Key Management Service (KMS)
Beheer al uw cryptografische sleutels op één plek — van softwarematig tot hardwarematig
Verbeter uw beveiliging en manage uw cryptografische sleutels efficiënt met de Key Management Service (KMS) van OVHcloud.
OVHcloud KMS is ontworpen voor naadloze integratie en u kunt er centraal encryptiesleutels mee beheren voor al uw applicaties — cloud, hybride of on-premises — via open standaarden (KMIP en REST API).
Wanneer uw compliancevereisten om hardwarematige sleutelbewaring vragen, kunt u met één enkel vinkje upgraden naar KMS on HSM — dezelfde console, dezelfde API, hetzelfde IAM-beleid, dezelfde auditlogs, geen migratie.
Voorspelbare prijzen — één prijs per sleutel/maand, onbeperkte API-calls
Open standaarden — KMIP en REST API, geen vendor lock-in
Gecertificeerd volgens ISO 27001 en FIPS 140-3 Level 1
KMS on HSM — hardwarematige sleutels (FIPS 140-3 Level 3, EAL4+)
BYOK — importeer veilig uw eigen sleutel
Kies uw regio — sleutels verlaten nooit uw jurisdictie
Gemaakt voor beveiliging en controle
Gegevensbescherming met één klik
Maak encryptie eenvoudiger en beveilig uw gegevens op compatibele OVHcloud-producten direct met één klik (OVHcloud Managed Key - OMK), zonder dat de bescherming hieronder lijdt.
Volledig toegangsbeheer voor sleutels
Beheer uw cryptografische sleutel(s) met een ongeëvenaarde toegangscontrole via OVHcloud IAM, zodat beveiliging en compliance in uw hele organisatie verbeteren.
Voorspelbare prijzen, geen querykosten
Vaste maandelijkse prijs per sleutel inclusief onbeperkte API-calls — een voorspelbaar budget bij elk gebruiksvolume.
Hardwarematig, on demand
Gebruik KMS on HSM voor hardwarematige bewaring volgens FIPS 140-3 Level 3 (Thales Luna HSM, EAL4+) — dezelfde API, dezelfde console, hetzelfde IAM-beleid, dezelfde auditlogs, geen codewijzigingen.
Uw sleutels (BYOK)
Maak uw gegevens nog vertrouwelijker met Bring Your Own Keys (BYOK) — behoud volledige controle over de levenscyclus van uw cryptografische sleutels en gebruik ze in al uw applicaties – of ze nu bij OVHcloud, bij een externe CSP of on-premises staan.
Gecertificeerd als Nutanix Ready
Ontworpen om probleemloos met Nutanix-omgevingen te werken: dit garandeert dat de encryptiehandelingen bestaande werkwijzen niet verstoren en volledig voldoen aan de standaarden in deze sector.
Opensource SDK en CLI
De KMS SDK en de CLI van OVHcloud zijn opensource. Hierdoor is de KMS gemakkelijker te integreren in diverse tech-stacks en dit is een eerste stap naar opensourcing van de OVHcloud KMS.
Belangrijkste kenmerken
Regionalisering
Kies een voorkeurregio om uw cryptografische sleutels op te slaan voor betere applicatieprestaties en gegevenssoevereiniteit.
Gecertificeerde beveiligingscompliance
Gecertificeerd volgens ISO 27001 en FIPS 140-3 Level 1. Gebruik KMS on HSM voor FIPS 140-3 Level 3 hardwarebewaring.
KMIP-interoperabiliteit
Volledige ondersteuning voor het Key Management Interoperability Protocol (KMIP) — de enige grote cloud-KMS die dit native aanbiedt. Koppel VMware, Nutanix, OpenStack of elke andere KMIP-compatibele applicatie.
Multi-DC betrouwbaarheid
Sleutels worden gerepliceerd over meerdere datacenters, met een back-up in een externe regio.
Bring Your Own Key (BYOK)
Importeer en exporteer sleutelmateriaal zonder het ooit in leesbare tekst te verzenden, met behulp van RSA key wrapping. Vandaag beschikbaar via REST API, de OKMS CLI en de Go SDK.
Integraties
Toegangscontrole
KMS integreert naadloos met OVHcloud IAM voor fijnmazige, op rollen gebaseerde toegang tot elke sleutel.
Audit
Elke gebeurtenis in de levenscyclus van een sleutel wordt gelogd naar het OVHcloud Log Data Platform (LDP) voor een volledige, doorzoekbare audittrail.
Kubernetes
Versleutel Kubernetes ETCD in rust met de officiële okms-k8s-encryption-provider plug-in.
Cosign
Onderteken OCI-containerimages met door KMS ondersteunde sleutels via een ovhcloud:// URI door de officiële sigstore-kms-ovhcloud te gebruiken
OpenBao
Ontgrendel uw OpenBao-vaults automatisch met door KMS ondersteunde sleutels via de officiële openbao-kms-ovhcloud seal plug-in.
OpenTofu
Versleutel OpenTofu-state- en -planbestanden met door KMS ondersteunde sleutels via de officiële opentofu-kms-ovhcloud externe sleutelprovider.
KMS
(onbeperkte API-calls)
KMS on HSM
(onbeperkte API-calls)
Softwarematig of hardwarematig ondersteund
OVHcloud KMS is beschikbaar in twee beschermingsniveaus. De meeste workloads draaien probleemloos op softwarematige sleutels (Customer Managed Key - CMK). Wanneer uw compliance-mandaat specifiek hardwarematige sleutelbewaring vereist — FIPS 140-3 Level 3, EAL4+ — schakelt u KMS on HSM met één enkel vinkje in. Het is dezelfde KMS: dezelfde API, dezelfde console, hetzelfde IAM-beleid, dezelfde audittrail. Er verandert niets in uw integratie.
KMS (softwarematig) | KMS on HSM (hardwarematig) | |
|---|---|---|
Sleutelbewaring | Software, FIPS 140-3 Level 1 | Hardware, FIPS 140-3 Level 3, EAL4+ (Thales Luna HSM) |
API / IAM | REST + KMIP, OVHcloud IAM | REST API, OVHcloud IAM |
Hoe in te schakelen | Bestel een KMS-domein, maak een CMK aan met een softwarebeschermingsniveau | Bestel een KMS-domein, maak een CMK aan met een hardwarebeschermingsniveau |
BYOK-ondersteuning | Ja — importeren/exporteren via RSA key wrapping (REST API, OKMS CLI, Go SDK) | Ja — importeren/exporteren via RSA key wrapping (REST API, OKMS CLI, Go SDK) |
Prijs | € 0,06 excl. btw/key/maand of € 0,07 incl. btw/key/maand onbeperkte API-calls | € 1 excl. btw/key/maand of € 1,21 incl. btw/key/maand all-in, onbeperkte API-calls |
Beschikbaarheid | ||
Het geschiktst voor | De meeste workloads: applicatie-encryptie, VMware/Nutanix via KMIP, MSP multi-tenant sleutelisolatie, BYOK-vereiste migraties | Auditbevindingen of RFP's die specifiek FIPS 140-3 Level 3 of hardwarematige bewaring noemen; PCI DSS, DORA, HDS-deals met een clausule voor hardwarebewaring |
Technische specificaties
Specificaties | Detail |
|---|---|
Architectuur | Multi-DC replicatie binnen de primaire regio; load-balanced KMS-instances; back-ups in 2 geografisch gescheiden back-updatacenters.
Gebouwd om het verlies van een HSM-partitie, een HSM-apparaat of zelfs een volledig datacenter te overleven. |
Ondersteunde API's | REST API |
Sleuteltypes | Symmetrisch: AES 128/192/256-bit. Asymmetrisch: RSA-1024/2048/3072/4096; EC-256/384/521 |
Exploitatie | Encryptie/Decryptie (AES-GCM); Ondertekenen/Verifiëren (ECDSA SHA-256/384/512, RSA PKCS1) |
Toegangscontrole | OVHcloud IAM — authenticatie op basis van certificaten, autorisatie op basis van beleid |
Audit | Volledig log van levenscyclusgebeurtenissen via OVHcloud Log Data Platform |
| KMS regionale beschikbaarheid | |
| KMS on HSM regionale beschikbaarheid | Geleidelijke uitrol in alle regio's |
| Certificeringen — KMS (software) | ISO 27001; FIPS 140-3 Level 1 (NIST CMVP-certificaat #5203) |
| Certificeringen — KMS on HSM (hardware) | Op basis van Thales Luna HSM, gevalideerd volgens FIPS 140-3 Level 3, EAL4+ |
| BYOK |
|
| Integratie van derden | Naast native KMIP (VMware, Nutanix, OpenStack), officiële plug-ins zoals:
|
Tarieven
Modus | Prijs |
OMK (OVHcloud Managed Key) | € 0 excl. btw/maand |
CMK (Customer Managed Key) | € 0,06 excl. btw/key/maand of € 0,07 incl. btw/key/maand onbeperkte API-calls |
KMS on HSM (hardwarematig CMK) | € 1 excl. btw/key/maand of € 1,21 incl. btw/key/maand all-in, onbeperkte API-calls |
Notitie bij BYOK-prijzen: geen extra kosten — sleutels die via BYOK worden geïmporteerd of geëxporteerd, worden gefactureerd tegen het standaardtarief voor door de klant beheerde sleutels (Customer Managed Key, CMK).
Heeft u software- of hardwarematig sleutelbeheer nodig?
Maak een account aan en start uw KMS binnen een paar minuten.
Use cases
Naadloze encryptie voor Object Storage
Eenvoudige, onderhoudsvrije encryptie voor OVHcloud Object Storage via Server-Side Encryption met OVHcloud-Managed Keys (OMK) — geen gedoe met sleutelbeheer.
VMware on OVHcloud, end-to-end versleuteld
Versleutel uw VMware-workloads met volledige controle over de levenscyclus van sleutels via de native KMIP-interface — maak sleutels aan, roteer ze en trek ze waar nodig in.
Multi-tenant sleuteldelegatie voor MSP's
Beheer cryptografische sleutels namens meerdere klanten via REST API, met sleutelisolatie per klant en toegangsdelegatie.
Hardwarematig beheer voor gereguleerde workloads (KMS on HSM)
Wanneer een audit of RFP specifiek vraagt om FIPS 140-3 Level 3 of beheer via een hardware security module — voor workloads in de bankensector, gezondheidszorg of publieke sector onder PCI DSS, DORA of HDS — schakel dan met één vinkje KMS on HSM in op een bestaande CMK.
Migreer of bewijs soevereiniteit over sleutelherkomst met BYOK
Importeer uw eigen extern gegenereerde sleutelmateriaal in OVHcloud KMS (of exporteer het weer naar buiten) via RSA key wrapping, zonder het ooit in leesbare tekst bloot te stellen — handig bij het migreren vanaf een andere KMS of wanneer een klant of auditor bewijs vereist dat u controle heeft over de oorsprong van een sleutel.
Geïntegreerde Identiteits-, Gegevensbeveiligings- en Observabiliteitsproducten
FAQ
Wat is de tariefstructuur van de Key Management Service (KMS)?
Elke sleutel die u aanmaakt en opslaat in OVHcloud KMS kost € 0,06 excl. btw/key/maand of € 0,07 incl. btw/key/maand. Dit is dezelfde prijs voor symmetrische en asymmetrische sleutels, en in elke OVHcloud-regio. API-calls en OVHcloud Managed Keys (OMK) worden niet in rekening gebracht.
Hoe worden encryptiesleutels veilig geback-upt?
OVHcloud bewaart versleutelde back-ups van uw sleutels in meerdere regio's of Availability Zones. Zie de handleiding met het overzicht van de KMS-architectuur voor meer informatie.
Kan ik mijn diensten of applicaties met OVHcloud KMS verbinden door middel van het KMIP-protocol?
Ja. Elke KMIP-compatibele dienst of applicatie — on-premises, bij OVHcloud of in een cloud van derden — kan verbinding maken met OVHcloud KMS. Zie de KMIP-integratiehandleiding voor de lijst met ondersteunde bewerkingen.
Wat is KMS on HSM en hoe verschilt dit van standaard KMS?
KMS on HSM is het hardwarematige beschermingsniveau voor OVHcloud KMS. Het gebruikt dezelfde API, dezelfde console, hetzelfde IAM-beleid en dezelfde auditlogs als standaard KMS — er verandert niets aan uw integratie. Het verschil zit in de plek waar het sleutelmateriaal wordt beschermd: standaard KMS-sleutels zijn softwarematig beschermd (FIPS 140-3 Level 1); KMS on HSM-sleutels worden beschermd door een FIPS 140-3 Level 3, EAL4+ gevalideerde Thales Luna hardware security module.
Is OVHcloud KMS gecertificeerd?
Ja. OVHcloud KMS (software) is gecertificeerd volgens ISO 27001 en FIPS 140-3 Level 1. KMS on HSM is gebaseerd op hardware die gevalideerd is volgens FIPS 140-3 Level 3, EAL4+.
Kan ik mijn eigen encryptiesleutels meenemen (BYOK)?
Ja. Met BYOK kunt u sleutelmateriaal importeren en exporteren met behulp van RSA key wrapping, zodat uw sleutel nooit in leesbare tekst wordt verzonden. Het is vandaag beschikbaar via de REST API, de OKMS CLI en de Go SDK. Twee huidige beperkingen: BYOK is nog niet beschikbaar via het KMIP-protocol en is niet beschikbaar voor KMS on HSM-sleutels (HSM-beschermingsniveau) — momenteel alleen voor standaard, softwarematig beschermde sleutels.
Wat gebeurt er met mijn sleutels als een datacenter onbereikbaar is?
Sleutels worden gerepliceerd over meerdere datacenters binnen de door u gekozen regio en geback-upt over twee geografisch gescheiden back-upregio's of Availability Zones, zodat er geen single point of failure is op het niveau van de sleutelopslag.
Integreert OVHcloud KMS met tools zoals Kubernetes, Cosign, OpenBao of OpenTofu?
Ja. Naast native KMIP-ondersteuning onderhoudt OVHcloud officiële plug-ins zoals Kubernetes ETCD-encryptie in rust, KMS-ondersteunde OCI image signing met Cosign, auto-unseal voor OpenBao en state/plan-bestandsencryptie voor OpenTofu, plus andere die binnenkort volgen.
*SSE-OMK: Server-side encryptie - OVHcloud Managed Key