Añadir y gestionar servicios de claves para el cifrado por parte del cliente

Si añades más de un servicio de claves a la consola de administración, uno de ellos debe ser el repuesto de otro servicio.

Si quieres migrar contenido cifrado a un nuevo servicio de claves, es decir, volver a cifrar el contenido que se ha cifrado con tu servicio actual, debes hacer que este sea el repuesto de tu nuevo servicio. Como el servicio de claves de repuesto cifra el mismo contenido que el servicio principal, el de repuesto asegura que el contenido siga estando disponible si surge algún problema durante su migración. Para obtener más información sobre la migración, consulta el artículo Migrar contenido cifrado a un nuevo servicio de claves.

Importante: Solo puedes tener un único servicio de claves si usas un servicio de claves de repuesto.

Si añades un servicio de claves nuevo y haces que tu servicio actual pase a ser el de respuesto mediante la consola de administración, solo el servicio de repuesto cifrará los correos, no el nuevo servicio de claves. Si quieres cambiar de servicio de claves para Gmail, tendrás que usar la API de Gmail para subir nuevos certificados y los metadatos de las claves privadas encapsuladas por el nuevo servicio. Para obtener más información sobre cómo cambiar a otro servicio de claves para Gmail, consulta el artículo Cambiar a otro servicio de claves para el CLC de Gmail.

Para hacer esta tarea, tienes que haber iniciado sesión como superadministrador.

1. Inicia sesión en la consola de administración de Google.

   Inicia sesión con una cuenta que tenga privilegios de superadministrador (y que no termine en @gmail.com).

2. En la consola de administración, ve a Menú  SeguridadAcceso y control de datosCifrado por parte del cliente.
3. En Cifrado con servicio de claves externo, realiza una de las siguientes acciones:
   • Si es el primer servicio de claves que vas a añadir, haz clic en Añadir servicio de claves externo.
   • Si quieres añadir otro servicio de claves, haz clic en Añadir.
4. Introduce la siguiente información del servicio de claves con el que te hayas registrado (o que hayas creado con la API de CLC):

   Nombre: introduce el nombre que quieras. Este nombre será el que aparezca en algunos mensajes enviados a los usuarios si Google Workspace no puede acceder al servicio de claves externo. Así, sabrán que el problema está en el servicio de cifrado y no en el servicio de Google que usan.

   URL: tu servicio de claves te proporciona esta URL. Antes de introducir la URL, comprueba que se puede acceder a ella desde Internet.

5. Si has añadido un segundo servicio de claves, haz clic en Seleccionar clave de repuesto y selecciona un servicio de claves de repuesto disponible. De este modo, puedes migrar contenido cifrado al nuevo servicio de claves.

   Para obtener más información sobre cómo migrar contenido a un nuevo servicio de claves, consulta el artículo Asignar servicios de claves para el cifrado del lado del cliente.

6. Si ya tienes al menos dos servicios de claves y has añadido otro, elige si quieres añadir el nuevo servicio de claves sin repuesto. Para obtener más información sobre las opciones disponibles, consulta la sección Añadir un servicio de claves nuevo cuando otro servicio tiene un repuesto, incluida más abajo.

   Si quieres cerrar el cuadro de diálogo Añadir servicio de claves externo sin elegir una opción, haz clic en Cancelar.

7. Para asegurarte de que Google Workspace puede comunicarse con el servicio de claves externo, haz clic en Probar conexión.
8. Si la conexión se establece correctamente, en la esquina inferior derecha de la página, haz clic en Añadir o Añadir servicio.

Si es el primer servicio de claves que has añadido:

• Aparecerá un mensaje para recordarte que debes asignar un servicio de claves predeterminado a la unidad organizativa de nivel superior. Puedes hacerlo en cualquier momento para asegurarte de que el cifrado esté disponible para todos los usuarios que necesiten cifrar o descifrar contenido. Consulta más información en el artículo Asignar el servicio de claves predeterminado a una organización.
• Asegúrate de conectar Google Workspace con tu proveedor de identidades (IdP) para el cifrado por parte del cliente.

Si ya has añadido al menos dos servicios de claves a la consola de administración, uno de ellos es el repuesto del otro. Si añades otro servicio de claves, no podrás elegir un servicio de repuesto para él, ya que un servicio de claves solo puede tener un repuesto al mismo tiempo. Por tanto, a la hora de añadir el nuevo servicio de claves, deberás elegir una opción, según cómo quieras usarlo.

Para pasar de utilizar un servicio de claves a otro nuevo 

Cuando añadas un nuevo servicio de claves, selecciona la opción Eliminar el repuesto de servicio de claves y, a continuación, haz clic en Eliminar repuesto.

Ahora puedes añadir el nuevo servicio de claves y elegir otro de repuesto. Después, podrás migrar el contenido cifrado al nuevo servicio de claves. Consulta más información en el artículo Migrar contenido cifrado a un nuevo servicio de claves.

Recomendación: Elige esta opción solo si el servicio de claves actual no tiene problemas con el cifrado del contenido. Además, si el servicio de claves de repuesto se utiliza para migrar contenido a tu servicio principal actual, asegúrate de que se ha completado la migración. Cuando quites el repuesto, la migración se detendrá de inmediato. Consulta más información en el artículo Migrar contenido cifrado a un nuevo servicio de claves.

Para usar el nuevo servicio de claves sin migrar datos cifrados 

Cuando añadas un servicio de claves nuevo, selecciona la opción Añadir servicio de claves sin repuesto y, a continuación, haz clic en Añadir servicio.

Recomendación: Elige esta opción solo si quieres utilizar este servicio de claves en una unidad organizativa o en un grupo que aún no tenga contenido cifrado por otro servicio de claves. Si el contenido ya está cifrado, deberás conservar el servicio de claves actual para asegurarte de que se pueda acceder al contenido cifrado.

Para hacer esta tarea, tienes que haber iniciado sesión como superadministrador.

1. Inicia sesión en la consola de administración de Google.

   Inicia sesión con una cuenta que tenga privilegios de superadministrador (y que no termine en @gmail.com).

2. En la consola de administración, ve a Menú  SeguridadAcceso y control de datosCifrado por parte del cliente.
3. En Servicio de claves externo, haz clic en el nombre del servicio de claves que quieras editar.
4. Cambia el nombre del servicio de claves.
5. Haz clic en Continuar.

Para hacer esta tarea, tienes que haber iniciado sesión como superadministrador.

Si tus usuarios tienen problemas para acceder a contenido cifrado con un servicio de claves, solicita una nueva URL de cifrado al servicio de claves. A continuación, sustituye la URL anterior por la nueva en la consola de administración para que los usuarios puedan recuperar su contenido.

Si los usuarios no pueden cifrar nuevo contenido con un servicio de claves, puedes probar a asignar otro servicio a las organizaciones o los grupos que tengan problemas.

Para cambiar la URL de un servicio de claves, sigue estos pasos:

1. Inicia sesión en la consola de administración de Google.

   Inicia sesión con una cuenta que tenga privilegios de superadministrador (y que no termine en @gmail.com).

2. En la consola de administración, ve a Menú  SeguridadAcceso y control de datosCifrado por parte del cliente.
3. En Servicio de claves externo, haz clic en el nombre del servicio cuya URL quieres cambiar.
4. Haz clic en ¿Tienes problemas?Añadir una nueva URL.
5. Para asegurarte de que Google Workspace puede comunicarse con el servicio de claves externo, haz clic en Probar conexión.
6. Si la conexión se establece correctamente, en la esquina inferior derecha de la página, haz clic en Continuar.

Puedes inhabilitar un servicio de claves si tiene asignado un servicio de claves de repuesto. Por ejemplo, puedes inhabilitar un servicio de claves y utilizar su repuesto si los usuarios tienen problemas para acceder al contenido cifrado o para cifrar contenido nuevo. Como el servicio de claves que quieres inhabilitar tiene un repuesto, se podrá seguir accediendo al contenido cifrado por parte del cliente.

Para inhabilitar un servicio de claves y usar su repuesto en su lugar, sigue estos pasos:

1. Inicia sesión en la consola de administración de Google.

   Inicia sesión con una cuenta que tenga privilegios de superadministrador (y que no termine en @gmail.com).

2. En la consola de administración, ve a Menú  SeguridadAcceso y control de datosCifrado por parte del cliente.
3. En Servicio de claves externo, haz clic en el nombre del servicio de claves cuyo repuesto quieras eliminar.
4. Haz clic en Inhabilitar y usar repuesto.
5. Marca las casillas situadas bajo la opción Al inhabilitarlo, entiendo lo siguiente.
6. Haz clic en Inhabilitar y usar repuesto.

Es posible que haya un problema con la clave que se utiliza para descifrar contenido. Ponte en contacto con el servicio de claves para solicitar una URL nueva. Para obtener más información sobre cómo cambiar la URL de un servicio de claves, consulta la sección Cambiar la URL de un servicio de claves, incluida más arriba.

Si el servicio de claves tiene un servicio de repuesto, prueba a usar el repuesto en su lugar. Para obtener más información, consulta la sección Inhabilitar un servicio de claves que tiene repuesto, incluida más arriba.