Key Management Service (KMS)
Todas tus claves criptográficas en un solo lugar, protegidas por software o por hardware
Refuerza tu seguridad y gestiona tus claves criptográficas de forma eficiente con el servicio Key Management Service (KMS) de OVHcloud.
Diseñado para integrarse sin complicaciones, OVHcloud KMS te permite gestionar de forma centralizada las claves de cifrado de todas tus aplicaciones, ya estén en el cloud, en entornos híbridos u on-premise, mediante estándares abiertos (KMIP y API REST).
Si tus requisitos de cumplimiento normativo exigen la custodia de claves en hardware, pasa a KMS on HSM con solo marcar una casilla: misma consola, misma API, mismas políticas IAM y mismos registros de auditoría, sin necesidad de migración.
Precios predecibles: un precio por clave/mes y llamadas API ilimitadas
Estándares abiertos: KMIP y REST API, sin dependencia del proveedor
Certificación ISO 27001 y FIPS 140-3 nivel 1
KMS con HSM: claves respaldadas por hardware (FIPS 140-3 Nivel 3, EAL4+)
BYOK: importa tus propias claves de forma segura
Elige tu región: tus claves nunca salen de tu jurisdicción
Diseñado para la seguridad y el control
Protección de datos en un solo clic
Simplifica el cifrado y protege tus datos al instante con un solo clic en los productos compatibles de OVHcloud (OVHcloud Managed Key, OMK), sin renunciar a la seguridad.
Gestión completa de las claves de acceso
Gestiona tus claves criptográficas con un control de acceso preciso gracias a OVHcloud IAM y refuerza la seguridad y el cumplimiento normativo en toda tu empresa.
Precios predecibles, sin costes por consulta
Precio mensual fijo por clave con llamadas a la API ilimitadas incluidas: costes previsibles sea cual sea tu volumen de uso.
Respaldado por hardware, bajo demanda
Usa KMS on HSM para disponer de custodia en hardware con nivel 3 de FIPS 140-3 (HSM Thales Luna, EAL4+): misma API, misma consola, mismas políticas IAM y mismos registros de auditoría, sin cambios en el código.
Tus claves (BYOK)
Refuerza la privacidad de tus datos con BYOK (Bring Your Own Key): controla todo el ciclo de vida de tus claves criptográficas y úsalas en todas tus aplicaciones, tanto en OVHcloud como en otros proveedores cloud o en entornos on-premise.
Certificación Nutanix Ready
Está diseñado para funcionar perfectamente con entornos Nutanix, garantizando que las prácticas de cifrado no interrumpan las operaciones existentes y sean totalmente compatibles con los estándares de la industria.
SDK y CLI open source
Los KMS SDK y CLI de OVHcloud son open source. Facilita la integración de los KMS en los distintos stacks tecnológicos y es un primer paso para liberar el KMS de OVHcloud.
Funcionalidades
Regionalización
Selecciona una región de preferencia para almacenar tus claves criptográficas y mejorar así el rendimiento de la aplicación y la soberanía de los datos.
Certificaciones de seguridad
Con certificación ISO 27001 y validación FIPS 140-3 nivel 1. Para custodia por hardware con FIPS 140-3 nivel 3, elige KMS on HSM.
Interoperabilidad KMIP
Compatibilidad total con el protocolo KMIP (Key Management Interoperability Protocol): el único KMS de los grandes proveedores cloud que lo ofrece de forma nativa. Conecta VMware, Nutanix, OpenStack o cualquier aplicación compatible con KMIP.
Fiabilidad multidatacenter
Las claves se replican en múltiples datacenters y cuentan con backup en una región remota.
BYOK (Bring Your Own Key)
Importa y exporta tus claves mediante encapsulado RSA, sin que viajen nunca en texto sin cifrar. Ya disponible a través de la API REST, la CLI de OKMS y el SDK de Go.
Integraciones
Control de acceso
KMS se integra de forma nativa con OVHcloud IAM para ofrecer un acceso granular y basado en roles a cada clave.
Auditoría
Todos los eventos del ciclo de vida de tus claves quedan registrados en OVHcloud Logs Data Platform (LDP), lo que te proporciona un registro de auditoría completo y consultable.
Kubernetes
Cifra en reposo el ETCD de Kubernetes con el plugin oficial okms-k8s-encryption-provider.
Cosign
Firma imágenes de contenedores OCI con claves gestionadas en KMS mediante una URI ovhcloud://, utilizando el plugin oficial sigstore-kms-ovhcloud.
OpenBao
Desbloquea automáticamente tus vaults de OpenBao con claves gestionadas en KMS mediante el plugin de seal oficial openbao-kms-ovhcloud.
OpenTofu
Cifra los archivos de estado y de plan de OpenTofu con claves gestionadas en KMS mediante el proveedor de claves externo oficial opentofu-kms-ovhcloud.
KMS
(Llamadas API ilimitadas)
KMS on HSM
(Llamadas API ilimitadas)
Basado en software o en hardware
OVHcloud KMS ofrece dos niveles de protección. La mayoría de las cargas de trabajo funcionan sin problema con claves protegidas por software (clave gestionada por el cliente, CMK). Si tus requisitos normativos exigen expresamente la custodia de claves por hardware (FIPS 140-3 nivel 3, EAL4+), activa KMS on HSM marcando una sola casilla. Sigue siendo el mismo KMS, con la misma API, consola, políticas de IAM y registro de auditoría, así que no tienes que tocar nada de tu integración.
KMS (respaldado por software) | KMS on HSM (respaldado por hardware) | |
|---|---|---|
Custodia de claves | Software, FIPS 140-3 nivel 1 | Hardware, FIPS 140-3 Nivel 3, EAL4+ ( Thales Luna HSM ) |
API / IAM | REST + KMIP, IAM de OVHcloud | API REST, IAM de OVHcloud |
Cómo activarlo | Solicita un dominio KMS y crea una CMK con un nivel de protección de software | Solicita un dominio KMS y crea una CMK con un nivel de protección de hardware |
Soporte BYOK | Sí: importación y exportación mediante encapsulado de claves RSA (API REST, CLI de OKMS, SDK de Go) | Sí: importación/exportación mediante encapsulado de claves RSA (API REST, CLI de OKMS, SDK de Go) |
Precio | $0.06288 /key/mes llamadas API ilimitadas | $1.048 /key/mes todo incluido, llamadas a la API ilimitadas |
Disponibilidad | ||
Usos recomendados | La mayoría de cargas de trabajo: cifrado de aplicaciones, VMware/Nutanix mediante KMIP, aislamiento de claves multicliente para MSP y migraciones que requieren BYOK | Auditorías o RFP que exigen expresamente FIPS 140-3 nivel 3 o custodia por hardware; contratos PCI DSS, DORA o HDS con cláusula de custodia por hardware. |
Especificaciones técnicas
Especificaciones | Detalle |
|---|---|
Arquitectura | Replicación multidatacenter dentro de la región principal, instancias de KMS con balanceo de carga y copias de seguridad en dos datacenters de backup geográficamente separados.
Diseñado para resistir la pérdida de una partición HSM, de un equipo HSM o incluso de un datacenter entero. |
API compatibles | API REST |
Tipo de clave | Simétricas: AES 128/192/256 bits. Asimétricas: RSA-1024/2048/3072/4096; EC-256/384/521 |
Operaciones | Cifrar/descifrar (AES-GCM); Firmar/verificar (ECDSA SHA-256/384/512, RSA PKCS1) |
Control de acceso | IAM de OVHcloud: autenticación mediante certificados y autorización basada en políticas |
Auditoría | Registro de todos los eventos del ciclo de vida mediante OVHcloud Logs Data Platform |
| Disponibilidad regional KMS | |
| Disponibilidad regional de KMS on HSM | Despliegue progresivo en todas las regiones |
| Certificaciones: KMS (software) | ISO 27001; FIPS 140-3 nivel 1 (Certificado NIST CMVP #5203) |
| Certificaciones: KMS on HSM (hardware) | Respaldado por HSM Thales Luna con validación FIPS 140-3 nivel 3 y certificación EAL4+ |
| BYOK |
|
| Integración de terceros | Además de la compatibilidad nativa con KMIP (VMware, Nutanix, OpenStack), ofrecemos plugins oficiales como::
|
Precios
Modo | Precio |
OMK (OVHcloud Managed Key) | $0 /mes |
CMK (Customer Managed Key) | $0.06288 /key/mes llamadas API ilimitadas |
KMS con HSM (CMK respaldada por hardware) | $1.048 /key/mes todo incluido, llamadas a la API ilimitadas |
Nota sobre el precio de BYOK: sin coste adicional. Las claves importadas o exportadas mediante BYOK se facturan con la tarifa estándar de clave gestionada por el cliente (CMK).
¿Necesitas custodia de claves protegida por software o por hardware?
¡Cree una cuenta y lance su KMS en solo unos minutos!
Casos de uso
Cifrado sin complicaciones para Object Storage
Cifra tu OVHcloud Object Storage de forma sencilla y sin mantenimiento gracias al cifrado del lado del servidor con claves gestionadas por OVHcloud (OMK). Olvídate de gestionar claves.
VMware on OVHcloud, cifrado de extremo a extremo
Cifra tus cargas de trabajo de VMware con control total del ciclo de vida de las claves a través de la interfaz KMIP nativa: crea, rota y retira claves cuando lo necesites.
Delegación de claves multi-tenant para MSP
Gestiona claves criptográficas en nombre de varios clientes a través de la API REST, con aislamiento de claves por cliente y delegación de accesos.
Custodia por hardware para cargas de trabajo reguladas (KMS on HSM)
Cuando una auditoría o una RFP exige expresamente FIPS 140-3 nivel 3 o la custodia en un módulo de seguridad de hardware (cargas de trabajo de banca, sanidad o sector público sujetas a PCI DSS, DORA o HDS), activa KMS on HSM en una CMK existente marcando una sola casilla.
Migra tus claves o acredita su origen con BYOK
Importa en OVHcloud KMS material de claves propio generado externamente (o expórtalo) mediante encapsulado de claves RSA, sin exponerlo nunca en texto claro. Resulta útil si vas a migrar desde otro KMS o si un cliente o auditor te pide pruebas de que controlas el origen de una clave.
Soluciones de Identidad, Seguridad de Datos y Observabilidad integradas
FAQ
¿Cuál es el modelo de tarificación para el KMS de OVHcloud?
Cada clave que crees y almacenes en OVHcloud KMS cuesta $0.06288 /key/mes. Este es el mismo precio para las claves simétricas y asimétricas y en todas las regiones de OVHcloud. Las llamadas API y las claves gestionadas de OVHcloud (OMK) no tienen coste.
¿Cómo se realizan backups de las claves de cifrado?
OVHcloud mantiene copias de seguridad cifradas de tus claves en varias regiones o zonas de disponibilidad. Consulta la guía de descripción general de la arquitectura de KMS para obtener más información.
¿Puedo conectar mis servicios o aplicaciones al KMS de OVHcloud utilizando el protocolo KMIP?
Sí, cualquier servicio o aplicación compatible con KMIP (on-premises, en OVHcloud o en un cloud de terceros) puede conectarse al KMS de OVHcloud. Consulta la guía de integración de KMIP para obtener la lista de operaciones soportadas.
¿Qué es KMS on HSM y en qué se diferencia del KMS estándar?
KMS on HSM es el nivel de protección por hardware de OVHcloud KMS. Utiliza la misma API, la misma consola, las mismas políticas de IAM y los mismos registros de auditoría que el KMS estándar, así que tu integración no cambia. La diferencia está en dónde se protege el material de claves: las claves del KMS estándar se protegen por software (FIPS 140-3 nivel 1), mientras que las de KMS on HSM se protegen en un módulo de seguridad de hardware Thales Luna con validación FIPS 140-3 nivel 3 y certificación EAL4+.
¿OVHcloud KMS está certificado?
Sí, OVHcloud KMS (de software) está certificado según ISO 27001 y FIPS 140-3 nivel 1. KMS on HSM se basa en hardware con validación FIPS 140-3 nivel 3 y certificación EAL4+.
¿Puedo usar mis propias claves de cifrado (BYOK)?
Sí, BYOK te permite importar y exportar material de claves utilizando el cifrado de claves RSA, de modo que tu clave nunca viaja en texto sin cifrar. Actualmente está disponible a través de la API REST, la CLI de OKMS y el SDK de Go. Sin embargo, por ahora tiene dos limitaciones: BYOK todavía no está disponible mediante el protocolo KMIP ni para claves de KMS on HSM (nivel de protección HSM). De momento, solo funciona con claves estándar protegidas por software.
¿Qué pasa con mis claves si un datacenter se vuelve inaccesible?
Las claves se replican en varios centros de datos dentro de la región que elijas y se guardan copias de seguridad en dos regiones o zonas de disponibilidad de respaldo geográficamente separadas, de modo que no hay ningún punto único de fallo en la capa de almacenamiento de claves.
¿OVHcloud KMS se integra con herramientas como Kubernetes, Cosign, OpenBao u OpenTofu?
Sí, además de la compatibilidad nativa con KMIP, OVHcloud mantiene plugins oficiales para el cifrado en reposo de etcd en Kubernetes, la firma de imágenes OCI con Cosign respaldada por KMS, el desellado automático de OpenBao y el cifrado de archivos de estado y plan de OpenTofu, y habrá más próximamente.
*SSE-OMK: Server Side Encryption, OVHcloud Managed Key