Key Management Service (KMS)
Administre todas as suas chaves criptográficas num só local – das geridas por software às geridas por hardware
Fomente a segurança e administre eficazmente as suas chaves criptográficas com o Key Management Service (KMS) da OVHcloud.
Pensado para uma integração perfeita, o KMS da OVHcloud permite-lhe gerir centralmente as chaves de encriptação de todas as suas aplicações – cloud, híbridas ou on-premises – através de padrões abertos (KMIP e API REST).
Quando os requisitos de conformidade exigem uma custódia de chaves baseada em hardware, faça o upgrade para o KMS on HSM de forma extremamente simples – a mesma consola, a mesma API, as mesmas políticas de IAM, os mesmos logs de auditoria, sem qualquer migração.
Faturação previsível – um preço por chave por mês, chamadas API ilimitadas
Padrões abertos – KMIP e API REST, sem dependência de tecnologias proprietárias
Certificação ISO 27001 e FIPS 140-3 Nível 1
KMS on HSM – chaves baseadas em hardware (FIPS 140-3 Nível 3, EAL4+)
BYOK – importe chaves de forma segura
Escolha a região – as chaves nunca saem da sua jurisdição
Ideal em termos de segurança e controlo
Proteção de dados com um clique
Simplifique a encriptação e proteja os seus dados instantaneamente com um único clique em produtos OVHcloud compatíveis (OVHcloud Managed Keys, ou OMK), sem comprometer a sua proteção.
Gestão total do acesso às chaves
Faça a gestão das suas chaves criptográficas com um controlo de acessos inigualável através do IAM da OVHcloud, reforçando a segurança e a conformidade em toda a sua organização.
Faturação previsível, sem taxas de consulta
Preço mensal fixo por chave com chamadas API ilimitadas – previsibilidade orçamental com qualquer volume de utilização.
Baseado em hardware, a pedido
Use o KMS on HSM para custódia de hardware FIPS 140-3 Nível 3 (Thales Luna HSM, EAL4+) – a mesma API, a mesma consola, as mesmas políticas de IAM, os mesmos logs de auditoria, sem alterações de código.
As suas chaves (BYOK)
Reforce a privacidade dos dados com o Bring Your Own Keys (BYOK) – Mantenha um controlo absoluto sobre o ciclo de vida das suas chaves criptográficas e utilize-as em todas as suas aplicações – quer estejam na OVHcloud, num CSP de terceiros ou on-premises.
Certificação Nutanix Ready
Concebido para funcionar perfeitamente em ambientes Nutanix, garantindo que as práticas de encriptação não perturbam operações existentes, e em conformidade absoluta com as normas da indústria.
SDK e CLI open-source
O SDK e o CLI do KMS da OVHcloud são open-source. Isto simplifica a integração do KMS em diferentes pilhas tecnológicas, constituindo um primeiro passo para o open- sourcing do KMS da OVHcloud.
Principais funcionalidades
Regionalização
Escolha a região da sua preferência para armazenar as suas chaves criptográficas, tendo em vista um melhor desempenho da aplicação e a soberania dos dados.
Conformidade de segurança certificada
Certificação ISO 27001 e FIPS 140-3 Nível 1. Para custódia de hardware FIPS 140-3 Nível 3, utilize o KMS on HSM.
Interoperabilidade KMIP
Suporte total para o Key Management Interoperability Protocol (KMIP) – o único grande KMS cloud a oferecê-lo de forma nativa. Associe VMware, Nutanix, OpenStack ou qualquer aplicação compatível com KMIP.
Fiabilidade multi-DC
As chaves são replicadas em vários datacenters, com backup numa região remota.
Bring Your Own Key (BYOK)
Importe e exporte material de chaves sem nunca o transmitir em texto simples, utilizando o encapsulamento de chaves RSA. Já disponível através da API REST, da CLI OKMS e do SDK Go.
Integrações
Controlo de acessos
O KMS integra-se nativamente com o IAM da OVHcloud, para um acesso granular e baseado em funções a cada chave.
Auditoria
Todos os eventos importantes do ciclo de vida da chave é registado no Log Data Platform (LDP) da OVHcloud, para um registo de auditoria completo e consultável.
Kubernetes
Encripte o etcd do Kubernetes em repouso com o plugin oficial okms-k8s-encryption-provider.
Cosign
Assine imagens de container OCI com chaves suportadas por KMS através de um URI ovhcloud://, utilizando o sigstore-kms-ovhcloud oficial
OpenBao
Desbloqueie automaticamente os seus cofres OpenBao com chaves suportadas por KMS através do plugin de selagem oficial openbao-kms-ovhcloud.
OpenTofu
Encripte ficheiros de estado/plano do OpenTofu com chaves suportadas por KMS através do fornecedor de chaves externo oficial opentofu-kms-ovhcloud.
KMS
(chamadas API ilimitadas)
KMS on HSM
(chamadas API ilimitadas)
Com gestão por software ou hardware
O KMS da OVHcloud apresenta dois níveis de proteção. A maioria das cargas de trabalho funciona sem problemas com chaves geridas por software (Customer Managed Key, ou CMK). Quando o mandato de conformidade exigir especificamente a custódia de chaves gerida por hardware – FIPS 140-3 Nível 3, EAL4+ –, ative o KMS on HSM com um só clique. É o mesmo KMS: mesma API, mesma consola, mesmas políticas de IAM, mesmo registo de auditoria. Nada na sua integração muda.
KMS (suportado por software) | KMS on HSM (suportado por hardware) | |
|---|---|---|
Custódia de chaves | Software, FIPS 140-3 Nível 1 | Hardware, FIPS 140-3 Nível 3, EAL4+ (Thales Luna HSM) |
API / IAM | REST + KMIP, IAM OVHcloud | API REST, IAM OVHcloud |
Como ativar | Encomende um domínio KMS, crie uma CMK com um nível de proteção por software | Encomende um domínio KMS, crie uma CMK com um nível de proteção por hardware |
Suporte BYOK | Sim – importação/exportação via encapsulamento de chave RSA (API REST, CLI OKMS, SDK Go) | Sim – importação/exportação via encapsulamento de chave RSA (API REST, CLI OKMS, SDK Go) |
Preço | 0,06 € + IVA/key/mês ou seja 0,07 € IVA incl./key/mês com chamadas API ilimitadas | 1 € + IVA/key/mês ou seja 1,23 € IVA incl./key/mês com tudo incluído, chamadas API ilimitadas |
Disponibilidade | ||
Ideal para | A maioria das cargas de trabalho: encriptação de aplicações, VMware/Nutanix via KMIP, isolamento de chaves multi-inquilino MSP, migrações que requerem BYOK | Resultados de auditoria ou RFP que mencionem especificamente FIPS 140-3 Nível 3 ou custódia baseada em hardware; acordos PCI DSS, DORA ou HDS com uma cláusula de custódia por hardware |
Especificações técnicas
Especificações | Pormenores |
|---|---|
Arquitetura | Replicação multi-DC dentro da região primária; instâncias KMS com distribuição de carga; backups em 2 datacenters geograficamente distantes.
Criado para sobreviver à perda de uma partição HSM, de um dispositivo HSM ou até de um datacenter inteiro. |
API suportadas | API REST |
Tipos de chave | Simétricas: AES 128/192/256-bit. Assimétricas: RSA-1024/2048/3072/4096; EC-256/384/521 |
Operações: | Encriptar/Desencriptar (AES-GCM); Assinar/Verificar (ECDSA SHA-256/384/512, RSA PKCS1) |
Controlo de acessos | IAM OVHcloud – autenticação baseada em certificados, autorização baseada em políticas |
Auditoria | Registo completo de eventos do ciclo de vida através do Log Data Platform da OVHcloud |
| Disponibilidade regional do KMS | |
| Disponibilidade regional do KMS on HSM | Implementação progressiva em todas as regiões |
| Certificações – KMS (software) | ISO 27001; FIPS 140-3 Nível 1 (Certificado NIST CMVP n.º 5203) |
| Certificações – KMS on HSM (hardware) | Suportado por Thales Luna HSM, com validação para FIPS 140-3 Nível 3, EAL4+ |
| BYOK |
|
| Integrações de terceiros | Para além do KMIP nativo (VMware, Nutanix, OpenStack), plugins oficiais como:
|
Preços
Modo | Preço |
OMK (OVHcloud Managed Key) | 0 € + IVA/mês |
CMK (Customer Managed Key) | 0,06 € + IVA/key/mês ou seja 0,07 € IVA incl./key/mês com chamadas API ilimitadas |
KMS on HSM (CMK suportada por hardware) | 1 € + IVA/key/mês ou seja 1,23 € IVA incl./key/mês com tudo incluído, chamadas API ilimitadas |
Nota sobre a faturação do BYOK: sem custos adicionais – as chaves importadas ou exportadas via BYOK são faturadas à taxa padrão do Customer Managed Key (CMK).
Precisa de uma custódia de chaves com gestão por software ou hardware?
Crie uma conta e lance o seu KMS em poucos minutos
Casos práticos
Encriptação sem atritos para o Object Storage
Encriptação fácil e sem manutenção para o Object Storage da OVHcloud, através de Server-Side Encryption com o OVHcloud Managed Keys (OMK) – sem encargos de gestão de chaves.
VMware on OVHcloud, encriptação ponta a ponta
Encripte cargas de trabalho VMware com controlo total do ciclo de vida das chaves através da interface KMIP nativa – crie, alterne e retire chaves conforme necessário.
Delegação de chaves multi-inquilino para MSP
Administre chaves criptográficas em nome de vários clientes através da API REST, com isolamento de chaves por cliente e delegação de acessos.
Custódia suportada por hardware para cargas de trabalho reguladas (KMS on HSM)
Quando uma auditoria ou RFP mencionar especificamente a norma FIPS 140-3 Nível 3 ou a custódia do módulo de segurança de hardware (HSM) – cargas de trabalho do setor bancário, da saúde ou do setor público ao abrigo das normas PCI DSS, DORA ou HDS –, ative o KMS on HSM numa CMK existente com um simples clique.
Migre ou comprove a soberania da génese da chave com o BYOK
Importe o seu próprio material de chaves gerado externamente para o KMS da OVHcloud (ou volte a exportá-lo) através de encapsulamento de chaves RSA, sem nunca o expor em texto simples, o que é útil ao migrar de outro KMS ou quando um cliente ou auditor exigir provas de que controla a origem de uma chave.
Produtos Identidade, Segurança dos Dados e Observabilidade Integrados
FAQ
Qual é o modelo de faturação para o Key Management Service (KMS)?
Cada chave que cria e armazena no KMS da OVHcloud custa 0,06 € + IVA/key/mês ou seja 0,07 € IVA incl./key/mês. O preço é igual para chaves simétricas e assimétricas, e em todas as regiões da OVHcloud. Não há cobrança de chamadas API nem do OVHcloud Managed Keys (OMK).
Como é feito o backup das chaves criptográficas?
A OVHcloud mantém backups encriptados das suas chaves em várias regiões ou zonas de disponibilidade. Para mais detalhes, consulte o guia da arquitetura KMS.
É possível ligar os meus serviços ou aplicações ao KMS da OVHcloud através do protocolo KMIP?
Sim. Qualquer serviço ou aplicação compatível com KMIP – on-premises, na OVHcloud ou numa cloud de terceiros – pode ser ligado/a ao KMS da OVHcloud. Para obter a lista de operações suportadas, consulte o guia de integração KMIP.
O que é o KMS on HSM e como difere do KMS padrão?
O KMS on HSM é o nível de proteção baseado em hardware para o KMS da OVHcloud. Utiliza a mesma API, a mesma consola, as mesmas políticas de IAM e os mesmos logs de auditoria que o KMS padrão – nada na sua integração muda. A diferença reside no local onde o material da chave é protegido: as chaves KMS padrão são protegidas por software (FIPS 140-3 Nível 1); as chaves KMS on HSM são protegidas por um módulo de segurança de hardware Thales Luna validado segundo a norma FIPS 140-3 Nível 3, EAL4+.
O KMS da OVHcloud tem certificações?
Sim. O KMS da OVHcloud (software) é certificado pela norma ISO 27001 e FIPS 140-3 Nível 1. O KMS on HSM é suportado por hardware validado segundo a norma FIPS 140-3 Nível 3, EAL4+.
Posso trazer as minhas próprias chaves de encriptação (BYOK)?
Sim. O BYOK permite-lhe importar e exportar material de chaves utilizando o encapsulamento de chaves RSA, para que a sua chave nunca viaje em texto simples. Está disponível através da API REST, da CLI OKMS e do SDK Go. Limitações atuais: O BYOK ainda não está disponível através do protocolo KMIP, nem para chaves KMS on HSM (nível de proteção HSM) – por enquanto, apenas para chaves-padrão protegidas por software.
O que acontece às minhas chaves se um datacenter ficar indisponível?
As chaves são replicadas por vários datacenters dentro da região escolhida e guardadas em duas regiões de backup/zonas de disponibilidade geograficamente distantes, pelo que não existe um ponto único de falha na camada de armazenamento de chaves.
O KMS da OVHcloud integra-se com outras ferramentas, como Kubernetes, Cosign, OpenBao ou OpenTofu?
Sim. Além do suporte nativo ao KMIP, a OVHcloud mantém plugins oficiais como a encriptação etcd do Kubernetes em repouso, a assinatura de imagens OCI com suporte KMS através do Cosign, o desbloqueio automático para OpenBao e a encriptação de ficheiros de estado/plano para OpenTofu, entre outros.
*SSE-OMK: Server Side Encryption - Chave gerida pela OVHcloud