4. 主流云厂商KMS概述：功能总览

做云加密SDK选型，绕不开的就是各家云厂商的密钥管理服务。说白了，你的加密密钥放在哪里、怎么轮换、能不能跟你的应用集成，全看KMS。

我这些年接触过不少项目，从初创公司到大型企业，几乎每家都在用这些云KMS。嗯，今天咱们就来聊聊AWS KMS、Azure Key Vault、GCP Cloud KMS、阿里云KMS和腾讯云KMS，看看它们到底能做什么、有什么坑。

4.1 AWS Key Management Service (AWS KMS)

AWS KMS 是我最早接触的云KMS，也是目前市场份额最大的。它支持对称密钥（AES-256）和非对称密钥（RSA、ECC），跟AWS自家的服务集成得特别紧密——你想想看，S3加密、EBS加密、RDS加密，几乎一键开启。

我建议重点关注这几个特性：

• 自动密钥轮换：默认一年一次，可以开启。不过要注意，自定义密钥（CMK）的自动轮换只支持对称密钥。
• HSM保护：默认是FIPS 140-2 Level 2软件HSM，如果需要Level 3硬件HSM，得用CloudHSM配合。
• 跨账户共享：通过资源策略，你可以把密钥授权给其他AWS账号。
• 集成KMS SDK：AWS SDK里默认就有加解密接口，写代码非常方便。

我记得有一次，客户把敏感数据加密后存到DynamoDB，结果发现KMS的API调用次数超出预期——因为每次读写都走KMS解密，成本飙升。后来我们改用数据密钥缓存（Data Key Caching）才解决。这是一个典型坑点。

4.2 Azure Key Vault

Azure Key Vault 分两种：标准层（软件保护）和高级层（HSM保护）。我个人习惯把Key Vault看作“机密管家”——它不仅管加密密钥，还能存密码、证书、连接字符串。

核心功能点：

• 密钥类型：RSA、EC、AES-HSM（高级层）。支持BYOK（Bring Your Own Key），把本地HSM的密钥导入。
• 访问控制：通过RBAC或访问策略，粒度可以到每个密钥的每个操作。
• 软删除与清除保护：默认开启软删除，防止误删密钥。这个设计很贴心——我遇到过有人误删生产密钥，还好恢复了。
• 与Azure服务集成：Azure Disk Encryption、SQL TDE、App Service等都支持。

有一点要特别留意：Azure Key Vault的事务定价模型——每1万次操作收费约0.03美元，看起来便宜，但如果你的应用频繁加解密（比如每个API都做），月底账单会很可观。我曾经帮一个团队优化过，把短期加密改用本地缓存的数据密钥，成本降了70%。

4.3 Google Cloud KMS (Cloud KMS)

GCP的Cloud KMS相对简洁，但该有的都有。它使用Google的全球密钥基础设施，支持对称和非对称，还支持外部密钥管理（EKM），也就是你可以自己管理HSM，Google只做代理。

值得关注的点：

• 密钥层次：密钥环（Key Ring）→ 密钥（Crypto Key）→ 密钥版本。版本不可变，轮换就是创建新版本。
• 自动轮换：可以设置周期，比如30天、90天。
• IAM集成：权限控制跟GCP其他服务一致，学习成本低。
• Cloud HSM：如果要求硬件保护，可以启用Cloud HSM，但价格会翻几倍。

说实话，GCP Cloud KMS 的文档写得不错，但跟自家服务的集成不如AWS和Azure那么深。如果你主要用GKE（Kubernetes），Cloud KMS + Workload Identity 是个好组合。

4.4 阿里云密钥管理服务 (KMS)

阿里云KMS是国产云厂商里最早做密钥服务的。功能上基本对标AWS KMS，但有些本土化特色。我服务过几个出海业务，他们首选阿里云KMS，因为合规走得快（等保、PCI DSS）。

• 密钥类型：对称（AES-256）、非对称（RSA-2048/3072，SM2国密）。注意，国密SM2、SM4是阿里云率先支持的。
• 自动轮换：支持，周期可设（30天~365天）。
• BYOK：导入外部密钥，但需要先把密钥加密再上传。
• 集成服务：OSS加密、RDS加密、ECS磁盘加密等。记得有一回客户用OSS服务端加密，发现KMS密钥权限没配好，结果所有上传都报403。后来我们改成自动授权才解决。

阿里云最近推出了专属KMS，可以独享HSM实例，适合金融、政务客户。如果你选标准版，默认是软件HSM（FIPS 140-2 Level 2），注意合规要求。

4.5 腾讯云密钥管理系统 (KMS)

腾讯云KMS跟阿里云类似，但架构上更贴近自家的SDK。它支持对称密钥和非对称密钥，也支持国密算法。

几个关键特性：

• 白盒密钥：这是腾讯云独有的——把密钥拆成两份，一份存在云端，一份嵌入客户端SDK，解密时两边合在一起。能防止密钥在内存中被dump。
• 密钥轮换：支持手动和自动，自动周期最小7天（但太频繁会影响性能）。
• CMK管理：与CVM、COS等深度集成。注意CVM镜像加密需要用KMS生成数据密钥。
• 合规认证：等保三级、PCI DSS、SOC等都有。

说实话，腾讯云KMS的SDK文档相对薄弱，接口命名有些不一致。我建议你在集成前一定先跑一遍示例代码，避免踩坑。

4.6 五大KMS功能对比表

下面这张表整理了我认为选型时最重要的对比维度。你可以快速扫一眼。

4.7 一张图看懂主流KMS生态

4.8 我的选型建议

看了上面这张图和表格，你可能已经有点思路了。我再补充几句：

• 如果你只用一家云：直接选它的KMS，集成最省心。
• 如果你要跨国合规：GCP的全球密钥基础设施做得好，很多欧洲项目用。
• 如果你有国密要求：阿里云或腾讯云是必须的，AWS、Azure都不支持SM系列。
• 如果你需要机密管理：Azure Key Vault是唯一能存密码和证书的，省掉再搭一个Vault的成本。

最后提醒一句：别被厂商的“免费配额”迷惑。生产环境一跑，API调用量上去之后，KMS的账单可能比计算资源还贵。我建议你在选型初期就做一个成本估算模型，把加解密次数、数据量、轮换频率算进去，不然上线后哭都来不及。嗯，今天就聊到这儿，下一小节我们讲具体的SDK集成姿势。