4 主流密钥管理服务对比：核心特性
做密钥生命周期自动化，第一步就是选对工具。我个人习惯把主流方案摸透了再落地。
今天咱们聊聊四大金刚：AWS KMS、Azure Key Vault、GCP Cloud KMS，还有HashiCorp Vault。
每个我都亲手用过——不是看文档就瞎吹，踩过的坑也不少。
4.1 为什么非要对比？
你想想看，不同场景下密钥轮换的策略完全不一样。
云原生环境，我肯定优先用云厂商的原生服务，省心。
但你如果搞混合云、多集群，或者被合规搞得头秃，HashiCorp Vault往往更灵活。
嗯，先不说结论，咱们把四个家伙拉出来溜溜。
4.2 一张表看清核心差异
| 特性维度 | AWS KMS | Azure Key Vault | GCP Cloud KMS | HashiCorp Vault |
|---|---|---|---|---|
| 服务类型 | 云托管HSM + KMS | 云托管HSM + 机密存储 | 云托管HSM + KMS | 开源/企业级，自托管或云 |
| 自动轮换 | ✅ 支持（每年默认轮换，可自定义） | ⚠️ 证书自动轮换成熟，密钥轮换需手动或SDK | ✅ 支持（基于版本，可配置周期） | ✅ 通过Secret Engine + 轮换插件 |
| HSM支持 | CloudHSM / 专用HSM | Managed HSM (FIPS 140-2 Level 3) | Cloud HSM / 外部HSM | 企业版支持PKCS#11 HSM封装 |
| 跨区域复制 | 多区域主密钥（Multi-Region Keys） | Key Vault标准版不支持，需要收费的Managed HSM | 支持，但通过Cloud KMS Key Ring同步 | 集群复制 / 灾难恢复需DR配置 |
| 集成生态 | 最强，几乎全AWS服务原生对接 | Azure服务强绑定，第三方需REST | GCP内集成好，外部稍弱 | 通用REST API，Kubernetes/CI/CD插件多 |
| 计费 | 按密钥 + API调用 + HSM小时 | 按密钥版本 + 读写操作 + 保险库标准 | 按密钥版本 + 加密操作次数 + HSM | 开源免费（自托管），企业版按节点收费 |
4.3 关键差异我踩过的坑
密钥轮换机制
AWS KMS和GCP Cloud KMS的轮换都是基于“版本”的。
比如你用aws kms rotate-key，它会生成新版本，老版本保留给解密用。
我曾经在GCP上配置了自动轮换周期，结果忘了改原有IAM权限，新版本密钥无法被应用读取——愣是排查了半天才发现轮换策略和权限是分开的。
教训： 轮换后必须检查权限继承，特别是跨项目场景。
HSM选项
Azure Key Vault的Managed HSM算是比较贵的，但合规性确实硬。
AWS KMS的CloudHSM适合做FIPS 140-2 Level 3的金融场景。
HashiCorp Vault企业版可以通过PKCS#11对接物理HSM，适合自建机房的银行客户。
我个人的建议：如果你的数据在云上，优先用云厂商的HSM方案；只有你完全控制网络时，才折腾Vault + HSM。
跨区域灾难恢复
这个坑特别大。
AWS KMS的多区域主密钥（Multi-Region Keys）是原生支持复制的，但注意它们是同一个密钥ID吗？不是，每个区域有独立的密钥材料，只是同步了元数据。
Azure Key Vault的Standard层不支持跨区域复制，你想做DR必须上Managed HSM，成本翻倍。
GCP Cloud KMS的Key Ring可以跨区域，但加密操作还是会优先从主区域转发，延迟你心里得有数。
HashiCorp Vault嘛……你如果做集群漂移，得提前设计好Seal/Unseal和存储后端的一致性。我曾经在Kubernetes上用Raft做存储，一挂全挂，后来老老实实上External Consul。
4.4 我的决策逻辑
我不喜欢只看表格就定，通常按这几步来：
- 环境锁定：用哪家云？如果已经All-in，直接用对应的KMS最省事。
- 轮换周期：需要90天以内的自动轮换？AWS KMS和GCP Cloud KMS轻松搞定；Azure Key Vault推荐用证书轮换，密钥轮换要自己写脚本。
- 有无混合云：只要涉及本地数据中心或其他公有云，直接上HashiCorp Vault。别硬凑云原生KMS跨云，网络开销和权限管理会让你崩溃。
- 合规审计：需要FIPS 140-2 Level 3且不想自己管HSM？选Azure Managed HSM或AWS CloudHSM。自己搞Vault + SoftHSM过不了审计。
- 成本敏感：小团队直接开源的HashiCorp Vault（自托管在K8s上），虽然运维累点，但API调用不收费。
4.5 避坑指南
我曾经在一个跨国项目里，因为Azure Key Vault的“自动轮换”功能只针对证书，导致密钥泄露后轮换延迟了三天。
后来我养成了一个习惯：每季度跑一次轮换测试，写个脚本模拟所有依赖方是否能拿到新密钥。
另外，AWS KMS的API节流（每秒300次左右）也容易在批量轮换时踩雷——我当时没加退避重试，结果生产环境加密请求超时。
所以，不管你用哪个，记得在SDK里配置指数退避和重试策略。
这张图是我自己画决策用的，核心就两条线：
一条走「我就在一朵云里」，另一条走「我要跨云/自建」。
别幻想用KMS做跨云密钥同步——我试过，延迟高、权限爆炸，最后还是老老实实上Vault。