Chave por tenant (BYOK)
Tela do super admin para BYOK (Bring Your Own Key): por tenant, o status da chave própria de criptografia e as ações de definir, rotacionar e desativar. A chave do tenant é guardada cifrada pela chave da plataforma (envelope encryption), nunca em claro; ela vale para os dados novos do tenant a part…
O que você encontra nesta tela
Um retrato da tela, lido dela mesma — muda quando a tela muda.
Ações disponíveis
DesativarReativarSimNãoSalvar
A lista mostra
TenantStatusAlgoritmoDefinida emRotacionada emAções
Campos do cadastro
Chave Cifrada
Algoritmo
Ativa
Dh Definicao
Dh Rotacao
Comece aqui
O que é BYOK e quando usar
BYOK (Bring Your Own Key) é o tenant ter a própria chave de criptografia em vez de compartilhar a da plataforma. A chave dele é guardada CIFRADA pela chave-mestra (envelope encryption) — nunca em claro, nunca exibida de volta. Use quando um cliente exige chave própria por contrato ou compliance; para todos os demais, a chave da plataforma continua sendo o padrão e nada muda.
O que é esta tela
Tela do super admin para BYOK (Bring Your Own Key): por tenant, o status da chave própria de criptografia e as ações de definir, rotacionar e desativar. A chave do tenant é guardada cifrada pela chave da plataforma (envelope encryption), nunca em claro; ela vale para os dados novos do tenant a partir da definição. Sem chave própria ativa, o sistema usa a chave da plataforma, como hoje.
Como fazer
Definir e Rotacionar
O botão abre o diálogo da chave: digite o segredo do tenant — recomendado Base64 de 32 bytes (AES-256). Ao salvar, ele é cifrado pela chave-mestra e some da tela para sempre. Rotacionar é o mesmo gesto: define uma chave nova por cima, e a coluna "Rotacionada em" registra quando.
Desativar e Reativar
Desativar mantém a chave guardada mas volta o tenant para a chave da plataforma (status amarelo "inativa"). Reativar retoma a chave própria. Nenhum dos dois apaga nada — é um interruptor por tenant, com confirmação antes de desativar.
Regras
O interruptor global vem antes da chave
O parâmetro SEGURANCA.BYOK_ATIVO liga o mecanismo inteiro. Com ele DESLIGADO, definir chave aqui não tem efeito nenhum: o sistema segue na chave da plataforma, e a tela avisa em vermelho. Primeiro o interruptor nos Parâmetros da plataforma, depois a chave do tenant.
Trocar a chave NÃO recifra o acervo antigo
A chave nova vale para os dados NOVOS a partir dali. O que já estava gravado continua cifrado como estava — a re-cifragem do acervo é um processo separado, que não acontece nesta tela. Rotacionar aqui e considerar o acervo trocado é a pegadinha clássica do BYOK.
Perguntas frequentes
O que significa cada status
Verde "ativa" = tenant cifrando dados novos com a própria chave. Amarelo "inativa" = tem chave guardada, mas está usando a da plataforma. Cinza "sem chave" = nunca definiu — o estado normal da maioria dos tenants.
Que pergunta esta tela responde
Cada tenant pode usar a própria chave de criptografia — e qual o status por conta? A tela do super admin lista, por tenant, a situação da chave própria (BYOK) e as ações de definir, rotacionar e desativar. A chave do tenant é guardada cifrada pela chave da plataforma (envelope encryption), nunca em claro, e vale para os dados NOVOS a partir da definição — trocar a chave não recifra o acervo antigo. Sem chave própria ativa, o tenant segue usando a chave da plataforma, como sempre foi.
Este artigo foi útil?
No mesmo módulo: Confiança e conformidade1
Academia Tenka
Conhecer a AcademiaTrilhas de aprendizado do seu ramo, passo a passo, dentro da plataforma.