KMS 的计费模型：按调用次数、密钥存储等维度归纳总结
说白了，KMS 不是个免费玩具。它收你钱的地方，主要就两块：你调了多少次 和 你存了多少个密钥。我见过不少团队，上线前没仔细算这笔账，月底账单出来直接傻眼。今天我们就把这笔账拆开看透。
1. 调用次数——最容易被忽略的“碎钞机”
按调用次数计费，是 KMS 成本的大头。你先记住几个关键点：
- 免费额度：每个区域每月有 20,000 次免费 API 调用（仅限对称密钥的加密/解密操作）。听起来不少？但如果你做高并发服务，几分钟就用完了。
- 阶梯计价：超过免费额度后，每 10,000 次调用大约 $0.03（以 AWS KMS 为例）。非对称操作、签名验签、HSM 操作价格更贵。
- 管理操作：创建、启用、禁用密钥这些操作虽然次数少，但单价高。千万别用轮询去刷 DescribeKey。
成本陷阱示例： 一个电商服务，每笔下单都调用 KMS 加密用户信用卡号。日均 100 万次调用，每月 3,000 万次。减去 2 万免费额度，约 2,998 万次收费。按 $0.003/万次（对称加密）算，一个月仅加密费用就超过 $900。这还不算解密和密钥管理开销。
我遇到过最夸张的一次，某个团队把访问数据库密码的凭证管理器也用 KMS 解密，每次页面渲染都调一次。结果一个月账单多出 $4,000。后来加了本地缓存，降到 $50 不到。你看，缓存就是这么重要。
2. 密钥存储——躺着也收费
每个密钥按月收存储费。这个费用不高，但积少成多。尤其是自动轮转开启后，旧版本不会被直接删除，而是变成 待删除版本 继续计费。
| 密钥类型 | 月存储费用（参考 AWS 美东区域） | 注意事项 |
|---|---|---|
| 对称密钥 (Symmetric) | $1.0 / 密钥 | 开启自动轮转后每月新增一个版本，存储费翻倍 |
| 非对称密钥 (Asymmetric) | $2.0 / 密钥 | 密钥材料更复杂，单价更高 |
| HSM 专用密钥 | $5.0 / 密钥 | 每个密钥独占 HSM 资源，成本显著上升 |
| 外部密钥材料 (Imported) | $1.0 / 密钥 | 与对称密钥同价，但无法自动轮转 |
注意： 密钥轮转 ≠ 免费。每个新版本都会产生存储费。我曾经帮一个客户做成本审计，发现他为了“安全”设置每月轮转，结果 512 个密钥每个月产生 512 个旧版本，光存储费就白白多付 $500。后来改成按需轮转，成本直接砍半。
3. 其他隐藏费用
除了调用和存储，还有几个容易被忽略的小项：
- 跨区域复制：复制一份密钥到另一个区域，不仅要收目标区域的存储费，还要收 $2.0/次的复制操作费。多区域部署时，这笔钱不可忽视。
- 密钥材料导入：从外部导入密钥材料，按次收费，每次 $0.01。
- 密钥删除：计划删除密钥时，待删除期间仍然收费。如果设定了 7 天等待期，那这 7 天照样扣钱。
说白了，KMS 的计费模型就是一个“按量付费”的水龙头。龙头开多大，账单就多大。控制好的核心就是：减少调用，精简密钥。
4. 一张图看懂计费维度
下面这张 SVG 图总结了 KMS 计费模型的四个主要维度以及它们之间的逻辑关系。我建议你把它截图存下来，做成本评估时直接参考。
5. 从计费模型反推成本控制要点
理解了计费模型，你就知道该从哪下手砍成本。我个人总结了三板斧：
- 减少调用次数 —— 这是最直接的钱。加缓存、把解密结果存到本地或 Redis，别让每一次业务请求都去打 KMS。
- 精简密钥数量 —— 能复用就别新建。同一个业务的多个加密场景，尽量用同一个密钥的不同数据密钥（DEK），而不是每个场景单独一个 CMK。
- 合理配置轮转 —— 别迷信“每周轮转”。大多数场景下每季度甚至每年轮转一次就够。开轮转之前算算旧版本的成本。
一个小技巧： 在 KMS 控制台打开 成本分配标签，给每个 CMK 打上“项目名”或“环境”标签。然后利用成本分析工具就能一眼看出哪个业务线最贵。我曾经靠这个发现一个测试环境的 KMS 密钥被误用到了生产，费用长了三倍。
好了，KMS 的计费模型就拆解到这。记住：账单上的每一分钱，背后都有对应的一次调用或一个密钥。你掌握了这个对应关系，成本控制就成功了一半。