Use a KMS instance across accounts - Key Management Service - Centro de documentación de Alibaba Cloud

En un entorno empresarial, gestionar las claves de forma independiente en cada cuenta incrementa los costos administrativos y dificulta aplicar políticas de seguridad consistentes. La función para compartir entre varias cuentas de las instancias de KMS permite a una empresa distribuir de manera segura una sola instancia de KMS a varias cuentas miembro de la organización. De este modo, se logra una gestión unificada de claves y se optimizan los costos.

Flujo de trabajo

La opción de compartir entre cuentas se basa en dos servicios de Alibaba Cloud: Resource Directory y Resource Sharing. El flujo de trabajo es el siguiente:

Configurar una organización: use Resource Directory para agrupar todas las cuentas relevantes de Alibaba Cloud como miembros dentro de una sola organización.
Resource Sharing: el propietario de la instancia crea un recurso compartido mediante Resource Sharing, agrega instancias de KMS como recursos compartidos y especifica otros miembros de Resource Directory como entidades principales del recurso.
Otorgar permisos:
- Política de permisos: al crear el recurso compartido, el propietario de la instancia configura una política de permisos predefinida (AliyunRSDefaultPermissionKMSInstance). Resource Sharing aplica esta política a las entidades principales del recurso especificadas.
- Modo de uso compartido: los modos “Independent Ownership” y “Joint Ownership” están disponibles para controlar cómo se dividen los permisos de los recursos (claves y secretos) dentro de la instancia de KMS.
- Usuarios de RAM: las entidades principales del recurso deben adjuntar políticas de RAM con permisos de operación específicos (como kms:Encrypt y kms:Decrypt) a sus identidades de RAM (usuarios o roles de RAM).

Escenario de ejemplo: el departamento A de una empresa compra una instancia de KMS. Si el departamento B también necesita usarla, la empresa puede utilizar Resource Directory para gestionar de forma centralizada las cuentas de Alibaba Cloud y luego emplear Resource Sharing para compartir la instancia de KMS con el departamento B. En la siguiente figura se muestra la arquitectura. Multi-account sharing architecture

Ámbito de aplicación

Requisitos de la instancia:

Una instancia de gestión de claves de software o de hardware habilitada.
Requisitos de cuenta y organización:
- El propietario de la instancia y las entidades principales de la instancia deben contar con la misma verificación de nombre real empresarial.
- El propietario de la instancia y las entidades principales de la instancia deben pertenecer al mismo Resource Directory.

Guía para elegir el modo de uso compartido

Para conocer las diferencias detalladas de permisos entre ambos modos, consulte Appendix: Sharing mode permission details.

Función	Independent ownership	Joint ownership
Caso de uso	Secretos entre cuentas con el mismo nombre o aislamiento de permisos entre cuentas.	Colaboración interna donde un equipo central (como TI o seguridad) gestiona y audita todas las claves y secretos.
Función principal	Soberanía de datos independiente: el propietario de la instancia no puede gestionar ni usar las claves y secretos creados por los usuarios de la instancia.	Soberanía de datos compartida: el propietario de la instancia puede gestionar y usar las claves y secretos creados por los usuarios de la instancia.
Secretos con el mismo nombre entre cuentas	Permitido. Los usuarios de la instancia y el propietario pueden crear secretos con el mismo nombre.	No permitido. Todos los nombres de claves y secretos dentro de la instancia deben ser únicos.
Cambio de modelo	No se puede cambiar a Joint Ownership.	Se puede cambiar a Independent Ownership.

Procedimiento

Configurar el uso compartido (propietario de la instancia)

Paso 1: Configurar Resource Directory y habilitar el uso compartido de la organización

Habilitar Resource Directory:

Iniciar sesión en la consola

Use la cuenta de administración para iniciar sesión en la consola de Resource Management.
Habilitar Resource Directory

En el panel de navegación izquierdo, elija Resource Directory > Enable Resource Directory y haga clic en Enable Resource Directory. Para obtener más información, consulte Enable Resource Directory.
Crear una carpeta

Vaya a Management en la esquina superior derecha. En el árbol del directorio de recursos de la izquierda, haga clic en la carpeta de destino y después, en la pestaña Resource Organization View. En el árbol del directorio de recursos de la izquierda, haga clic en la carpeta de destino y luego, en la pestaña Member, haga clic en Create Folder. Introduzca el Folder Name y luego haga clic en Confirm. Para obtener más información, consulte Create a folder.

Configurar miembros

En la pestaña Member, haga clic en Create Member Account o en Invite Member. Consulte Create a member, Invite an Alibaba Cloud account y Move a member para configurar el nombre de la cuenta, el UID de la cuenta y la cuenta de facturación.

Invite Member

Parámetro	Descripción
Account ID or logon email address	ID de cuenta: para buscar un ID de cuenta, consulte How do I find my Alibaba Cloud account ID?. Dirección de correo electrónico de inicio de sesión: la dirección que utilizó para registrar la cuenta. Si una cuenta no tiene correo de inicio de sesión, use su ID de cuenta. Para invitar a varias cuentas, introduzca sus ID de cuenta o direcciones de correo electrónico de inicio de sesión separados por comas.
Remarks	Introduzca un comentario para la invitación. Esto ayuda al invitado a comprobar la autenticidad de la invitación y responder más rápido.
Tag	Agregue una etiqueta al miembro para facilitar el filtrado y la gestión.
Parent Folder	De forma predeterminada, el miembro invitado se coloca en la carpeta Root. Puede hacer clic en Modify para moverlo a otra carpeta. También puede cambiar la carpeta después de que el miembro acepte la invitación.

Create Member Account

Parámetro	Descripción
Account Name	El nombre de la cuenta de Alibaba Cloud es un identificador único para un miembro y debe ser exclusivo dentro de Resource Directory. El nombre de la cuenta de Alibaba Cloud debe tener entre 2 y 50 caracteres. Puede contener letras, dígitos y los caracteres especiales`_.-`. Debe comenzar y terminar con una letra o un dígito, y no puede contener caracteres especiales consecutivos`_.-`.
Member Account Name	El nombre para mostrar debe tener entre 2 y 50 caracteres. Puede contener caracteres chinos, letras, dígitos y los caracteres especiales`_.-`.
Billing Account	Especifique la cuenta de facturación para el nuevo miembro. Use Management Account for Settlement of New Member: usa la cuenta de administración del directorio de recursos como cuenta de facturación bajo administración financiera delegada. Use Existing Member for Settlement of New Member: usa un miembro existente del directorio de recursos como cuenta de facturación bajo administración financiera delegada. En el panel Specify Member, debe seleccionar un miembro del árbol del directorio de recursos. Nota No es posible seleccionar un miembro si no tiene capacidades de pago. Para obtener más información sobre las capacidades de pago de los miembros, consulte Financial Trusteeship. Use New Member Itself for Settlement: utiliza el propio miembro como su cuenta de facturación.
Tags	Vincule etiquetas al miembro para gestionarlo con base en etiquetas.
Parent Folder	De forma predeterminada, la cuenta invitada se coloca en la carpeta raíz. Puede hacer clic en Modify para cambiar la carpeta. También puede modificarla después de que se acepte la invitación.

Habilitar Resource Sharing

Después de habilitar Resource Sharing, el propietario del recurso (cuenta de administración o miembro) puede compartir recursos con todo el directorio de recursos, con carpetas o con miembros. Para obtener más información, consulte Enable resource sharing.
1. Use la cuenta de administración del directorio de recursos para iniciar sesión en la consola de Resource Sharing. En el panel de navegación izquierdo, elija Resource Sharing > Configure.
2. Haga clic en Enable y luego, en el cuadro de diálogo Service-linked Role for Resource Sharing, haga clic en OK.
  
  Nota
  El sistema crea automáticamente un rol vinculado al servicio llamado AliyunServiceRoleForResourceSharing para obtener la información de organización del directorio de recursos. Para obtener más información, consulte Service-linked role for Resource Sharing.

Paso 2: Configurar el uso compartido de la instancia de KMS

Este paso guía al propietario de la instancia para compartir una instancia de KMS con una o más entidades principales.

Iniciar sesión en la consola

Inicie sesión en la consola de Key Management Service. En la barra de menú superior, seleccione una región. En el panel de navegación izquierdo, haga clic en Instances.
Seleccionar un modo de uso compartido

En la página Instances, busque la instancia de KMS de destino y haga clic en Share Resources en la columna Actions. En el panel RD Multi-account Sharing Settings, seleccione primero Sharing mode selection guide para elegir un Sharing Model.

Configurar el recurso compartido

En el área Add to Resource Share, seleccione o cree un recurso compartido.

Elemento	Crear un recurso compartido (recomendado)	Seleccionar un recurso compartido existente
Escenario	Ideal cuando se comparte por primera vez o se requiere aislamiento de permisos.	Útil cuando necesita agregar la instancia actual a un recurso compartido existente y reutilizar sus entidades principales y permisos.
Características	Aislamiento de permisos: contiene solo la instancia de KMS actual con permisos independientes. Alcance del control: solo las cuentas recién agregadas pueden acceder a la instancia compartida.	Uso compartido de permisos: Todas las entidades principales existentes en el recurso compartido obtienen acceso automático a la nueva instancia, lo que consume cuota de gestión de acceso. Cualquier cambio de permisos en el recurso compartido afecta a todos los recursos que contiene. Alcance del control: tanto las entidades principales existentes como las cuentas recién agregadas pueden acceder a la instancia compartida. Aviso Esto podría provocar una elevación de permisos no deseada y consumo de cuota. Proceda con precaución.

Configurar los parámetros de uso compartido

Complete la configuración a continuación según el método seleccionado y luego haga clic en OK.
Crear un recurso compartido (recomendado)
- Resource Share Name
  
  Admite caracteres chinos, letras mayúsculas y minúsculas, dígitos y caracteres especiales (".", "_" o "-"). Longitud máxima: 50 caracteres.
- Principals (entidades principales de la instancia)
  
  Especifique las cuentas que pueden usar esta instancia de KMS.
  Importante
  
  Se recomienda agregar recursos por carpeta o cuenta de nube para lograr un control detallado. Cada adición consume cuota de gestión de acceso de la instancia.
  
  Si agrega o elimina entidades principales en un recurso compartido existente, los cambios surten efecto en todos los recursos de la unidad.
  Puede agregar los tres tipos de entidades principales que se muestran a continuación:
  - Cuenta de nube: el recurso se comparte únicamente con la cuenta de Alibaba Cloud (UID) especificada.
  - Organización del directorio de recursos: comparte el recurso con todas las cuentas miembro de todo el directorio de recursos, incluidos los miembros que se agreguen después.
  - Carpeta (unidad organizativa): introduzca un ID de carpeta para compartir el recurso con todos los miembros de esa carpeta, incluidos los que se agreguen después. Formato del ID de carpeta: fd-string. Para obtener más información sobre cómo consultar la información de las carpetas, consulte Folder basic information.
- Add Permissions
  
  Configure los permisos para las entidades principales del recurso (entidades principales de la instancia). Para obtener información detallada sobre los permisos, consulte la biblioteca de permisos en la consola de Resource Sharing.
  - AliyunRSDefaultPermissionKMSInstance (recomendado): hay dos versiones disponibles (v1 y v2). Los permisos recién creados usan v2 de forma predeterminada. Para obtener más información sobre cómo consultar la versión del permiso, consulte View the details of a permission.
  - AliyunRSPermissionKMSInstanceReadWrite (obsoleto): si ya usaba este permiso, puede seguir utilizándolo.
Seleccionar un recurso compartido existente
- Select Resource Share
  
  El sistema sincroniza todos los recursos compartidos de la cuenta actual. Para obtener más información, consulte Create a resource share.
- Shared Resources
  
  Esta lista muestra automáticamente los recursos existentes en el recurso compartido seleccionado (solo lectura). Después de esta operación, la instancia de KMS actual se agrega al recurso compartido.
- Principals (entidades principales de la instancia)
  
  Especifique las cuentas que pueden usar esta instancia de KMS.
  Importante
  
  Se recomienda agregar recursos por carpeta o cuenta de nube para lograr un control detallado. Cada adición consume cuota de gestión de acceso de la instancia.
  
  Si agrega o elimina entidades principales en un recurso compartido existente, los cambios surten efecto en todos los recursos de la unidad.
  Puede agregar los tres tipos de entidades principales que se muestran a continuación:
  - Cuenta de nube: el recurso se comparte únicamente con la cuenta de Alibaba Cloud (UID) especificada.
  - Organización del directorio de recursos: comparte el recurso con todas las cuentas miembro de todo el directorio de recursos, incluidos los miembros que se agreguen después.
  - Carpeta (unidad organizativa): introduzca un ID de carpeta para compartir el recurso con todos los miembros de esa carpeta, incluidos los que se agreguen después. Formato del ID de carpeta: fd-string. Para obtener más información sobre cómo consultar la información de las carpetas, consulte Folder basic information.
- Add Permissions
  
  Configure los permisos para las entidades principales del recurso (entidades principales de la instancia). Para obtener información detallada sobre los permisos, consulte la biblioteca de permisos en la consola de Resource Sharing.
  - AliyunRSDefaultPermissionKMSInstance (recomendado): hay dos versiones disponibles (v1 y v2). Los permisos recién creados usan v2 de forma predeterminada. Para obtener más información sobre cómo consultar la versión del permiso, consulte View the details of a permission.
  - AliyunRSPermissionKMSInstanceReadWrite (obsoleto): si ya usaba este permiso, puede seguir utilizándolo.

Usar la instancia compartida (entidad principal de la instancia)

Compruebe que el uso compartido fue exitoso y luego cree y utilice claves o secretos en la instancia compartida.

Iniciar sesión en la consola

Inicie sesión en la consola de Key Management Service. En la página Instances, verá una instancia de KMS con la etiqueta Shared.
Crear claves y secretos

En la pestaña Keys o Secrets, haga clic en Create Key o en Create Secret. En KMS Instance, seleccione la instancia compartida. Para el resto de la configuración, consulte Create a key y Create a secret.
Otorgar permisos a los usuarios de RAM:

La entidad principal del recurso debe configurar una política de RAM para sus identidades de RAM (usuarios o roles) y así otorgar permisos para llamar a operaciones específicas de la API de KMS (como kms:Encrypt y kms:Decrypt). Para obtener más información, consulte Use RAM to implement access control.
Usar claves y secretos

Una vez creadas las claves y los secretos, puede utilizarlos en servicios de la nube o en aplicaciones autoadministradas. Para obtener más información, consulte:
- Cifrado del lado del servidor para servicios de la nube: Overview of KMS encryption integration with cloud services y Cloud services integrated with KMS.
- Integración de secretos con servicios de la nube: Integrating KMS secrets with Alibaba Cloud services.
- Integración de aplicaciones autoadministradas con KMS (claves y secretos): Integrate KMS with self-managed applications.

Gestión y mantenimiento

Modificar las entidades principales de un recurso compartido

Operaciones en la consola de Key Management Service
1. El propietario de la instancia debe iniciar sesión en la consola de Key Management Service. En la barra de menú superior, seleccione una región. En el panel de navegación izquierdo, haga clic en Instances.
2. En la página Instances, según el tipo de instancia de KMS, haga clic en la pestaña Software Key Management o en la pestaña Hardware Key Management.
3. Busque la instancia de KMS de destino y haga clic en Actions/Share Resources.
4. En el panel Add to Resource Share, seleccione el recurso compartido, haga clic en Principals en la sección Edit, agregue o elimine entidades principales del recurso y luego haga clic en OK.
Operaciones en la consola de Resource Sharing

Para obtener más información, consulte Modify a resource share.

Eliminar las relaciones de uso compartido de una instancia de KMS

Importante

Antes de revocar el uso compartido, la entidad principal de la instancia debe eliminar todas las claves y secretos que haya creado. De lo contrario, la revocación fallará. Compruebe que los recursos asociados ya no estén en uso para evitar interrupciones del servicio.
Las operaciones solo se pueden realizar en la consola de Resource Sharing.

Use la cuenta de administración para iniciar sesión en la consola de Resource Sharing.
En el panel de navegación izquierdo, elija Resource Sharing > Resources I Share.En la lista de recursos compartidos, haga clic en el ID del recurso compartido de destino.
En la esquina superior derecha de la página, haga clic en Delete Resource Share.En el cuadro de diálogo Delete Resource Share, haga clic en OK.

Consultar los registros de operaciones

El propietario de la instancia puede usar ActionTrail o la consola de KMS para consultar los registros de operaciones de claves y secretos de la instancia de KMS compartida con fines de auditoría.

Importante

Solo puede consultar los registros de operaciones de Alibaba Cloud SDK (como cifrado, descifrado y recuperación de secretos). No es posible consultar las operaciones de Management (como la creación de claves o la modificación de su estado).

ActionTrail

Alcance: solo puede consultar las operaciones de negocio realizadas a través de puertas de enlace compartidas.
Procedimiento:
1. Inicie sesión en la consola de ActionTrail. En el panel de navegación izquierdo, elija Event Query.
2. En la barra de navegación superior, seleccione la región donde se despliega la instancia de KMS compartida.
3. Establezca la condición de consulta en Resource Name e introduzca el ID de la clave o del secreto creado en la instancia compartida.

Simple Log Service for KMS

Alcance: admite la consulta de operaciones de negocio realizadas a través de puertas de enlace dedicadas y puertas de enlace compartidas.
Procedimiento:
1. Inicie sesión en la consola de Key Management Service. En la barra de navegación superior, seleccione una región. En el panel de navegación izquierdo, elija Security Operations > Simple Log Service for KMS.
2. En la barra de navegación superior, seleccione la región donde se despliega la instancia de KMS compartida.
3. Seleccione el ID de la instancia compartida y haga clic en Search.
  
  Nota
  Si el servicio de registros no está habilitado para la instancia actual, primero Enable Simple Log Service for KMS.

Mejores prácticas para entornos de producción

Al desplegar y usar instancias compartidas en entornos de producción, siga estas directrices para asegurar la estabilidad, seguridad y cumplimiento del sistema.

Conectividad de red

Si los principals de la instancia despliegan aplicaciones autogestionadas en una VPC y necesitan acceder a KMS mediante una puerta de enlace privada, el propietario de la instancia debe vincular dicha VPC a la instancia de KMS compartida para habilitar el acceso por red privada. Para obtener más información, consulte Configure Multi-VPC access to KMS instances within the same region.
Auditoría y cumplimiento
- Propietario de la instancia: debe habilitar ActionTrail para registrar todas las operaciones de gestión sobre la instancia compartida y las operaciones críticas que ejecuten los principals.
- Principals de la instancia: se recomienda habilitar ActionTrail para registrar toda la actividad de llamadas a API dentro de su cuenta.
Gestión de cambios:
- Revocar el uso compartido: antes de revocar una relación de uso compartido o eliminar un recurso compartido, el principal de la instancia debe eliminar todas las claves y secretos creados en la instancia compartida. Si quedan recursos, la revocación falla. Asegúrese de que los recursos asociados ya no estén en uso para evitar interrupciones del servicio. Para obtener más información, consulte Remove KMS instance sharing relationships.
- Modificar los principals de la instancia: agregar o quitar principals en un recurso compartido afecta a todos los recursos compartidos dentro de este. Para evitar confusiones con los permisos, se recomienda crear recursos compartidos independientes para cada escenario de negocio o equipo. Para obtener más información, consulte Modify resource principals of a resource share.

Cuotas y límites

Límites de funciones
- Las claves predeterminadas (como las claves alias/acs/oss) no se pueden compartir.
- Los principals de la instancia no pueden usar una instancia de KMS compartida entre distintas regiones.
- En el modo Joint ownership, todos los nombres de claves y secretos dentro de la instancia deben ser únicos a nivel global.
Límites de cuota de gestión de accesos

Las instancias de KMS compartidas consumen la cuota de gestión de accesos del propietario de la instancia. Si la cuota es insuficiente, proceda a Upgrade KMS instance de inmediato.
Importante
- Cálculo de la cuota:Consumed quota = Number of shared accounts + Number of bound VPCs.
  
  Por ejemplo, si comparte una instancia con 3 cuentas y vincula 2 VPC, la cuota total consumida es 5.
- Descripción del cambio de cuota: si no se logran agregar principals al recurso porque la cuota es insuficiente, el sistema no reintenta automáticamente después de aumentar la cuota de la instancia. Debe quitar manualmente los principals (cuenta o carpeta) del recurso compartido y volver a agregarlos.

Preguntas frecuentes

Después de configurar todo, los principals de la instancia reciben errores "AccessDenied" o "Forbidden" al llamar a las API. ¿Cómo soluciono este problema?

Compruebe las siguientes cuatro configuraciones de permisos en orden:
1. Permisos de Resource Sharing: en la consola de Resource Sharing, confirme que la cuenta principal se agregó al recurso compartido y que el estado de uso compartido es normal.
2. Permisos de la instancia de KMS: compruebe si el permiso asociado al recurso compartido es AliyunRSDefaultPermissionKMSInstance.
3. Permisos de llamada de RAM: confirme que el usuario o rol de RAM que llama a la operación de API tiene asignada una política de RAM para acceder a KMS. Por ejemplo, los permisos de operación kms:Encrypt y kms:Decrypt.
4. Propiedad de los recursos: en el modo Independent ownership, confirme que la clave o secreto sobre el que se opera lo creó el principal de la instancia actual.
¿Por qué recibo un error de conflicto de nombres al crear un secreto en el modo de propiedad conjunta?

En el modo Joint Ownership, todos los nombres de claves y secretos de la instancia de KMS deben ser únicos. El propietario de la instancia y los principals no pueden crear recursos con el mismo nombre.
- Solución 1: cambie el nombre del secreto.
- Solución 2: si su escenario de negocio requiere claves o secretos con el mismo nombre en distintas cuentas, cambie el modo de uso compartido al modo “Independent Ownership”.
  
  Aviso
  Este cambio solo se puede aplicar de “Joint ownership” a “Independent ownership” y es irreversible. Evalúe cuidadosamente el impacto antes de continuar.

Apéndice: detalles de permisos de los modos de uso compartido

A continuación se muestra una tabla con los permisos de operación del propietario de la instancia y de los principals para cada función en los dos modos de uso compartido.

Nota

Compatible indica que la función es compatible. No compatible indica que la función no es compatible.

Joint Ownership

Función	Subfunción	Propietario de la instancia	Principals de la instancia
Gestión de instancias	Consultar los detalles de la instancia de KMS	Compatible	No compatible
	Configurar el acceso multivpc a la instancia de KMS
	Actualizar la instancia
	Renovar la instancia
	Quitar la asociación de uso compartido
Gestión de claves	Crear una clave	Compatible	Compatible
	Consultar los metadatos de la clave	Compatible Nota Se admiten todas las claves, incluidas las creadas por los principals de la instancia.	Compatible Nota Solo se admiten las claves creadas por los principals de la instancia.
	Configurar la rotación de claves
	Programar la eliminación de la clave
	Habilitar la protección contra eliminación
	Crear y gestionar alias de clave
	Agregar y gestionar etiquetas de clave
Operaciones criptográficas	Ninguna
Gestión de secretos	Crear un secreto	Compatible	Compatible
	Consultar los metadatos del secreto	Compatible Nota Se admiten todos los secretos, incluidos los creados por los principals de la instancia.	Compatible Nota Solo se admiten los secretos creados por los principals de la instancia.
	Eliminar un secreto
	Configurar la rotación de secretos
	Agregar y gestionar etiquetas de secreto
Obtener el valor del secreto	Ninguna
Gestión de copias de seguridad	Ninguna	Compatible Nota Se pueden respaldar todas las claves y secretos, incluidos los creados por los principals de la instancia.	No compatible
Acceso de aplicaciones	Crear un punto de acceso de aplicación	Compatible	Compatible

Independent Ownership

Función	Subfunción	Propietario de la instancia	Principals de la instancia
Gestión de instancias	Consultar los detalles de la instancia de KMS	Compatible	No compatible
	Configurar el acceso multivpc a la instancia de KMS
	Actualizar la instancia
	Renovar la instancia
	Quitar la asociación de uso compartido
Gestión de claves	Crear una clave	Compatible	Compatible
	Consultar los metadatos de la clave	Compatible Nota Solo se admiten las claves creadas por el propietario de la instancia.	Compatible Nota Solo se admiten las claves creadas por los principals de la instancia.
	Configurar la rotación de claves
	Programar la eliminación de la clave
	Habilitar la protección contra eliminación
	Crear y gestionar alias de clave
	Agregar y gestionar etiquetas de clave
Operaciones criptográficas	Ninguna
Gestión de secretos	Crear un secreto	Compatible	Compatible
	Consultar los metadatos del secreto	Compatible Nota Solo se admiten las claves creadas por el propietario de la instancia.	Compatible Nota Solo se admiten los secretos creados por los principals de la instancia.
	Eliminar un secreto
	Configurar la rotación de secretos
	Agregar y gestionar etiquetas de secreto
Obtener el valor del secreto	Ninguna
Gestión de copias de seguridad	Ninguna	Compatible Nota Solo se pueden respaldar las claves creadas por el propietario de la instancia.	No compatible
Acceso de aplicaciones	Crear un punto de acceso de aplicación	Compatible	Compatible