Les fondamentaux de l’offre Managed KMS
Le service Managed KMS (Key Management Service) est une plateforme de gestion du cycle de vie des clés cryptographiques, entièrement managée et déployée sur l’infrastructure souveraine SecNumCloud de Cloud Temple. Basé sur Cosmian KMS — solution française open-source de référence — et ancré sur une racine de confiance matérielle Thales Luna HSM (FIPS 140-3 Level 3), ce service offre le plus haut niveau de protection pour vos clés cryptographiques.
Le Managed KMS répond au défi fondamental de la souveraineté des données : chiffrer est nécessaire, mais la sécurité du chiffrement dépend entièrement de la protection des clés. Ce service assure que vos clés maîtresses ne quittent jamais le HSM en clair, que leur cycle de vie est audité, et que l’accès est gouverné par des politiques granulaires — le tout sur une infrastructure 100% française, qualifiée SecNumCloud.
Compatible avec les standards industriels (KMIP 2.1, PKCS#11, REST API), il s’intègre nativement avec l’ensemble de l’écosystème applicatif Cloud Temple et tiers, sans verrouillage propriétaire.
Nos démarches de conformité
Notre offre Managed KMS est certifiée HDS et ISO 27 001
Les bénéfices de l’offre Managed KMS de Cloud Temple
Souveraineté totale
Double contrôle technologique et géographique
Garantir que vos clés et données restent sous contrôle français, avec Cosmian KMS et Cloud Temple (SecNumCloud), sans dépendance à des fournisseurs étrangers.
Sécurité matérielle renforcée
Racine de confiance inviolable
Protéger les clés maîtresses dans un HSM certifié FIPS 140-3 Level 3, assurant que la matière cryptographique ne quitte jamais le HSM en clair, même pour les administrateurs.
Interopérabilité et flexibilité
Standards ouverts et modèles de clés variés
Supporter KMIP 2.1 pour une intégration aisée avec vos applications et permettre BYOK, HYOK ou génération interne, selon vos besoins de contrôle et de gouvernance.
Opération simplifiée
Zéro Ops avec intégration Cloud Temple
Bénéficier d’un déploiement, HA, mises à jour et supervision entièrement gérés, avec une intégration native à Object Storage, Managed Kubernetes, Managed SIEM et réseau privé isolé.
Les fonctionnalités clé de notre Managed KMS
Gestion du cycle de vie des clés
Création, activation, désactivation, révocation et destruction sécurisée des clés selon le standard KMIP 2.1. Statuts : Pre-Active → Active → Deactivated → Compromised → Destroyed.
Racine de confiance HSM (Thales Luna)
Les KEK (Key Encryption Keys) maîtresses sont générées et stockées dans le HSM Thales Luna (FIPS 140-3 Level 3). Les clés applicatives sont “enveloppées” (wrapped) par la KEK HSM.
Types de clés supportés
AES-128/192/256, RSA-2048/3072/4096, EC (P-256, P-384, P-521), Ed25519, Ed448, X25519, ChaCha20.
Opérations cryptographiques
Chiffrement/déchiffrement (AES-GCM, AES-CBC, RSA-OAEP, ECIES), signature/vérification (ECDSA, EdDSA, RSA-PSS), enveloppement/désenveloppement (Key Wrapping RFC 3394).
API REST & KMIP 2.1
Interface REST JSON native + support du protocole KMIP 2.1 (standard OASIS) pour l’interopérabilité avec les applications KMIP-compatibles.
PKCS#11 Interface
Interface PKCS#11 pour les applications utilisant ce standard industriel (HSM logiciel, intégrations OpenSSL, Java JCA/JCE).
BYOK (Bring Your Own Key)
Import de matière clé externe dans le KMS avec wrapping par la KEK HSM. Contrôle total de la provenance des clés.
HYOK (Hold Your Own Key)
Les clés restent sous contrôle exclusif du client (dans son propre HSM ou périmètre) ; le KMS n’agit qu’en proxy pour les opérations cryptographiques.
Rotation automatique des clés
Politiques de rotation configurables par clé (durée de vie, rotation à date fixe). Rekeying transparent sans interruption des applications.
Contrôle d’accès (ABAC)
Contrôle d’accès basé sur les attributs (Attribute-Based Access Control) : politiques granulaires par client, application, opération et périmètre.
Authentification forte
OIDC/JWT (intégration avec les fournisseurs d’identité existants) et authentification par certificat TLS client (mTLS).
Audit trail immuable
Journalisation de toutes les opérations cryptographiques (qui, quoi, quand, sur quelle clé) avec horodatage signé. Export vers les puits de logs centralisés.
Spécifications techniques
Un projet de chiffrement souverain ou de mise en conformité cryptographique ? Échangeons ensemble.
Vous souhaitez centraliser la gouvernance de vos clés (BYOK/HYOK), protéger vos secrets Kubernetes (etcd) ou vous conformer aux exigences réglementaires strictes (LPM, NIS2, DORA, PCI-DSS) avec une racine de confiance matérielle inviolable ? Nos architectes sécurité vous accompagnent pour dimensionner votre cluster Cosmian KMS et votre infrastructure HSM Thales Luna sur notre cloud qualifié SecNumCloud.
Partagez-nous les enjeux de votre projet via ce formulaire : nous reviendrons vers vous rapidement pour concevoir le socle cryptographique adapté à vos applications.
Cas d’usages
Non, la séparation des responsabilités est stricte.
L’architecture garantit que Cloud Temple n’a accès qu’au plan de contrôle (l’infrastructure). La matière cryptographique de vos clés maîtresses (KEK) ne quitte jamais le HSM Thales Luna en clair, même pour nos administrateurs ou lors des sauvegardes. Vos clés applicatives (DEK) sont “enveloppées” (chiffrées) par le HSM. Vous gardez un contrôle exclusif sur le plan de données.
Non, l’isolation réseau est totale.
Les endpoints de l’API REST, du protocole KMIP 2.1 et de l’interface PKCS#11 sont exclusivement accessibles depuis votre réseau privé Cloud Temple. Aucune exposition publique n’est possible, ce qui réduit drastiquement la surface d’attaque.
La racine de confiance matérielle et le SLA.
En environnement de Production (multi-AZ), le service s’appuie sur une véritable racine de confiance matérielle : un HSM Thales Luna Network dédié et certifié FIPS 140-3 Level 3, avec un SLA de 99,90%. En environnement de Dev/Test (mono-AZ), pour optimiser les coûts, le backend cryptographique repose sur un HSM logiciel (SoftHSM2) ou un accès partagé, et n’est soumis à aucun engagement de disponibilité (SLA).
La destruction d’une clé est définitive et irréversible.
Pour éviter tout drame industriel, une opération de destruction nécessite un processus de “double validation” (double approval). C’est crucial car si vous détruisez une clé maîtresse (KEK) dans le HSM, toutes les données chiffrées par les clés applicatives (DEK) protégées par cette KEK deviendront définitivement inaccessibles.
Oui, le mode “Hold Your Own Key” est supporté.
Le Managed KMS vous permet de laisser vos clés sous votre contrôle exclusif, par exemple dans votre propre HSM hébergé on-premise. Dans ce cas, le KMS Cloud Temple n’agit qu’en tant que proxy pour les opérations cryptographiques. Attention toutefois : ce mode nécessite que votre HSM soit accessible depuis le réseau Cloud Temple (via VPN IPsec ou interconnexion dédiée).
Une réversibilité continue, sans verrouillage propriétaire.
Parce que le service s’appuie sur le standard ouvert KMIP 2.1 (OASIS), vos clés restent votre propriété et sont exportables à tout moment, en self-service, au format KMIP/JSON. Vous pouvez ainsi les réimporter dans n’importe quel autre KMS compatible du marché. À la résiliation, nous procédons à une destruction cryptographique sécurisée (zero-fill HSM et base de données) sous 7 jours, avec remise d’un certificat de destruction.