直接答案：按 2026-11-10 的 Azure Key Vault 官方公开价（eastus，美元，不含税与折扣），Vault 的标准操作 0.03/万次、高级密钥类型操作 0.15/万次；证书续订 3/次、自动密钥轮换 1/次。Premium 的 HSM 保护密钥：RSA 2048 1/密钥·月；进阶类型（RSA 3072/4096、ECC）首 250 个 5/密钥·月、251–1,500 个 2.5、1,501–4,000 个 0.9、4,001+ 0.4；操作费另计，且每个在用版本都算一个 key。Managed HSM 单租户池 3.2/小时 = 2,336/月（730h），按池计费、页面未列按操作计费。示例：100 个 HSM RSA 2048 密钥 100/月；500 个进阶密钥 1,875/月；1,000 个 3,125/月；Managed HSM 2,336/月，约 685 个进阶密钥打平；1 亿次标准操作 300、高级操作 1,500；100 次证书续订 300；100 个密钥每月轮换 100。最容易被忽略的是版本：100 个密钥、每个 12 个在用版本，按 1,200 个进阶 key 计，月费 3,625，不是 500。
本文面向负责密钥/证书/机密管理、等保与合规、OT/IT 身份、平台/SRE、财务与采购的团队。它把“官方价目”“编辑测算”“未纳入项”分开写，覆盖 Standard/Premium、HSM 密钥阶梯、Managed HSM 固定费、操作/证书/轮换、版本放大、隐藏成本和 90 天清单。价格来自 Key Vault 定价页、Azure Retail Prices API 与 Microsoft Learn（2026-11-10）。不构成采购建议。
① Vault 与 Managed HSM 是两种容器：Vault 的 Premium 用多租户 HSM，Managed HSM 是单租户池，固定 2,336/月。② 操作很便宜，密钥/证书/轮换才是主项：1 亿次标准操作 300，但 1,000 个进阶 HSM 密钥 3,125/月。③ 每个在用 HSM 密钥版本都算一个 key：100 个密钥 × 12 个在用版本 = 1,200 个计费 key，进阶月费 3,625，而不是 500。
两种容器：Vault 与 Managed HSM
Key Vault 有两类容器：Vault（Standard/Premium）存密钥、机密、证书和存储账户密钥；Managed HSM 池存 HSM 支持的密钥。Standard 用软件保护密钥；Premium 用多租户 HSM 保护密钥；Managed HSM 是单租户、FIPS 140-3 Level 3 的专用池。费用结构完全不同：Vault 是“操作 + 密钥/证书/轮换”，Managed HSM 是“池小时固定费”。大多数应用只需要 Standard；有 HSM 合规要求时先比较 Premium 与 Managed HSM，而不是直接上专用池。
| 容器/层级 | 可存 | 保护方式 | 计价 |
|---|---|---|---|
| Standard Vault | 密钥、机密、证书、存储账户密钥 | 软件保护 | 操作 + 证书续订/轮换 |
| Premium Vault | 同上 + HSM 保护密钥 | 多租户 HSM | 操作 + HSM 密钥月费 + 续订/轮换 |
| Managed HSM | HSM 支持的密钥 | 单租户 HSM 池 | 池小时固定费 |
来源：Key Vault 定价页与 Learn“What is Azure Key Vault Managed HSM?”（2026-11-10）。Managed HSM 为单租户、FIPS 140-3 Level 3；Premium 为多租户 HSM。区域/功能可用性以官方为准。
操作：0.03/万次，高级密钥 0.15/万次
所有密钥（软件/HSM）、机密、证书的常规操作按 0.03/万次；Retail API 另有 Advanced Key Operations 0.15/万次，对应 RSA 3072/4096、ECC 等高级密钥类型，具体分类以账单为准。按量级：100 万次标准操作 3、1,000 万 30、1 亿 300、10 亿 3,000；高级操作是 5 倍（15 / 150 / 1,500 / 15,000）。证书续订是单独的 3/次，不按万次；10 次 30、100 次 300、1,000 次 3,000。
| 月操作量 | 标准 0.03/万 | 高级 0.15/万 | 备注 |
|---|---|---|---|
| 100 万 | 3 | 15 | 常规 API 调用 |
| 1,000 万 | 30 | 150 | 中等应用 |
| 1 亿 | 300 | 1,500 | 高并发 |
| 10 亿 | 3,000 | 15,000 | 极端量 |
| 证书续订 100 次 | 300 | — | 3/次，单独计 |
来源：Key Vault 定价页与 Retail API（eastus，2026-11-10）。高级密钥类型对应关系以官方表/账单分类为准；未计 HSM 密钥月费、轮换、出网与税。
HSM 密钥：1/月与 5/2.5/0.9/0.4 阶梯
Premium 的 HSM 保护 RSA 2048 密钥 1/密钥·月；进阶类型（RSA 3072/4096、ECC）按数量阶梯：首 250 个 5、251–1,500 个 2.5、1,501–4,000 个 0.9、4,001+ 0.4，另加操作费。只有过去 30 天至少用过一次的密钥才计费，且每个版本单独计，不按天折算。100 个 RSA 2048 100/月；500 个进阶 1,875/月；1,000 个进阶 3,125/月；2,000 个 4,825/月；10,000 个 9,025/月。
| 在用密钥数 | 进阶类型/月 | RSA 2048/月 | 说明 |
|---|---|---|---|
| 1 | 5 | 1 | 最低量 |
| 100 | 500 | 100 | 小规模 |
| 250 | 1,250 | 250 | 首档上限 |
| 500 | 1,875 | 500 | 第二档 |
| 1,000 | 3,125 | 1,000 | 第二档 |
| 2,000 | 4,825 | 2,000 | 第三档 |
| 10,000 | 9,025 | 10,000 | 第四档 |
编辑测算：按官方阶梯累计计算，仅计过去 30 天用过的密钥及每个在用版本；未含操作费、Managed HSM、税与折扣。密钥版本是否在用决定计费，删除/停用可降本。
Managed HSM：3.2/小时，约 685 个进阶密钥打平
Managed HSM Standard B1 按池小时 3.2，全月 730 小时 2,336；两个池 4,672。页面只列池小时费，未列按操作计费项。与 Premium 密钥对比：500 个进阶密钥 1,875/月，仍低于 Managed HSM；约 685 个进阶密钥时两者接近（2,337.50 vs 2,336）；1,000 个进阶密钥 3,125/月，已高于 Managed HSM。若用 RSA 2048 密钥，打平点约 2,336 个。Managed HSM 的增量价值是单租户、专用池与密钥主权，不只是单价。
| 方案 | 月费 | 说明 |
|---|---|---|
| Managed HSM 1 池 | 2,336 | 3.2 × 730h |
| Managed HSM 2 池 | 4,672 | 高可用/多区域 |
| 500 个进阶 HSM 密钥 | 1,875 | 低于 1 池 |
| 685 个进阶 HSM 密钥 | 2,337.50 | ≈ 1 池 |
| 1,000 个进阶 HSM 密钥 | 3,125 | 高于 1 池 |
| 2,336 个 RSA 2048 密钥 | 2,336 | ≈ 1 池 |
编辑测算：Managed HSM 3.2/小时 × 730；Premium 密钥按阶梯，未计操作费、税与折扣。打平点是费用等价，不代表合规/性能/租户隔离等价。
证书与轮换：3/续订、1/轮换，版本会放大
证书续订 3/次，其他证书操作按 0.03/万次；自动密钥轮换 1/次。100 次证书续订 300、1,000 次 3,000；100 个密钥每月轮换一次 100/月，若每天轮换（约 3,000 次/月）就是 3,000/月。更隐蔽的是版本：每个在用的 HSM 版本都算一个 key。100 个密钥、每个 12 个在用版本 = 1,200 个计费 key，进阶月费 3,625，是 100 个 key（500）的 7.25 倍；RSA 2048 则是 1,200 vs 100，12 倍。轮换策略要和版本清理一起设计。
| 项目 | 数量/月 | 月费 | 说明 |
|---|---|---|---|
| 证书续订 | 10 | 30 | 3/次 |
| 证书续订 | 100 | 300 | 3/次 |
| 证书续订 | 1,000 | 3,000 | 3/次 |
| 自动轮换 | 10 | 10 | 1/次 |
| 自动轮换 | 100 | 100 | 1/次 |
| 每日轮换 100 个密钥 | 3,000 | 3,000 | 另加版本 key 费 |
| 100 key × 12 在用版本 | 1,200 key | 3,625（进阶） | 版本单独计费 |
编辑测算：证书续订 3/次、轮换 1/次；版本按 100×12 计；进阶 key 阶梯、未计操作费、税与折扣。证书由公共 CA 签发，Key Vault 只自动化注册/续订。
选型矩阵与隐藏成本
按需求选：软件密钥/机密/证书、普通应用用 Standard；合规要求 HSM 保护、可接受多租户用 Premium HSM 密钥；单租户、密钥主权、专用池或约 685+ 进阶密钥用 Managed HSM；大量证书自动化要按 3/次估续订；高频轮换要同时算 1/次和版本 key 费。隐藏成本七项：HSM 版本放大、证书续订 3/次、轮换 1/次、Managed HSM 固定池小时、私有终结点/Private DNS、诊断日志/Log Analytics、Defender for Key Vault（0.00034/节点·小时，约 0.25/月）。90 天：第 1–2 周盘点密钥/版本/证书/轮换策略与合规要求；第 2–4 周按“操作+key+证书+轮换”算 Standard/Premium；第 4–6 周对比 Managed HSM 打平点与单租户需求；第 6–8 周清理未用版本、调整轮换频率；第 8–10 周压测 API 限流与私有终结点；第 10–12 周按账单核对 key 数、版本与续订。
| 场景 | 首选 | 先核对 |
|---|---|---|
| 软件密钥/机密/证书 | Standard | 操作量、证书续订 |
| HSM 合规、可多租户 | Premium HSM key | key 数与版本 |
| 单租户/密钥主权 | Managed HSM | 池数、区域、打平点 |
| 大量证书自动化 | Standard/Premium | 3/次续订、CA 费用 |
| 高频轮换 | 任一 Vault | 1/次 + 版本 key |
| 仅少量 secrets | Standard | 操作费可忽略 |
编辑整理：不是厂商推荐；合规、区域、限流与 SLA 以官方文档为准。
常见问题
Azure Key Vault 怎么计费？
Vault 按操作 0.03/万次（高级密钥 0.15/万次）、证书续订 3/次、自动轮换 1/次；Premium 的 HSM 密钥另加月费（RSA 2048 1/key、进阶 5/2.5/0.9/0.4 阶梯）；Managed HSM 按池 3.2/小时（2,336/月）。
Standard 和 Premium 差多少钱？
Standard 只有软件保护密钥，操作 0.03/万次；Premium 加 HSM 保护密钥：100 个 RSA 2048 100/月，500 个进阶 1,875/月，1,000 个 3,125/月，另加操作费。没有 HSM 合规要求时，Standard 通常足够。
Managed HSM 什么时候值？
需要单租户、FIPS 140-3 Level 3、密钥主权/专用池，或进阶密钥数量接近/超过约 685 个时。1 池 2,336/月；500 个进阶密钥 1,875/月仍更低，1,000 个 3,125/月已更高。打平是费用等价，不代表合规等价。
为什么密钥版本会影响账单？
每个在用的 HSM 密钥版本都算一个 key，且只有过去 30 天用过的才计费。100 个密钥、每个 12 个在用版本 = 1,200 个 key，进阶月费 3,625，而不是 500。轮换后要停用/删除旧版本，或减少旧版本调用。
证书续订怎么收费？
3/次，和普通证书操作（0.03/万次）分开。100 次 300、1,000 次 3,000。Key Vault 不签发/转售证书，只自动化公共 CA 证书的注册与续订；CA 费用另计。
自动轮换贵吗？
1/次。100 个密钥每月轮换 100/月；每天轮换约 3,000 次/月就是 3,000，另加版本 key 费。轮换频率要同时看安全要求、1/次和版本放大。
操作量很大时怎么办？
标准操作 0.03/万次：1 亿次 300、10 亿次 3,000；高级密钥操作 0.15/万次，是 5 倍。先确认是否真的需要 HSM/高级密钥，再优化调用缓存与批量，避免把高频读放大成操作费。
还有哪些隐藏成本？
私有终结点/Private DNS、诊断日志/Log Analytics、Defender for Key Vault（约 0.25/节点·月）、跨区域/出网，以及 Managed HSM 的固定池小时。Vault 本身没有 setup fee；软删除/清除保护不额外收费。
研究方法与局限
官方事实（定价页、Retail API、Learn）：Vault 操作 0.03/万次、高级 0.15/万次、证书续订 3/次、轮换 1/次；Premium HSM RSA 2048 1/key·月、进阶 5/2.5/0.9/0.4；仅过去 30 天用过的 key 计费、每个版本单独计；Managed HSM 3.2/小时、单租户、FIPS 140-3 Level 3。编辑测算：730 小时/月、按阶梯累计、100×12 版本示例。
局限七项：① 只取 eastus 公开 list price，不含税/CSP/企业折扣；② 密钥/证书/操作量为编辑假设；③ 高级密钥类型与 0.15/万次操作的对应以账单分类为准；④ 未计 CA 证书费、私有终结点/DNS、日志、Defender、出网与税；⑤ 未做限流、延迟、故障切换压测；⑥ Managed HSM 的区域/池规格与配额未逐一核对；⑦ 价格与产品路线会变，采购前复核官方页面与账单。
数据来源与口径
- Microsoft Azure, Azure Key Vault Pricing：azure.microsoft.com/en-us/pricing/details/key-vault。Standard/Premium、操作、HSM 密钥、证书续订、轮换、Managed HSM。访问 2026-11-10。
- Azure Retail Prices API（productName=Key Vault，eastus）：prices.azure.com/api/retail/prices。0.03/0.15、1/5/2.5/0.9/0.4、3/1、3.2/小时。访问 2026-11-10。
- Microsoft Learn, What is Azure Key Vault Managed HSM：key-vault/managed-hsm/overview。单租户、FIPS 140-3 Level 3、池计价。访问 2026-11-10。
- Microsoft Learn, Azure Key Vault overview：key-vault/general/overview。Vault 与 Managed HSM、Standard/Premium、密钥/机密/证书。访问 2026-11-10。
资料截止 2026-11-10；价格/可用性以 Microsoft 官方页面与账单为准；本文不构成采购、商务或法律建议。