2026 密钥管理要多少钱？AWS Secrets Manager、GCP Secret Manager、Azure Key Vault 的按 secret vs 按操作 TCO

直接答案：按 1 个活跃版本/secret、每月 100/1,000/10,000 个 secret 与 100 万/1,000 万/1 亿次访问操作测算，2026 年密钥管理服务的月费大致是：100 secret + 100 万次：Azure Key Vault 3.00、GCP Secret Manager 8.61、AWS Secrets Manager 45.00 美元；1,000 + 1,000 万次：Azure 30、GCP 89.61、AWS 450；10,000 + 1 亿次：Azure 300、GCP 899.61、AWS 4,500。差别来自计价单位：AWS 每个 secret 0.40/月 + 每万次调用 0.05；GCP 每个活跃版本 0.06/月（前 6 个免费）+ 每万次访问 0.03（前 1 万次免费）；Azure 公开价按操作 0.03/万次，未单列每 secret 存储费。secret 越多，AWS 的“按 secret”越贵；访问量越大，三家的“按操作”部分才接近。

本文面向做数据库凭据、API key、SSH key、OAuth token、CI/CD secret 和密钥轮换的云安全、平台与采购团队。资料截止 2026-11-07；价格取 AWS Secrets Manager、Google Cloud Secret Manager、Azure Key Vault 美国站公开定价页/官方零售价 API，按美元、未含税；所有 TCO 为编辑测算，不是厂商报价。三家的“secret/版本/操作”定义不同，本文把官方事实、编辑假设和不可比项分开写。

三种计价：按 secret、按活跃版本、按操作

AWS Secrets Manager：0.40/secret/月；API 调用 0.05/万次（示例 4,040 次收 0.02，无免费调用额度）；轮换会创建新版本，不另收版本费；跨区复制按 secret/月另计；Secret Manager 的自动轮换 Lambda 等资源另计。GCP Secret Manager：活跃 secret 版本 0.06/版本/月，前 6 个免费；访问操作 0.03/万次，前 1 万次/月免费；管理操作免费；轮换通知 0.05/条（前 3 条免费）；销毁版本免费。Azure Key Vault：标准操作 0.03/万次；secret 续期 1.00/次（Standard）；自动密钥轮换 1.00/次；Premium HSM 保护密钥/高级操作另计；Managed HSM 按实例小时计；公开零售价未单列每 secret 存储费。

来源：AWS Secrets Manager Pricing、Google Cloud Secret Manager Pricing、Azure Key Vault Pricing/官方零售价 API（美国站/美国东部，访问 2026-11-07）。美元、未含税；AWS/GCP 取标准价；Azure 取 Standard 操作价；HSM、Premium、跨区、轮换资源、支持和迁移另计。

三档 TCO：Azure 最低，GCP 次之，AWS 按 secret 最贵

按 1 个活跃版本/secret：100 secret + 100 万次，Azure 3.00、GCP 8.61（94×0.06 + 99 万×0.03/万）、AWS 45.00（100×0.40 + 100 万×0.05/万）；1,000 + 1,000 万次，Azure 30、GCP 89.61（994×0.06 + 999 万×0.03/万）、AWS 450；10,000 + 1 亿次，Azure 300、GCP 899.61（9,994×0.06 + 9,999 万×0.03/万）、AWS 4,500。年费为：36/103.32/540；360/1,075.32/5,400；3,600/10,795.32/54,000（Azure/GCP/AWS）。secret 数量越大，AWS 的 0.40/secret 越主导；操作量越大，三家的每万次 0.03–0.05 才接近。

编辑测算，不是报价。AWS = secret×0.40 + 操作/1 万×0.05；GCP = max(0,版本−6)×0.06 + max(0,操作−1 万)/1 万×0.03；Azure = 操作/1 万×0.03。未含税、轮换/续期、HSM/Premium、跨区复制、支持、迁移；假设每个 secret 只有 1 个活跃版本。

轮换/续期/HSM：加购会改变排序

AWS 的轮换本身不另收版本费，但自动轮换通常要 Lambda/资源，另计；跨区复制按 secret/月。GCP 轮换通知 0.05/条（前 3 条免费），多版本会按活跃版本增加 0.06/版本；销毁版本免费。Azure 的 Secret Renewal 1.00/次、自动密钥轮换 1.00/次；如果每月轮换 1,000 个 secret，Azure 加 1,000，GCP 加 50（1,000 条通知），AWS 主要是 Lambda 资源；排序可能变。HSM/Premium：Azure Premium HSM 密钥 0.90–5.00/密钥/月、高级操作 0.15/万次、Managed HSM 4.85/小时；AWS/GCP 的 HSM 也另计，不能拿标准价直接比。

来源：三家官方定价页（访问 2026-11-07）。表中只列公开可核对项；“另计”表示需按产品页/合同确认，本文不猜。未含税、支持、迁移和监控。

功能边界：secret、版本、轮换、HSM、跨云

AWS Secrets Manager 强在 RDS/Redshift 等原生轮换、跨区复制、与 IAM/KMS 集成；按 secret 计费，secret 多时贵。GCP Secret Manager 强在版本管理、IAM、自动轮换通知、与 GCP 服务集成；按活跃版本计费，多版本会累加。Azure Key Vault 强在证书/密钥/secret 统一、Entra ID、RBAC、HSM/Premium；按操作计费，secret 存储不单列，适合 secret 多、访问中等的企业。跨云/多云要比较出口、复制、身份联邦和审计，而不是只看每 secret/每万次。

来源：三家官方产品/定价页（访问 2026-11-07）。表中为公开能力概览；具体轮换、复制、HSM、合规、审计和 SLA 按档位/合同确认，本文不做功能等价假设。

什么场景选哪种？

AWS 内应用/RDS/Redshift、需要原生轮换/跨区复制：Secrets Manager，但 secret 多时按 0.40/secret 会贵；可用参数/分层缓存降低调用。GCP 内服务、版本管理/轮换通知：Secret Manager，0.06/版本 + 0.03/万次，前 6 版本/1 万次免费。Azure/混合云、secret 多、访问中等、要证书/HSM：Key Vault，按操作 0.03/万次，secret 存储不单列；Premium/Managed HSM 另计。跨云/多云：先算出口、复制、身份联邦和审计，再看单价；不要只比“每 secret”。

来源：三家官方定价页（访问 2026-11-07）。表为编辑决策矩阵，不是厂商建议；未验证实际延迟、吞吐、轮换可靠性、HSM 兼容性和支持响应。

采购与验收要写清什么？

至少写清十件事：secret 数量/类型、活跃版本、访问量/峰值、轮换频率、跨区/复制、HSM/Premium、身份/权限、审计/日志、SLA/合规、迁移/客户端。POC 用 2–4 周真实调用记录读取延迟、轮换成功率、权限、审计和账单；不要只比“每 secret/每万次”。

• secret：数据库/API/SSH/OAuth/证书；数量、增长、归属。
• 版本：活跃版本数、历史版本、销毁策略。
• 访问：月调用、峰值 QPS、缓存/批量、跨区读取。
• 轮换：频率、自动/手动、失败重试、通知。
• 复制：跨区/多账号、主备、冲突。
• HSM：Premium/Managed HSM、密钥类型、合规。
• 身份：IAM/Entra、RBAC、工作负载身份、最小权限。
• 审计：访问日志、保留、SIEM 导出。
• 合同：按量/承诺、区域、支持/SLA、迁移。
• POC：2–4 周真实调用；延迟、轮换、权限、审计和账单。

常见问题

100 secret、100 万次访问，最便宜怎么选？

Azure 3.00、GCP 8.61、AWS 45.00 美元/月。Azure 按操作、secret 存储不单列；GCP 前 6 版本/1 万次免费；AWS 0.40/secret 主导。secret 多时差距更大。

10,000 secret、1 亿次呢？

Azure 300、GCP 899.61、AWS 4,500。AWS 4,000 来自 secret 存储，500 来自调用；GCP 599.64 版本 + 299.97 调用；Azure 300 全按操作。secret 数量是主变量。

AWS 为什么贵？

它按 0.40/secret/月收存储，10,000 个 secret 就是 4,000/月；调用 0.05/万次。它的优势是 RDS/Redshift 原生轮换、跨区复制、IAM/KMS 集成；secret 多时要用参数/分层/缓存控制。

GCP 的“版本”怎么算？

活跃 secret 版本 0.06/版本/月，前 6 个免费；每个 secret 多版本会累加。访问 0.03/万次，前 1 万次/月免费；管理操作免费；轮换通知 0.05/条（前 3 免费）。

Azure 真的不收每 secret 费吗？

公开零售价按操作 0.03/万次，未单列每 secret 存储费；Secret Renewal 1.00/次、Premium/HSM 另计。具体合同/区域可能不同，采购时用官方 Calculator 复核。

轮换会加多少钱？

AWS 轮换新版本不另收版本费，但 Lambda/资源另计；GCP 轮换通知 0.05/条；Azure Secret Renewal 1.00/次。每月轮换 1,000 个 secret 时，Azure 加 1,000，GCP 加 50，排序可能变。

HSM/Premium 怎么比？

Azure Premium HSM 密钥 0.90–5.00/密钥/月、高级操作 0.15/万次、Managed HSM 4.85/小时；AWS/GCP 的 HSM 也另计。标准 secret 价不能代表 HSM 价，合规场景要单独报价。

还有哪些隐藏成本？

轮换/续期、跨区复制、HSM/Premium、访问日志/SIEM、出口、身份联邦、支持/SLA、迁移/客户端和税费。AWS 的 Lambda、GCP 的多版本、Azure 的 Renewal/HSM 都容易被忽略。

研究方法与局限

本文把“官方事实”和“编辑测算”分开：AWS 的 0.40/secret、0.05/万次，GCP 的 0.06/活跃版本、0.03/万次/前 6 版本/1 万次免费，Azure 的 0.03/万次与 Renewal/HSM 价格来自三家美国站公开定价页/官方零售价 API（访问 2026-11-07）；100/1,000/10,000 secret 与 100 万/1,000 万/1 亿次操作的金额是按公开单价做的算术，不是任何一家报价。本文不比较实际延迟、吞吐、轮换可靠性、HSM 兼容性或支持响应。

局限有八个：① 只取美国站/美国东部公开 list price，未含税、折扣、承诺用量和地区差异；② 假设每个 secret 只有 1 个活跃版本；多版本会改变 GCP 成本；③ 只算 secret 存储/版本+访问操作，未计轮换资源、跨区复制、HSM/Premium、日志、支持、迁移；④ Azure 公开价未单列每 secret 存储费，本文按操作计，具体合同可能不同；⑤ 未验证延迟、吞吐、轮换可靠性、HSM 兼容性；⑥ 未纳入 HashiCorp Vault、AWS Parameter Store 等；⑦ 企业合同/年约可能有量价，本文按公开价；⑧ 价格与条款可能随合同、地区、汇率变化。采购决策应把本文当“secret/版本/操作换算模板”，用 2–4 周真实调用 POC 替换假设。

数据来源与口径

• AWS, Secrets Manager Pricing：aws.amazon.com/secrets-manager/pricing。0.40/secret/月；0.05/万次 API 调用；轮换新版本不另收；跨区复制另计。访问 2026-11-07。
• Google Cloud, Secret Manager Pricing：cloud.google.com/secret-manager/pricing。活跃版本 0.06/版本/月，前 6 免费；访问 0.03/万次，前 1 万免费；管理操作免费；轮换通知 0.05/条，前 3 免费。访问 2026-11-07。
• Microsoft Azure, Key Vault Pricing：azure.microsoft.com/pricing/details/key-vault。Standard 操作 0.03/万次；Secret Renewal 1.00/次；自动密钥轮换 1.00/次；Premium 密钥 0.90–5.00、操作 0.15/万次、Managed HSM 4.85/小时（East US 零售价）。访问 2026-11-07。

资料截止 2026-11-07；价格为公开 list price，未含税；所有 TCO 均为编辑测算。本文不构成采购建议。