"} e omita kms_key.
A alteração afeta novas camadas armazenadas. Camadas existentes mantêm a chave original, inclusive quando reutilizadas por deduplicação em outro push. Mantenha as chaves antigas disponíveis enquanto suas camadas forem necessárias. Desativar ou excluir uma chave antiga pode tornar essas imagens ilegíveis.
Excluir a configuração exige que a conta não tenha dados retidos no Registry. Consulte /v1/encryption-configuration/retained-data ao desativar o armazenamento. Alterações exigem registry:PutEncryptionConfiguration; leituras exigem registry:GetEncryptionConfiguration.