主流云KMS对比：AWS KMS、Azure Key Vault、GCP Cloud KMS
选云KMS这事儿，我这些年踩过不少坑。三家各有脾气，功能看着差不多，但真用起来细节差得挺远。下面我从功能差异、定价模型和选型建议三个角度，把实际体会摊开说。
功能差异：不止是“存密钥”那么简单
每家都提供密钥创建、轮换、审计这些基础能力。但核心差异其实在集成度和管控粒度上。
| 维度 | AWS KMS | Azure Key Vault | GCP Cloud KMS |
|---|---|---|---|
| 密钥层级 | 客户主密钥（CMK）+ 数据密钥（DEK） | 密钥 + 密钥版本（软删除保护） | 密钥环 + 密钥版本（集成IAM细粒度） |
| HSM支持 | 默认共享HSM，可选CloudHSM专享 | Premium SKU自带FIPS 140-2 Level 3 HSM | 默认Google Cloud HSM（需额外启用） |
| 自动轮换 | 支持按年自动轮换CMK | 需手动或通过Azure Policy实现 | 支持按周期自动轮换（90天/180天等） |
| 跨区域复制 | Multi-Region Keys（需主动创建副本） | 不支持原生跨区域复制 | 密钥环可跨区域，但密钥需手动同步 |
| 集成服务数 | 超过100个AWS服务直接集成 | 深度集成Azure生态（存储、SQL、VM等） | 主要集成GCP服务（BigQuery、GKE、Cloud Storage等） |
我强调一点：别只看功能列表，要看你的工作负载跟谁绑得紧。你在AWS上用S3、Lambda、RDS一条龙，硬切GCP KMS就是自找麻烦。
定价模型：算清楚这笔账
定价差异很大，我遇到过项目因为没算对KMS开销，月账单多出几千美元。
| 收费项 | AWS KMS | Azure Key Vault | GCP Cloud KMS |
|---|---|---|---|
| 每月免费额度 | 20,000次请求 + 1个CMK | 10,000次操作（Standard Tier） | 5,000次加密操作 |
| 密钥存储费 | $1/月/CMK（对称），$2/月/非对称 | 免费（Standard Tier），$0.03/天/密钥（Premium） | $0.06/月/密钥版本 |
| API请求费 | $0.03/万次（对称），$0.15/万次（非对称） | $0.03/万次（Standard），$0.06/万次（Premium） | $0.01/万次（对称），$0.06/万次（非对称） |
| HSM附加费 | CloudHSM $1.5/小时起 | Premium SKU已含HSM费用 | HSM模块 $24/月起（按需） |
| 跨区域复制费 | 按数据传输量 + 密钥副本存储费 | 不支持原生复制 | 无额外复制费，但需手动同步 |
我曾经遇到一个坑：为了省钱，把所有应用共用一个CMK。结果权限隔离差，一次误删密钥直接导致数据不可读。后来我只能重建密钥，重新加密所有数据——代价远大于多花几美元建独立CMK。
选型建议：不只看功能，还得看团队
选哪家，我一般按下面几步判断：
- 看现有云生态——尽量选绑定最深的那个云厂商，集成成本最低。
- 看合规需求——要求自带HSM？Azure Premium或AWS CloudHSM更合适。只要求FIPS 140-2 Level 2？三家默认都够。
- 看多区域场景——需要跨Region共用密钥？AWS Multi-Region Keys最省心。GCP的密钥环跨区域需要手动同步，Azure原生不支持复制。
- 看开发语言——我习惯用SDK，三家SDK都成熟。但Azure Key Vault的.NET集成好于其他两家；GCP则是Go和Python生态最顺。
- 看运维成本——如果你团队小，AWS KMS的自动轮换和100+服务集成最能省人力。反之，要是需要复杂的密钥版本管理，Azure Key Vault的软删除和恢复机制更灵活。
我个人习惯：做POC时先列一张表，把业务需要的所有加密场景（存储加密、数据库加密、TLS证书、容器镜像签名）对应到云KMS的API粒度上，然后对比那些必须手动绕开的功能。通常这一步就能筛掉一家。
一张图看懂三大KMS选型逻辑
下面这张图浓缩了我团队做选型时的判断框架，核心是围绕“集成深度”“合规能力”“运维成本”三角做权衡。
你看，选型逻辑其实不复杂。核心就一句话：让KMS跟着你的主云平台走。我见过太多团队非要用Azure Key Vault管理AWS资源，结果API调用延迟高、审计日志割裂，最后被迫统一回AWS KMS。短痛不如长痛。
真实案例：一家金融科技公司的选型复盘
我之前帮一家金融科技公司做过KMS选型。他们主要跑在AWS上，但合规要求必须使用FIPS 140-2 Level 3 HSM。当时我们权衡了两种方案：
- 方案A：AWS KMS + 自带CloudHSM —— 成本：HSM约$1.5/小时 + KMS API费用。好处是跟现有Lambda、DynamoDB、S3直接集成，不用改代码。
- 方案B：Azure Key Vault Premium —— 自带HSM，但需要新建AKV实例，并通过Azure Relay代理访问AWS内资源。带来额外延迟和运维复杂度。
我们最终选了方案A。虽然成本略高（每月多出约$1100的HSM），但避免了跨云架构带来的救火式运维。我到现在都认为这个选择是对的。
核心经验：KMS不是独立组件，它跟你的CI/CD、监控、审计、IAM绑在一起。换KMS等于换半个安全体系。选型时一定要把集成成本放在功能对比前面。
好了，三家KMS的对比就到这儿。记住：没有的好坏，只有是否适合你的平台和团队规模。动手做POC之前，先把上面那张表格填一遍，比什么都管用。