Key Management Service (KMS)
Gestisci tutte le tue chiavi crittografiche in un unico posto, protette da software o hardware
Aumenta la sicurezza e gestisci in modo efficiente le tue chiavi crittografiche con Key Management Service (KMS) di OVHcloud.
Progettato per un’integrazione senza difficoltà, KMS di OVHcloud consente di gestire centralmente le chiavi crittografiche per tutte le tue applicazioni cloud, ibride e on-premise, tramite standard aperti (KMIP e API REST).
Quando i requisiti di conformità richiedono la custodia delle chiavi protette da hardware, effettua l’upgrade a KMS on HSM con un solo clic: stessa console, stesse API, stesse politiche IAM, stessi log di audit e nessuna migrazione.
Fatturazione prevedibile: un prezzo per chiave/mese e chiamate API illimitate
Standard aperti: KMIP e API REST, senza vendor lock-in
Certificazione ISO 27001 e FIPS 140-3 Livello 1
KMS on HSM: chiavi protette da hardware (FIPS 140-3 Livello 3, EAL4+)
BYOK: importazione sicura delle tue chiavi
Scelta della Region: chiavi sempre all’interno della tua giurisdizione
Progettato per la sicurezza e il controllo
Protezione dei dati in un solo clic
Semplifica la crittografia e proteggi i tuoi dati istantaneamente con un solo clic sui servizi OVHcloud compatibili (OVHcloud Managed Key - OMK), senza rinunciare alla sicurezza.
Gestione completa delle chiavi di accesso
Gestisci le tue chiavi crittografiche con un controllo degli accessi senza precedenti grazie a IAM di OVHcloud, per aumentare la sicurezza e la conformità in tutta la tua azienda.
Prezzi prevedibili senza costi di query
Prezzo fisso mensile per chiave con chiamate API illimitate incluse: prevedibilità del budget indipendentemente dal volume di utilizzo.
Protetto da hardware, on demand
Utilizza KMS on HSM per la custodia su hardware FIPS 140-3 Livello 3 (Thales Luna HSM, EAL4+): stessa API, stessa console, stesse politiche IAM, stessi log di audit, nessuna modifica del codice.
Le tue chiavi (BYOK)
Rafforza la privacy dei dati con Bring Your Own Keys (BYOK): mantieni il controllo completo del ciclo di vita delle tue chiavi crittografiche e utilizzale in tutte le tue applicazioni sia in OVHcloud che CSP di terze parti o on-premise.
Certificato Nutanix Ready
Questo servizio è progettato per funzionare perfettamente con gli ambienti Nutanix, in modo che le tecniche di crittografia non condizionino le operazioni esistenti e siano pienamente conformi agli standard di settore.
SDK e CLI open source
SDK e CLI per KMS di OVHcloud sono open source. Questi strumenti facilitano l’integrazione del KMS in diversi stack tecnologici e rappresentano il primo passo per rendere open source il KMS OVHcloud.
Funzionalità principali
Regionalizzazione
Scegli una Region preferita in cui memorizzare le chiavi crittografiche per migliorare le prestazioni dell'applicazione e la sovranità dei dati.
Conformità alla sicurezza certificata
Certificazione ISO 27001 e FIPS 140-3 Livello 1. Per la custodia hardware FIPS 140-3 Livello 3, utilizza KMS on HSM.
Interoperabilità KMIP
Supporto completo per Key Management Interoperability Protocol (KMIP), l'unico tra i principali KMS cloud a offrirlo nativamente. Connetti VMware, Nutanix, OpenStack o qualsiasi applicazione compatibile con KMIP.
Affidabilità multi-datacenter
Le chiavi sono replicate in più datacenter, con backup in una Region distante.
Bring Your Own Key (BYOK)
Importa ed esporta materiale crittografico senza mai trasmetterlo in chiaro, utilizzando il wrapping con chiave RSA. Disponibile attualmente tramite API REST, CLI OKMS e SDK Go.
Integrazioni
Controllo degli accessi
KMS si integra nativamente con IAM OVHcloud per un accesso granulare basato sui ruoli per ogni chiave.
Audit
Ogni evento del ciclo di vita delle chiavi viene registrato in OVHcloud Log Data Platform (LDP) per una tracciabilità audit completa e interrogabile.
Kubernetes
Cifra Kubernetes ETCD a riposo con il plugin ufficiale okms-k8s-encryption-provider.
Cosign
Firma le immagini dei container OCI con chiavi protette da KMS tramite uno URI ovhcloud://, utilizzando il plugin ufficiale sigstore-kms-ovhcloud.
OpenBao
Effettua l’unseal automatico dei tuoi vault OpenBao con chiavi protette da KMS tramite il plugin ufficiale openbao-kms-ovhcloud.
OpenTofu
Cifra i file di stato e plan di OpenTofu con chiavi protette da KMS tramite il provider di chiavi esterne ufficiale opentofu-kms-ovhcloud.
KMS
(chiamate API illimitate)
KMS on HSM
(chiamate API illimitate)
Protetto da software o hardware
OVHcloud KMS dispone di due livelli di protezione. La maggior parte dei workload funziona correttamente con chiavi protette da software (Customer Managed Key o CMK). Quando i requisiti di conformità richiedono specificamente la custodia delle chiavi protetta da hardware (FIPS 140-3 Livello 3, EAL4+), puoi abilitare KMS on HSM con un solo clic. Si tratta dello stesso KMS: stessa API, stessa console, stesse politiche IAM, stessa tracciabilità audit. Nessuna modifica a livello di integrazione.
KMS (protetto da software) | KMS on HSM (protetto da hardware) | |
|---|---|---|
Custodia delle chiavi | Software, FIPS 140-3 Livello 1 | Hardware, FIPS 140-3 Livello 3, EAL4+ (Thales Luna HSM) |
API/IAM | REST + KMIP, IAM OVHcloud | API REST, IAM OVHcloud |
Attivazione | Ordina un dominio KMS, crea una CMK con un livello di protezione software | Ordina un dominio KMS, crea una CMK con un livello di protezione hardware |
Supporto BYOK | Sì: importazione/esportazione tramite wrapping con chiavi RSA (API REST, CLI OKMS, SDK Go) | Sì: importazione/esportazione tramite wrapping con chiavi RSA (API REST, CLI OKMS, SDK Go) |
Prezzo | 0,06 € + IVA/key/mese cioè 0,07 € IVA incl./key/mese, chiamate API illimitate | 1 € + IVA/key/mese cioè 1,22 € IVA incl./key/mese tutto incluso, chiamate API illimitate |
Disponibilità | ||
Ideale per | La maggior parte dei carichi di lavoro: crittografia dell'applicazione, VMware/Nutanix via KMIP, isolamento delle chiavi multi-tenant MSP, migrazioni che richiedono BYOK | Risultati di audit o RFP che richiedono specificamente FIPS 140-3 Livello 3 o la custodia protetta da hardware; PCI DSS, DORA, HDS con una clausola di custodia hardware |
Specifiche tecniche
Specifiche | Dettagli |
|---|---|
Architettura | Replica multi-datacenter all'interno della Region primaria; istanze KMS bilanciate; backup in 2 datacenter geograficamente distinti.
Progettato per la continuità operativa anche in caso di perdita di una partizione HSM, un’appliance HSM o persino un intero datacenter. |
API supportate | API REST |
Tipi di chiave | Simmetrica: AES 128/192/256-bit. Asimmetrica: RSA-1024/2048/3072/4096; EC-256/384/521 |
Operazioni | Crittografia/decrittografia (AES-GCM); Firme/verifica (ECDSA SHA-256/384/512, RSA PKCS1) |
Controllo degli accessi | IAM OVHcloud: autenticazione basata su certificati, autorizzazione basata su politiche |
Audit | Log degli eventi del ciclo di vita tramite OVHcloud Log Data Platform |
| Disponibilità regionale di KMS | |
| Disponibilità regionale di KMS on HSM | Deploy progressivo in tutte le Region |
| Certificazioni — KMS (software) | ISO 27001; FIPS 140-3 Livello 1 (Certificato NIST CMVP #5203) |
| Certificazioni — KMS on HSM (hardware) | Supportato da Thales Luna HSM con validazione FIPS 140-3 Leivello 3, EAL4+ |
| BYOK |
|
| Integrazioni di terze parti | Oltre al KMIP nativo (VMware, Nutanix, OpenStack), plugin ufficiali come:
|
Tariffe
Modalità | Prezzo |
OMK (OVHcloud Managed Key) | 0 € + IVA/mese |
CMK (Customer Managed Key) | 0,06 € + IVA/key/mese cioè 0,07 € IVA incl./key/mese chiamate API illimitate |
KMS on HSM (CMK protetto da hardware) | 1 € + IVA/key/mese cioè 1,22 € IVA incl./key/mese tutto incluso, chiamate API illimitate |
Nota sui prezzi BYOK: nessun costo aggiuntivo. Le chiavi importate o esportate tramite BYOK sono fatturate al prezzo standard di Customer Managed Key (CMK).
Hai bisogno di una custodia delle chiavi protetta da software o hardware?
Crea un account e avvia il tuo KMS in pochi minuti
Casi d’uso
Crittografia semplificata per Object Storage
Crittografia semplice e senza manutenzione per OVHcloud Object Storage tramite crittografia lato server con OVHcloud Managed Keys (OMK), senza la complessità della gestione delle chiavi.
VMware on OVHcloud, cifrato end-to-end
Cifra i tuoi carichi di lavoro VMware con il controllo completo del ciclo di vita delle chiavi tramite l’interfaccia KMIP nativa: crea, ruota e disattiva le chiavi in base alle necessità.
Delega delle chiavi multi-tenant per MSP
Gestisci le chiavi crittografiche per conto di più clienti tramite API REST, con isolamento per cliente e delega degli accessi.
Custodia protetta da hardware per carichi di lavoro regolamentati (KMS on HSM)
Quando un audit o RFP richiede specificamente FIPS 140-3 Livello 3 o la custodia tramite HSM (workload bancari, sanitari o del settore pubblico soggetti a PCI DSS, DORA o HDS), puoi attivare KMS on HSM su una CMK esistente con un solo clic.
Migra o dimostra la sovranità della generazione delle chiavi con BYOK
Importa il tuo materiale crittografico generato esternamente in OVHcloud KMS (o esportalo nuovamente) tramite wrapping con chiavi RSA, senza mai esporlo in chiaro. Una soluzione utile per migrare da un altro KMS o quando un cliente o un revisore richiede una prova che dimostri l’origine di una chiave.
Servizi di Identità, Sicurezza dei dati e Osservabilità integrati
FAQ
Qual è il modello tariffario per Key Management Service (KMS)?
Ogni chiave creata e archiviata nel KMS OVHcloud costa 0,06 € + IVA/key/mese cioè 0,07 € IVA incl./key/mese. Questa tariffa è la stessa per le chiavi simmetriche e asimmetriche, in tutte le Region di OVHcloud. Le chiamate API e OVHcloud Managed Keys (OMK) non sono soggetti a costi.
Come sono eseguiti in modo sicuro i backup delle chiavi crittografiche?
OVHcloud mantiene i backup cifrati delle chiavi in più Region o Availability Zone. Maggiori informazioni sono disponibili nella nostra guida introduttiva dell’architettura KMS di OVHcloud.
È possibile connettere i propri servizi e applicazioni al KMS di OVHcloud utilizzando il protocollo KMIP?
Sì, qualsiasi servizio o applicazione compatibile con KMIP (on-premise, in OVHcloud o in un cloud di terze parti) può connettersi a OVHcloud KMS. Per l'elenco delle operazioni supportate, è possibile consultare la guida all'integrazione KMIP.
Cos'è KMS on HSM e in cosa si differenzia dal KMS standard?
KMS on HSM è il livello di protezione su hardware per il KMS di OVHcloud. Questo servizio utilizza la stessa API, la stessa console, le stesse politiche IAM e gli stessi log di audit del KMS standard, senza differenze a livello di integrazione. La differenza risiede nella protezione del materiale crittografico: le chiavi KMS standard sono protette da software (FIPS 140-3 Livello 1), mentre le chiavi KMS on HSM sono protette da un modulo di sicurezza hardware Thales Luna con validazione FIPS 140-3 Level 3, EAL4+.
OVHcloud KMS è certificato?
Sì, il KMS di OVHcloud (software) è certificato ISO 27001 e FIPS 140-3 Livello 1. KMS on HSM è protetto da hardware con validazione FIPS 140-3 Livello 3, EAL4+.
È possibile utilizzare le proprie chiavi crittografiche (BYOK)?
Sì, BYOK permette di importare ed esportare il materiale crittografico utilizzando il wrapping con chiavi RSA, in modo che la chiave non viaggi mai in chiaro. Attualmente è disponibile tramite API REST, CLI OKMS e SDK Go. Due limiti correnti: BYOK non è ancora disponibile tramite protocollo KMIP e per le chiavi KMS on HSM (livello di protezione HSM); al momento è possibile disporre solo di chiavi standard protette da software.
Cosa succede alle chiavi se un datacenter non è raggiungibile?
Le chiavi sono replicate in più datacenter all'interno della Region scelta e salvate in due Region di backup o Availability Zone geograficamente distinte, in modo che non ci sia un single point of failure a livello di key-store.
OVHcloud KMS si integra con strumenti come Kubernetes, Cosign, OpenBao o OpenTofu?
Sì, oltre al supporto nativo KMIP, OVHcloud mantiene plugin ufficiali come la crittografia ETCD di Kubernetes a riposo, la firma delle immagini OCI protette da KMS con Cosign, l'auto-unseal per OpenBao e la crittografia dei file di state/plan per OpenTofu e altri.
*SSE-OMK: Crittografia lato server - OVHcloud Managed Key