Key Management Service (KMS)
Zarządzaj wszystkimi kluczami kryptograficznymi w jednym miejscu - chronionymi programowo i sprzętowo
Zwiększ poziom bezpieczeństwa i sprawnie zarządzaj kluczami kryptograficznymi za pomocą Key Management Service (KMS) od OVHcloud.
OVHcloud KMS umożliwia łatwe, centralne zarządzanie kluczami szyfrującymi dla wszystkich aplikacji - działających w chmurze, środowisku hybrydowym lub on premises - za pośrednictwem otwartych standardów (KMIP i REST API).
Jeśli ze względu na wymogi zgodności konieczna jest sprzętowa ochrona kluczy, wystarczy zaznaczyć jedno pole, aby włączyć KMS on HSM. Nadal korzystasz z tej samej konsoli, API, polityk IAM oraz logów audytowych. Migracja nie jest potrzebna.
Przewidywalne ceny - jedna miesięczna opłata za każdy klucz, bez limitu wywołań API
Otwarte standardy - KMIP i REST API, bez vendor lock-in
Certyfikaty ISO 27001 i FIPS 140-3 Level 1
KMS on HSM - sprzętowa ochrona kluczy (FIPS 140-3 Level 3, EAL4+)
BYOK - bezpieczny import własnego klucza
Wybór regionu - klucze są przechowywane wyłącznie w wybranej jurysdykcji
Rozwiązanie gwarantujące bezpieczeństwo i kontrolę
Ochrona danych jednym kliknięciem
Uprość szyfrowanie i zabezpieczaj dane jednym kliknięciem w kompatybilnych usługach OVHcloud za pomocą OVHcloud Managed Key (OMK).
Pełna kontrola dostępu do kluczy
Zarządzaj kluczami kryptograficznymi i precyzyjnie kontroluj dostęp przy użyciu OVHcloud IAM. W ten sposób zwiększasz bezpieczeństwo i zapewniasz zgodność z przepisami.
Przewidywalne ceny bez opłat za zapytania
Stała miesięczna opłata za każdy klucz obejmuje nieograniczoną liczbę wywołań API, dzięki czemu koszty pozostają przewidywalne niezależnie od skali wykorzystania.
Sprzętowa ochrona kluczy na żądanie
KMS on HSM umożliwia przechowywanie i ochronę kluczy w sprzętowych modułach HSM zgodnych z FIPS 140-3 Level 3 (Thales Luna HSM, EAL4+). Korzystasz z tego samego API, konsoli, polityk IAM i logów audytowych, bez zmian w kodzie.
Własne klucze (BYOK)
Zwiększ poufność danych dzięki Bring Your Own Keys (BYOK). Zachowujesz pełną kontrolę nad cyklem życia kluczy kryptograficznych i możesz używać ich we wszystkich aplikacjach działających w OVHcloud, chmurze innego dostawcy lub we własnej infrastrukturze.
Kompatybilność z Nutanix
System szyfrowania stworzony do współpracy ze środowiskami Nutanix, zapewnia pełną zgodność z branżowymi standardami i nie zakłóca bieżących operacji w Twojej firmie.
SDK i CLI w modelu open source
KMS SDK i CLI od OVHcloud są rozwiązaniami open source, co ułatwia integrację KMS w różnych środowiskach technologicznych. To pierwszy krok w kierunku udostępnienia całego OVHcloud KMS jako oprogramowania open source.
Kluczowe funkcje
Regionalizacja
Wybierz preferowany region do przechowywania kluczy kryptograficznych, aby zwiększyć wydajność aplikacji i zapewnić suwerenność danych.
Zgodność z normami bezpieczeństwa
Certyfikaty ISO 27001 i FIPS 140-3 Level 1. Aby zapewnić sprzętową ochronę kluczy zgodną z FIPS 140-3 Level 3, skorzystaj z KMS on HSM.
Interoperacyjność z KMIP
Pełna obsługa Key Management Interoperability Protocol (KMIP) - OVHcloud KMS to jedyna z głównych usług KMS w chmurze, która natywnie obsługuje ten protokół. Połącz z KMS rozwiązania VMware, Nutanix, OpenStack lub dowolną aplikację zgodną z KMIP.
Niezawodność dzięki Multi-DC
Klucze są replikowane w wielu centrach danych, a ich kopia zapasowa jest przechowywana odrębnym regionie.
Bring Your Own Key (BYOK)
Importuj i eksportuj materiał klucza bez przesyłania go w postaci niezaszyfrowanej dzięki zastosowaniu mechanizmu RSA key wrapping. Funkcja jest obecnie dostępna za pośrednictwem REST API, CLI OKMS oraz Go SDK.
Integracje
Kontrola dostępu
KMS jest natywnie zintegrowany z OVHcloud IAM, co umożliwia szczegółowe zarządzanie dostępem do każdego klucza na podstawie ról.
Audyt
Każde zdarzenie w cyklu życia klucza jest rejestrowane w OVHcloud Logs Data Platform (LDP), co zapewnia pełną historię zdarzeń z możliwością jej przeszukiwania.
Kubernetes
Szyfruj dane Kubernetes ETCD w spoczynku za pomocą oficjalnej wtyczki okms-k8s-encryption-provider.
Cosign
Podpisuj obrazy kontenerów OCI za pomocą kluczy przechowywanych w KMS i identyfikatora URI ovhcloud://, korzystając z oficjalnej integracji sigstore-kms-ovhcloud.
OpenBao
Automatycznie odblokowuj sejfy OpenBao za pomocą kluczy przechowywanych w KMS i oficjalnej wtyczki openbao-kms-ovhcloud.
OpenTofu
Szyfruj pliki stanu i planów OpenTofu za pomocą kluczy przechowywanych w KMS i oficjalnego zewnętrznego dostawcy kluczy opentofu-kms-ovhcloud.
KMS
(bez limitu wywołań API)
KMS on HSM
(bez limitu wywołań API)
Ochrona programowa lub sprzętowa
OVHcloud KMS zapewnia dwa poziomy ochrony. W przypadku większości obciążeń wystarczają klucze chronione programowo (Customer Managed Key - CMK). Jeśli ze względu na wymogi zgodności konieczna jest sprzętowa ochrona kluczy zgodna z FIPS 140-3 Level 3 i EAL4+, wystarczy zaznaczyć jedno pole, aby włączyć KMS on HSM. Nadal korzystasz z tego samego KMS, API, konsoli, polityk IAM i historii audytu. Nie musisz nic zmieniać w integracji.
KMS (ochrona programowa) | KMS on HSM (ochrona sprzętowa) | |
|---|---|---|
Ochrona kluczy | Software, FIPS 140-3 Level 1 | Hardware, FIPS 140-3 Level 3, EAL4+ (Thales Luna HSM) |
API / IAM | REST + KMIP, OVHcloud IAM | REST API, OVHcloud IAM |
Jak włączyć | Zamów domenę KMS, utwórz CMK z poziomem ochrony „Software” | Zamów domenę KMS, utwórz CMK z poziomem ochrony „Hardware” |
Obsługa BYOK | Tak - import/eksport przez RSA key wrapping (REST API, OKMS CLI, Go SDK) | Tak - import/eksport przez RSA key wrapping (REST API, OKMS CLI, Go SDK) |
Cena | 0,2862 PLN netto /key/m-c 0,352 PLN brutto/key/m-c nieograniczona liczba wywołań API | 4,77 PLN netto /key/m-c 5,87 PLN brutto/key/m-c w cenie, nieograniczona liczba wywołań API |
Dostępność | ||
Zastosowanie | Większość obciążeń: szyfrowanie aplikacji, VMware/Nutanix przez KMIP, izolacja kluczy w środowiskach multi-tenant MSP, migracje wymagające BYOK | Audyty lub zapytania ofertowe wskazujące na konieczność zastosowania FIPS 140-3 Level 3 lub sprzętowej ochrony kluczy; projekty wymagające zgodności z PCI DSS, DORA lub HDS oraz sprzętowej ochrony kluczy. |
Specyfikacja techniczna
Kategoria | Szczegóły |
|---|---|
Architektura | Replikacja w wielu centrach danych w regionie podstawowym; równoważenie obciążenia między instancjami KMS; kopie zapasowe w 2 centrach danych w różnych lokalizacjach geograficznych.
Architektura zapewnia ciągłość działania nawet w przypadku awarii partycji HSM, urządzenia HSM lub całego centrum danych. |
Obsługiwane API | REST API |
Typy kluczy | Symetryczne: AES 128/192/256-bit. Asymetryczne: RSA-1024/2048/3072/4096; EC-256/384/521 |
Operacje | Encrypt/Decrypt (AES-GCM); Sign/Verify (ECDSA SHA-256/384/512, RSA PKCS1) |
Kontrola dostępu | OVHcloud IAM - uwierzytelnianie za pomocą certyfikatów, autoryzacja na podstawie polityk |
Audyt | Rejestracja wszystkich zdarzeń w całym cyklu życia klucza w OVHcloud Logs Data Platform |
| Dostępność KMS w regionach | |
| Dostępność KMS on HSM w regionach | Stopniowo wdrażany we wszystkich regionach |
| Certyfikaty - KMS (software) | ISO 27001; FIPS 140-3 Level 1 (NIST CMVP Certificate #5203) |
| Certyfikaty - KMS on HSM (hardware) | Wykorzystuje Thales Luna HSM z certyfikacją FIPS 140-3 Level 3, EAL4+ |
| BYOK |
|
| Integracje z rozwiązaniami innych dostawców | Oprócz natywnej obsługi KMIP (VMware, Nutanix, OpenStack) dostępne są oficjalne wtyczki:
|
Cennik
Tryb | Cena |
OMK (OVHcloud Managed Key) | 0 PLN netto /m-c |
CMK (Customer Managed Key) | 0,2862 PLN netto /key/m-c 0,352 PLN brutto/key/m-c nieograniczona liczba wywołań API |
KMS z HSM (CMK z ochroną sprzętową) | 4,77 PLN netto /key/m-c 5,87 PLN brutto/key/m-c w cenie, nieograniczona liczba wywołań API |
Uwaga dotycząca cen BYOK: brak dodatkowych opłat - klucze importowane lub eksportowane za pomocą BYOK są fakturowane według standardowej stawki za Customer Managed Key (CMK).
Potrzebujesz programowej lub sprzętowej ochrony kluczy?
Utwórz konto i uruchom KMS w kilka minut.
Przykłady zastosowania
Szyfrowanie Object Storage bez dodatkowej konfiguracji
Łatwe szyfrowanie OVHcloud Object Storage za pomocą Server-Side Encryption przy użyciu OVHcloud Managed Keys (OMK) - bez konieczności zarządzania kluczami.
Kompleksowe szyfrowanie VMware on OVHcloud
Szyfruj obciążenia VMware i zarządzaj pełnym cyklem życia kluczy za pośrednictwem natywnego interfejsu KMIP - twórz, rotuj i wycofuj klucze w zależności od potrzeb.
Zarządzanie kluczami wielu klientów przez MSP
Zarządzaj kluczami kryptograficznymi wielu klientów przez REST API. Klucze każdego klienta są odizolowane, a dostęp do nich można delegować.
Sprzętowa ochrona kluczy dla obciążeń podlegających regulacjom (KMS on HSM)
Jeśli audyt lub zapytanie ofertowe wskazuje konkretnie FIPS 140-3 Level 3 lub wymóg sprzętowej ochrony kluczy - np. dla zasobów sektora bankowego, ochrony zdrowia lub administracji publicznej objętych PCI DSS, DORA lub HDS - wystarczy zaznaczyć jedno pole, aby włączyć KMS on HSM dla istniejącego CMK.
Migracja lub potwierdzenie pochodzenia klucza dzięki BYOK
Zaimportuj do OVHcloud KMS własny materiał klucza wygenerowany w zewnętrznym systemie (lub wyeksportuj go z powrotem) za pomocą RSA key wrapping. Materiał klucza pozostaje przez cały czas zaszyfrowany. Jest to przydatne podczas migracji z innego KMS lub gdy klient bądź audytor wymaga potwierdzenia, że kontrolujesz, gdzie klucz został wygenerowany.
Zintegrowane produkty: zarządzanie tożsamością, bezpieczeństwo danych i obserwowalność
FAQ
Jaki jest model cenowy Key Management Service (KMS)?
Każdy klucz, który tworzysz i przechowujesz w OVHcloud KMS, kosztuje 0,2862 PLN netto /key/m-c 0,352 PLN brutto/key/m-c. Cena jest taka sama dla kluczy symetrycznych i asymetrycznych oraz we wszystkich regionach OVHcloud. Wywołania API i OVHcloud Managed Keys (OMK) są bezpłatne.
W jaki sposób zabezpieczane są kopie zapasowe kluczy szyfrujących?
OVHcloud przechowuje zaszyfrowane kopie zapasowe kluczy w wielu regionach lub strefach dostępności. Szczegółowe informacje znajdziesz w przewodniku dotyczącym architektury KMS.
Czy mogę połączyć moje usługi lub aplikacje z OVHcloud KMS za pomocą protokołu KMIP?
Tak. Z OVHcloud KMS można połączyć dowolną usługę lub aplikację zgodną z KMIP - działającą on-premises, w OVHcloud lub w chmurze innego dostawcy. Listę obsługiwanych operacji znajdziesz w przewodniku dotyczącym integracji z KMIP.
Co to jest KMS on HSM i czym się różni od standardowego KMS?
KMS on HSM to poziom sprzętowej ochrony usługi OVHcloud KMS. Korzysta z tego samego API, tej samej konsoli, tych samych polityk IAM i dzienników audytu co standardowy KMS, dlatego sposób integracji pozostaje bez zmian. Różnica dotyczy sposobu ochrony materiału klucza: standardowe klucze KMS są chronione programowo (FIPS 140-3 Level 1), natomiast klucze KMS on HSM są chronione przez sprzętowy moduł bezpieczeństwa Thales Luna (HSM), certyfikowany zgodnie z FIPS 140-3 Level 3 i EAL4+.
Czy OVHcloud KMS jest certyfikowany?
Tak. OVHcloud KMS (software) ma certyfikaty ISO 27001 i FIPS 140-3 Level 1. W przypadku KMS on HSM klucze są chronione sprzętowo zgodnie z FIPS 140-3 Level 3 i EAL4+.
Czy mogę używać własnych kluczy szyfrujących (BYOK)?
Tak. BYOK umożliwia import i eksport materiału klucza przy użyciu mechanizmu RSA key wrapping, dzięki czemu klucz nigdy nie jest przesyłany w postaci niezaszyfrowanej. Funkcja jest obecnie dostępna za pośrednictwem REST API, CLI OKMS oraz Go SDK. Obecnie występują dwa ograniczenia: BYOK nie jest jeszcze dostępny za pośrednictwem protokołu KMIP ani dla kluczy KMS on HSM (z poziomem ochrony HSM). Obecnie funkcja ta jest dostępna wyłącznie dla standardowych kluczy chronionych programowo.
Co stanie się z moimi kluczami, jeśli centrum danych stanie się niedostępne?
Klucze są replikowane w wielu centrach danych w wybranym regionie, a ich kopie zapasowe są przechowywane w dwóch odrębnych geograficznie regionach lub strefach dostępności. Dzięki temu na poziomie magazynu kluczy nie występuje pojedynczy punkt awarii.
Czy OVHcloud KMS można zintegrować z narzędziami takimi jak Kubernetes, Cosign, OpenBao lub OpenTofu?
Tak. Tak. Oprócz natywnej obsługi KMIP OVHcloud udostępnia oficjalne wtyczki umożliwiające m.in. szyfrowanie danych Kubernetes ETCD w spoczynku, podpisywanie obrazów OCI za pomocą Cosign z wykorzystaniem KMS, automatyczne odblokowywanie OpenBao oraz szyfrowanie plików stanu i planu OpenTofu. W przyszłości pojawią się kolejne wtyczki.
*SSE-OMK: Server Side Encryption - OVHcloud Managed Key