Estados da versão da chave

Uma versão principal tem um estado:

  • Geração pendente (PENDING_GENERATION): (Aplica-se apenas a chaves assimétricas.) Esta versão da chave ainda está a ser gerada. Ainda não pode ser usado, ativado, desativado nem destruído. O Cloud Key Management Service altera automaticamente o estado para ativado assim que a versão estiver pronta.

  • Importação pendente (PENDING_IMPORT): (Aplica-se apenas a chaves importadas.) Esta versão da chave ainda está a ser importada. Ainda não pode ser usado, ativado, desativado nem destruído. O Cloud Key Management Service altera automaticamente o estado para ativado assim que a versão estiver pronta.

  • Ativada (ENABLED): a versão da chave está pronta para utilização.

  • Desativada (DISABLED): esta versão da chave não pode ser usada, mas o material da chave continua disponível e a versão pode ser reativada.

  • Agendada para destruição (DESTROY_SCHEDULED): esta versão da chave está agendada para destruição e vai ser destruída em breve. Enquanto uma versão da chave estiver neste estado, não pode ser usada para operações criptográficas, e os pedidos para usar a chave falham. A versão da chave pode ser restaurada para o estado desativado dentro do período de destruição agendado. Este estado corresponde à Fase 2: eliminação temporária no pipeline de eliminação de dados.

  • Destruída (DESTROYED): esta versão da chave foi destruída e o material da chave já não está armazenado no Cloud KMS. Se a versão da chave foi usada para encriptação assimétrica ou simétrica, não é possível recuperar nenhum texto cifrado encriptado com esta versão. Se a versão da chave tiver sido usada para a assinatura digital, não é possível criar novas assinaturas. Além disso, para todas as versões de chaves assimétricas, a chave pública já não está disponível para transferência. Uma versão da chave não pode sair do estado destruído depois de entrar, exceto quando é reimportada. Este estado corresponde à etapa 3: eliminação lógica dos sistemas ativos no pipeline de eliminação de dados, o que significa que o material da chave é eliminado de todos os sistemas ativos do Cloud KMS. Demora 45 dias a partir do momento da destruição para que o material da chave seja eliminado de todos os sistemas ativos e de cópia de segurança da Google. Consulte a linha cronológica de eliminação do Cloud KMS para mais informações.

  • Falha na importação (IMPORT_FAILED): não foi possível importar esta versão da chave. Consulte o artigo Resolução de problemas de importações com falhas para ver informações adicionais acerca das condições que causam falhas de importação.

Alterar os estados de uma versão da chave

Segue-se a descrição de como uma versão principal pode alterar os estados:

  • Quando é criada uma versão de chave para uma chave assimétrica, começa com um estado de geração pendente. Quando o Cloud KMS termina de gerar a versão da chave, o respetivo estado muda automaticamente para ativado.

  • Quando é criada uma versão principal de uma chave simétrica, começa com o estado ativado.

  • Uma versão da chave pode passar de ativada para desativada e de desativada para ativada através de UpdateCryptoKeyVersion e interfaces para este método. Para ver exemplos, consulte o artigo Ativar e desativar versões de chaves.

  • Uma versão da chave ativada ou desativada pode ser agendada para destruição através de DestroyCryptoKeyVersion e interfaces para este método. Para ver exemplos, consulte o artigo Agende uma versão da chave para destruição.

  • Uma versão da chave agendada para destruição pode ser revertida para desativada através de RestoreCryptoKeyVersion e interfaces para este método. Para ver exemplos, consulte o artigo Restaure uma versão de chave.

O diagrama seguinte mostra os estados permitidos para uma versão da chave.

Estados da versão da chave

Tenha em atenção que apenas as versões de chaves assimétricas começam no estado de geração pendente. As versões das chaves simétricas começam no estado ativado.

Impacto do estado da versão da chave nas operações criptográficas

O impacto do estado da versão da chave nas operações criptográficas depende de a chave ser usada para:

  • Encriptação simétrica
  • Encriptação assimétrica ou assinatura digital

Encriptação simétrica

Cada chave de encriptação simétrica tem uma versão principal designada que é usada nesse momento para encriptar dados. Para que uma chave esteja disponível para utilização na encriptação de dados, tem de ter uma versão da chave principal ativada.

Quando uma chave é usada para encriptar texto simples, a respetiva versão da chave principal é usada para encriptar esses dados. As informações sobre a versão usada para encriptar os dados são armazenadas no texto cifrado dos dados. Apenas uma versão de uma chave pode ser principal num determinado momento.

Se a versão da chave principal estiver desativada, essa versão da chave não pode ser usada para encriptar dados. Tenha em atenção que uma versão da chave principal ativada pode ser desativada, agendada para destruição ou destruída, e uma versão que não esteja ativada pode ser definida como a versão principal.

A versão da chave que é principal não afeta a capacidade de desencriptar dados. Pode usar uma versão de chave para desencriptar dados desde que esteja ativada.

Encriptação assimétrica ou assinatura digital

Sempre que uma chave assimétrica é usada para encriptação ou assinatura digital, tem de ser especificada uma versão da chave. Para que a versão da chave esteja disponível para encriptação assimétrica ou assinatura digital, tem de estar ativada. Só pode obter a chave pública de uma versão da chave se a versão da chave estiver ativada.

Duração variável do estado agendado para destruição

Por predefinição, as chaves no Cloud KMS permanecem 30 dias no estado Agendado para destruição (eliminado temporariamente) antes de o material da chave ser eliminado logicamente do sistema. Esta duração pode ser configurada, com as seguintes ressalvas:

  • A duração só é configurável durante a criação da chave.
  • Depois de especificada, não é possível alterar a duração da chave.
  • A duração aplica-se a todas as versões da chave criadas no futuro.
  • A duração mínima é de 24 horas para todas as chaves, exceto para as chaves apenas de importação, que têm uma duração mínima de 0.
  • A duração máxima é de 120 dias.

O valor é configurado através do campo destroy_scheduled_duration de CryptoKey no CreateCryptoKeyRequest.

Recomendamos que use a duração predefinida de 30 dias para todas as chaves, a menos que tenha requisitos regulamentares ou de aplicação específicos que exijam um valor diferente.