Key Management Service (KMS)
Verwaltung all Ihrer kryptografischen Schlüssel an einem Ort: von softwaregestützt bis hardwaregestützt
Verbessern Sie Ihre Sicherheit und verwalten Sie Ihre kryptografischen Schlüssel effizient mit dem Key Management Service (KMS) von OVHcloud.
OVHcloud KMS ist für eine nahtlose Integration konzipiert und ermöglicht die zentrale Verwaltung der Verschlüsselungsschlüssel all Ihrer Anwendungen – ob in Cloud-, Hybrid- oder On-Premises-Infrastrukturen – mit offenen Standards (KMIP und REST-API).
Wenn Ihre Compliance-Anforderungen eine hardwarebasierte Schlüsselverwahrung erfordern, können Sie mit einem einzigen Häkchen ein Upgrade auf KMS on HSM durchführen – dieselbe Konsole, dieselbe API, dieselben IAM-Richtlinien, dieselben Audit-Protokolle, keine Migration.
Vorhersehbare Preise: ein Preis pro Schlüssel/Monat, unbegrenzte API-Aufrufe
Offene Standards: KMIP und REST-API, kein proprietärer Lock-in
ISO 27001- und FIPS 140-3 Level 1-zertifiziert
KMS on HSM: hardwaregestützte Schlüssel (FIPS 140-3 Level 3, EAL4+)
BYOK: sicherer Import Ihres eigenen Schlüssels
Wahl der Region: Ihre Schlüssel verlassen niemals Ihre Gerichtsbarkeit
Für Sicherheit und Kontrolle konzipiert
Datenschutz mit einem Klick
Vereinfachen Sie die Verschlüsselung und sichern Sie Ihre Daten direkt mit nur einem Klick in kompatiblen OVHcloud Produkten (OVHcloud Managed Keys, OMK) ab, ohne Kompromisse beim Schutz einzugehen.
Umfassende Schlüsselzugriffsverwaltung
Verwalten Sie Ihre kryptografischen Schlüssel mit einer unvergleichlichen Zugriffskontrolle über OVHcloud IAM, um die Sicherheit und Compliance in Ihrer gesamten Organisation zu verbessern.
Vorhersehbare Preise, keine Abfragegebühren
Feste monatliche Preise pro Schlüssel mit unbegrenzten API-Aufrufen, für eine zuverlässige Budgetplanung unabhängig vom Nutzungsvolumen.
Hardwaregestützt, on demand
Verwenden Sie KMS on HSM für FIPS 140-3 Level 3-Hardware-Verwahrung (Thales Luna-HSM, EAL4+): gleiche API, gleiche Konsole, gleiche IAM-Richtlinien, gleiche Audit-Protokolle, keine Code-Änderungen.
Ihre Schlüssel (BYOK)
Stärken Sie den Schutz Ihrer Daten mit Bring Your Own Keys (BYOK). Behalten Sie die volle Kontrolle über den Lebenszyklus Ihrer Verschlüsselungsschlüssel und nutzen Sie sie für alle Ihre Anwendungen – ganz gleich, ob diese bei OVHcloud, einem anderen Cloud-Anbieter oder lokal bei Ihnen gehostet sind.
Nutanix Ready-zertifiziert
Für den nahtlosen Betrieb mit Nutanix-Umgebungen konzipiert. Laufende Vorgänge werden nicht durch Verschlüsselungsverfahren beeinträchtigt und Branchenstandards werden komplett eingehalten.
Open-Source-SDK und -CLI
Das OVHcloud KMS SDK und die CLI sind Open-Source-basiert. Das erleichtert die Integration des KMS in verschiedene Tech-Stacks und ist ein erster Schritt für den Open-Source-Ansatz des OVHcloud KMS.
Die wichtigsten Merkmale
Regionalisierung
Wählen Sie eine bevorzugte Region, in der Sie Ihre kryptografischen Schlüssel speichern möchten, um die Leistung Ihrer Anwendung und die Datensouveränität zu verbessern.
Zertifizierte Sicherheits-Compliance
ISO 27001- und FIPS 140-3 Level 1-zertifiziert. Verwenden Sie KMS on HSM für die FIPS 140-3 Level 3-Hardware-Verwahrung.
KMIP-Interoperabilität
Volle Unterstützung für das Key Management Interoperability Protocol (KMIP) – der einzige große Cloud-KMS, der das nativ bietet. Verbinden Sie VMware, Nutanix, OpenStack oder jede KMIP-kompatible Anwendung.
Zuverlässigkeit mit mehreren Rechenzentren
Schlüssel werden über mehrere Rechenzentren hinweg repliziert und in einer Remote-Region gesichert.
Bring Your Own Key (BYOK)
Mit dem RSA-Key-Wrapping können Sie Schlüsselmaterial importieren und exportieren, ohne es jemals in Klartext zu übermitteln. Heute verfügbar über REST-API, OKMS CLI und Go-SDK.
Integrationen
Zugangskontrolle
KMS lässt sich nativ mit OVHcloud IAM integrieren, um granulare, rollenbasierte Zugriffsrechte für jeden Schlüssel zu ermöglichen.
Audit
Jedes Ereignis im Lebenszyklus eines Schlüssels wird in der OVHcloud Log Data Platform (LDP) protokolliert, um einen vollständigen und abfragbaren Prüfpfad zu gewährleisten.
Kubernetes
Verschlüsseln Sie Kubernetes ETCD im Ruhezustand mit dem offiziellen okms-k8s-encryption-provider-Plug-in.
Cosign
Signieren Sie OCI-Container-Images mit KMS-gestützten Schlüsseln über einen ovhcloud://-URI, unter Verwendung des offiziellen sigstore-kms-ovhcloud.
OpenBao
Entsperren Sie Ihre OpenBao-Vaults automatisch mit KMS-gestützten Schlüsseln über das offizielle openbao-kms-ovhcloud-Seal-Plug-in.
OpenTofu
Verschlüsseln Sie OpenTofu-State- und -Plan-Dateien mit KMS-gestützten Schlüsseln über den offiziellen externen opentofu-kms-ovhcloud-Schlüsselanbieter.
KMS
(unbegrenzte API-Aufrufe)
KMS on HSM
(unbegrenzte API-Aufrufe)
Softwaregestützt oder hardwaregestützt
OVHcloud KMS bietet zwei Schutzstufen. Die meisten Workloads laufen problemlos mit softwaregestützten Schlüsseln (Customer Managed Key, CMK). Wenn Ihre Compliance-Vorgaben eine hardwaregestützte Schlüsselverwahrung vorschreiben – FIPS 140-3 Level 3, EAL4+ – können Sie KMS on HSM mit einem einzigen Häkchen aktivieren. Es ist der gleiche KMS: dieselbe API, dieselbe Konsole, dieselben IAM-Richtlinien, derselbe Audit Trail. An Ihrer Integration ändert sich nichts.
KMS (softwaregestützt) | KMS on HSM (hardwaregestützt) | |
|---|---|---|
Schlüsselverwahrung | Software, FIPS 140-3 Level 1 | Hardware, FIPS 140-3 Level 3, EAL4+ (Thales Luna-HSM) |
API/IAM | REST + KMIP, OVHcloud IAM | REST-API, OVHcloud IAM |
Aktivierung | Bestellen Sie eine KMS-Domain, erstellen Sie einen CMK mit einem Software-Schutzniveau. | Bestellen Sie eine KMS-Domain, erstellen Sie einen CMK mit einem Hardware-Schutzniveau. |
BYOK-Unterstützung | Ja, Import/Export über RSA-Key-Wrapping (REST-API, OKMS CLI, Go-SDK) | Ja, Import/Export über RSA-Key-Wrapping (REST-API, OKMS CLI, Go-SDK) |
Preis | 0,07 € inkl. MwSt./key/Monat, unbegrenzte API-Aufrufe | 1,19 € inkl. MwSt./key/Monat alles inbegriffen, unbegrenzte API-Aufrufe |
Verfügbarkeit | ||
Ideal für | Die meisten Workloads: Anwendungsverschlüsselung, VMware/Nutanix über KMIP, MSP-Mehrmandanten-Schlüsseltrennung, Migrationen mit BYOK-Erfordernis | Audit-Ergebnisse oder Ausschreibungen, die speziell FIPS 140-3 Level 3 oder hardwaregestützte Verwahrung vorschreiben; PCI DSS-, DORA-, HDS-Aufträge mit einer Hardware-Verwahrungsklausel |
Technische Spezifikationen
Spezifikation | Detail |
|---|---|
Architektur | Multi-DC-Replikation innerhalb der primären Region; lastverteilte KMS-Instanzen; Backups in 2 geografisch getrennten Backup-Rechenzentren.
Konzipiert, um den Verlust einer HSM-Partition, einer HSM-Appliance oder sogar eines ganzen Rechenzentrums zu überstehen. |
Unterstützte APIs | REST-API |
Schlüsseltypen | Symmetrisch: AES 128/192/256 Bit. Asymmetrisch: RSA-1024/2048/3072/4096; EC-256/384/521. |
Betrieb | Verschlüsseln/entschlüsseln (AES-GCM); signieren/verifizieren (ECDSA SHA-256/384/512, RSA PKCS1) |
Zugangskontrolle | OVHcloud IAM – zertifikatbasierte Authentifizierung, richtlinienbasierte Autorisierung |
Audit | Ereignisprotokollierung über den gesamten Lebenszyklus mit OVHcloud Log Data Platform |
| Regionale Verfügbarkeit von KMS | |
| Regionale Verfügbarkeit von KMS on HSM | Schrittweise Bereitstellung in allen Regionen |
| Zertifizierungen – KMS (Software) | ISO 27001; FIPS 140-3 Level 1 (NIST-CMVP-Zertifikat Nr. 5203) |
| Zertifizierungen – KMS on HSM (Hardware) | Gestützt auf das Thales Luna-HSM, validiert nach FIPS 140-3 Level 3, EAL4+ |
| BYOK |
|
| Drittanbieterintegrationen | Über das nativen KMIP (VMware, Nutanix, OpenStack) hinaus, offizielle Plug-ins wie:
|
Preise
Modus | Preis |
OMK (OVHcloud Managed Key) | 0 € inkl. MwSt./Monat |
CMK (Customer Managed Key) | 0,07 € inkl. MwSt./key/Monat, unbegrenzte API-Aufrufe |
KMS on HSM (hardwaregestützter CMK) | 1,19 € inkl. MwSt./key/Monat alles inbegriffen, unbegrenzte API-Aufrufe |
Hinweis zur BYOK-Preisgestaltung: keine zusätzlichen Kosten – Schlüssel, die über BYOK importiert oder exportiert werden, werden zum Standardpreis für kundenverwaltete Schlüssel (Customer Managed Key, CMK) berechnet.
Sie benötigen eine software- oder hardwaregestützte Schlüsselverwahrung?
Erstellen Sie einen Account und starten Sie Ihren KMS in nur wenigen Minuten.
Use Cases
Nahtlose Verschlüsselung für Object Storage
Einfache, wartungsfreie Verschlüsselung für OVHcloud Object Storage über serverseitige Verschlüsselung mit OVHcloud Managed Keys (OMK) – kein Schlüsselmanagement-Aufwand
VMware on OVHcloud, durchgängig verschlüsselt
Verschlüsseln Sie Ihre VMware-Workloads mit voller Kontrolle über den Schlüssel-Lebenszyklus über die native KMIP-Schnittstelle. Sie können Schlüssel ganz nach Bedarf erstellen, wechseln und außer Kraft setzen.
Multi-Tenant-Schlüsseldelegierung für MSPs
Verwalten Sie kryptografische Schlüssel für mehrere Kund:innen über die REST-API, mit kundenspezifischer Schlüsselisolierung und Zugriffsdelegierung.
Hardwaregestützte Verwahrung für regulierte Workloads (KMS on HSM)
Wenn für ein Audit oder eine Ausschreibung speziell FIPS 140-3 Level 3 oder HSM-Verwahrung (Hardware Security Module) vorgeschrieben werden, wie es z. B. bei Workloads im Banken-, Gesundheits- oder öffentlichen Sektor unter PCI DSS, DORA oder HDS der Fall ist, können Sie KMS on HSM über ein einziges Kontrollkästchen auf einem bestehenden CMK aktivieren.
Mit BYOK migrieren oder Souveränität der Schlüsselerzeugung belegen
Importieren Sie Ihr eigenes extern generiertes Schlüsselmaterial über RSA-Key-Wrapping in OVHcloud KMS (oder exportieren Sie es heraus), ohne es jemals im Klartext zu zeigen. Das ist nützlich, wenn Sie von einem anderen KMS migrieren oder wenn Kund:innen oder Auditor:innen einen Nachweis dafür verlangen, dass Sie kontrollieren, woher ein Schlüssel stammt.
Integrierte Identitäts-, Datensicherheits- und Beobachtbarkeitsprodukte
FAQ
Wie sieht das Preismodell für den Key Management Service aus?
Jeder Schlüssel, den Sie in OVHcloud KMS erstellen und speichern, kostet 0,07 € inkl. MwSt./key/Monat. Diese Gebühr ist für symmetrische und asymmetrische Schlüssel in allen OVHcloud Regionen gleich. API-Aufrufe und OVHcloud Managed Keys (OMK) werden nicht berechnet.
Wie werden Verschlüsselungsschlüssel gesichert?
OVHcloud sichert verschlüsselte Backups Ihrer Schlüssel über mehrere Regionen oder Availability Zones hinweg. Weitere Einzelheiten finden Sie in unserem Guide zur OVHcloud KMS Architektur.
Kann ich meine Dienste oder Anwendungen unter Verwendung des KMIP-Protokolls mit dem OVHcloud KMS verbinden?
Ja. Jeder KMIP-kompatible Dienst oder jede KMIP-kompatible Anwendung, ob vor Ort, bei OVHcloud oder in einer Drittanbieter-Cloud, kann sich mit dem OVHcloud KMS verbinden. Die Liste der unterstützten Operationen finden Sie im KMIP-Integrationsleitfaden.
Was ist KMS on HSM und wie unterscheidet es sich vom standardmäßigen KMS?
KMS on HSM ist der hardwaregestützte Schutz für OVHcloud KMS. Er verwendet die gleiche API, die gleiche Konsole, die gleichen IAM-Richtlinien und die gleichen Prüfprotokolle wie der reguläre KMS – an Ihrer Integration ändert sich nichts. Der Unterschied liegt darin, wo das Schlüsselmaterial geschützt wird: Reguläre KMS-Schlüssel sind softwaregeschützt (FIPS 140-3 Level 1). KMS on HSM Schlüssel werden durch ein nach FIPS 140-3 Level 3, EAL4+ validiertes Thales Luna-HSM (Hardware Security Module) geschützt.
Ist OVHcloud KMS zertifiziert?
Ja. OVHcloud KMS (Software) ist ISO 27001- und FIPS 140-3 Level 1-zertifiziert. KMS on HSM stützt sich auf Hardware, die nach FIPS 140-3 Level 3, EAL4+ validiert wurde.
Kann ich meine eigenen Verschlüsselungsschlüssel verwenden (BYOK)?
Ja. Mit BYOK können Sie Schlüsselmaterial unter Verwendung von RSA-Key-Wrapping importieren und exportieren, sodass Ihr Schlüssel niemals im Klartext übertragen wird. Es ist heute über die REST-API, die OKMS CLI und das Go-SDK verfügbar. Zwei aktuelle Einschränkungen: BYOK ist noch nicht über das KMIP-Protokoll und nicht für KMS on HSM (HSM-Schutz) Schlüssel verfügbar, sondern aktuell nur für reguläre softwaregeschützte Schlüssel.
Was passiert mit meinen Schlüsseln, wenn ein Rechenzentrum nicht mehr verfügbar ist?
Schlüssel werden in mehreren Rechenzentren innerhalb der gewählten Region repliziert und in zwei geografisch getrennten Backup-Regionen oder Availability Zones gesichert, sodass es auf der Ebene des Key-Stores keinen Single Point of Failure gibt.
Ist OVHcloud KMS mit Tools wie Kubernetes, Cosign, OpenBao oder OpenTofu integrierbar?
Ja. Neben der nativen KMIP-Unterstützung bietet OVHcloud offizielle Plug-ins wie die Kubernetes-ETCD-Verschlüsselung im Ruhezustand, KMS-gestütztes OCI-Image-Signing mit Cosign, Auto-Unseal für OpenBao und die Verschlüsselung von State-/Plan-Dateien für OpenTofu und in Zukunft noch mehr.
*SSE-OMK: Server Side Encryption – OVHcloud Managed Key