OpenTofu cifra stato e piani con le chiavi gestite di OVHcloud KMS

OVHcloud ha pubblicato un key provider esterno che collega OpenTofu al proprio servizio KMS (Key Management Service), per cifrare i file di stato e di piano usati da chi gestisce infrastruttura con Infrastructure as Code. La novità riguarda chi usa OVHcloud per il provisioning di VPS, bare metal o public cloud e vuole evitare di avere credenziali e metadati di infrastruttura in chiaro nello state file.

Come funziona

L'integrazione arriva tramite l'external key provider di OpenTofu per OVHcloud KMS, mantenuto da OVHcloud, che permette di usare chiavi di cifratura gestite per proteggere lo stato dell'infrastruttura. Il provider si installa con uno script separato dal binario OpenTofu e richiede, lato OVHcloud, un dominio OKMS, una Service Key di tipo AES con uso "Wrap/Unwrap" e un utente IAM locale per l'autenticazione.

Tra i prerequisiti compare esplicitamente la CLI di OpenTofu in versione 1.13 o superiore, quella in cui i key provider esterni non sono più sperimentali. Il provider supporta sia l'autenticazione a token sia quella mutual TLS.

Nella pratica, il file terraform.tfstate dopo l'attivazione non contiene più valori in chiaro ma un blob encrypted_data, con la chiave di cifratura rigenerata a ogni esecuzione: una nuova data key effimera viene creata e avvolta (wrap) dalla Service Key OVHcloud a ogni tofu plan o tofu apply.

I limiti, dichiarati dalla stessa OVHcloud

Vale la pena ricordarli perché spesso vengono dati per scontati: la cifratura protegge i dati a riposo, ma non sostituisce backup e versioning dello stato, non impedisce la corruzione dei dati né attacchi di replay su file di stato o piano più vecchi, e non impedisce a chi esegue il comando tofu di leggere i valori sensibili, perché deve poter accedere allo stato decifrato. Se si perde la chiave, lo stato cifrato diventa irrecuperabile.

Quanto costa il KMS sottostante

L'integrazione in sé non ha un costo aggiuntivo, ma consuma il servizio KMS di OVHcloud, che ha un listino separato: ogni chiave creata e mantenuta sul KMS software costa 0,07 dollari al mese con chiamate API illimitate, mentre la versione hardware-backed su HSM costa 1 dollaro al mese per chiave, sempre con chiamate illimitate. Le chiavi gestite direttamente da OVHcloud (OMK) restano gratuite.

Chi vuole provare l'integrazione può installare il provider con lo script di setup indicato nella guida OVHcloud e segnalare problemi tramite il repository GitHub del progetto.