主流云密钥服务对比：AWS KMS、Azure Key Vault、GCP Cloud KMS
做云上密钥管理的同学，早晚要面对这个问题：三家大厂都提供了托管密钥服务，到底该选哪个？
说实话，我之前在几个项目里反复横跳过。一开始图省事选AWS，后来客户要求必须用Azure，再后来多云的架构逼着我必须同时玩三个。踩了不少坑，也攒了些心得。
这一节，我就把三家服务放在一起拉个清单。功能、定价、集成方式，咱们挨个过一遍。你想想看，选错密钥服务，后续审计、成本、合规全都会跟着吃亏。
一、功能对照：看似差不多，细节差很多
AWS KMS、Azure Key Vault、GCP Cloud KMS，底层都是硬件安全模块（HSM）+软件管理的组合。但暴露出来的能力，每家各有侧重。
| 功能维度 | AWS KMS | Azure Key Vault | GCP Cloud KMS |
|---|---|---|---|
| 密钥类型 | 对称、非对称（RSA/ECC）、HMAC | 对称、非对称（RSA/EC）、密钥加密密钥 | 对称、非对称（RSA/EC）、外部密钥导入 |
| HSM支持 | 默认软件HSM，可选CloudHSM | 托管HSM可选（Azure Dedicated HSM） | 默认软件HSM，可选Cloud HSM（需额外付费） |
| 自动轮换 | 每年一次，可自定义周期（1年、2年等） | 手动触发，或通过Azure Policy设置自动化 | 支持自动轮换（90天或自定义） |
| 密钥审计 | CloudTrail记录所有API调用 | Azure Monitor / 诊断日志 | Cloud Audit Logs（含键使用记录） |
| 跨区域复制 | 多区域复制需手动创建副本 | 标准层支持区域冗余 | 全局密钥环支持密钥自动分布 |
| BYOK（自带密钥） | AWS CloudHSM + External Key Store | 自带密钥需导入Azure Key Vault | 直接导入外部密钥材料 |
| 与服务平台集成 | S3、EBS、RDS、Lambda等深度集成 | Azure Storage、SQL DB、VM加密等 | GCS、BigQuery、Compute Engine等 |
核心对比发现：AWS KMS的集成生态最广，Azure Key Vault在RBAC和条件访问上更强，GCP Cloud KMS的全局密钥环功能对多云架构最友好。
二、定价模型：不只是“按密钥收钱”
定价这个坑，我栽过。你以为只按密钥数量收费？其实大头在API调用次数和HSM费用上。
| 费用维度 | AWS KMS | Azure Key Vault | GCP Cloud KMS |
|---|---|---|---|
| 密钥存储（每月每条） | $1.0（对称），$5.0（非对称/RSA-4096） | $0.06（Key Vault标准），$0.03（托管HSM） | $0.06（全局），$0.01（区域） |
| API调用（每万次） | $0.03（加密/解密），$0.10（非对称） | $0.03（密钥操作），$0.06（非对称） | $0.03（对称），$0.12（非对称） |
| HSM额外费用 | CloudHSM $1.25/小时 | 托管HSM $0.15/小时 | Cloud HSM $0.08/小时 |
| 免费层 | 无免费层 | 每月10000次操作免费 | 每月10000次操作免费 |
我的实战建议：如果你的应用每秒调用密钥操作超过几十次，API调用费会快速飙升。我曾有一个业务，每天调用几十万次KMS加密，一个月账单超2000刀。后来加了一层缓存（用内存暂存加密结果），调用量跌了90%。
定价还有一个容易忽略的点：跨区域费用。比如你的密钥存储在us-east-1，但你在eu-west-1调用解密，AWS会收跨区域数据传输费；GCP Cloud KMS的全局密钥环避免了这个问题，因为这个区域密钥会自动分布。Azure Key Vault的互区域调用成本中等，但标准层不支持跨区域冗余。
避坑指南：我曾经在一个分布式项目中，把加密密钥放在了新加坡区域，而应用服务器在美西。每次加密/解密都要跨太平洋传输，不仅延迟高，月底账单多了300多刀的数据传输费。后来我改成在每个区域创建密钥副本，虽然多了几美元存储费，但整体成本降了70%以上。
三、核心架构对比图
四、选型决策要点
选哪家，不能只看功能表。我总结了三个关键问题，你可以拿来自检。
- 你的主要云平台是哪家？ 深度集成优先，否则跨服务调用成本高。
- 是否有BYOK或合规要求？ 如果必须自带HSM，AWS CloudHSM和Azure Dedicated HSM更成熟。
- 密钥调用量多大？ 如果每天上万次，仔细算API调用费 + 数据传输费。GCP的全局密钥环在分布式场景下可能更省。
我的个人习惯：对于初创产品或中小规模，我会先看免费层和低起步成本。Azure和GCP的免费1万次调用很适合初期。等到业务量上来了，再按实际账单做TCO对比。
五、常见误区与避坑
- 误区：KMS只是存密钥的。 其实每个API调用都可能产生费用，加密/解密、轮换、过期验证都会计费。
- 误区：HSM一开就高枕无忧。 选HSM时注意区域可用区和延迟。我见过一个案例，为了用CloudHSM选错了可用区，应用延迟增加了50ms。
- 误区：密钥审计可以和监控一起做。 云厂商审计日志默认可能不会记录密钥的具体数据（如密钥ID/别名）。需要在日志分析工具中配置额外的过滤规则。
总之，密钥服务选型就是权衡功能、成本、集成度。没有最好的，只有最适合你当前阶段的。下一轮迭代你可能就要换云或调整架构，所以一开始就做好可迁移设计很重要。不过，那是另外一个话题了。今天咱们先看到这里。