腾讯云国际版密钥管理服务 KMS 实战：根密钥创建、信封加密、密钥轮换与官方真实单价表（2026最新版）

Meta Description: 腾讯云国际版密钥管理服务 KMS 从零实战教程：Pro/Dedicated/Standard 三版本官方单价对照表、根密钥（CMK）控制台创建步骤、TCCLI 加密解密与信封加密（GenerateDataKey）实操、COS/CBS/TDSQL/CFS 透明加密的 CAM 授权配置、密钥自动轮换与四个真实避坑点，附官方计费口径与成本测算。

关键词：腾讯云国际版 KMS、Key Management Service、根密钥 CMK、信封加密、Envelope Encryption、密钥轮换、BYOK 外部密钥导入、透明加密、后量子密码 Kyber

站上前面几篇安全文章（WAF、主机安全 CWPP、SSL 证书、账号 MFA 与 CAM）讲的都是"边界上的防护"：拦截攻击、加固主机、保护传输。但只要你真的把业务数据放到云上，迟早会问到一个更底层的问题——数据库密码、API 密钥、用户身份证号这些字段，到底是明文存还是加密存？加密的密钥又放在哪？

很多团队的做法是"在配置文件里写一个 AES 密码，代码里硬编码"。这在合规审计面前基本等于没做加密：密钥和密文躺在同一台机器上，拿到服务器就等于拿到一切。腾讯云国际版的密钥管理服务 KMS（Key Management Service）要解决的正是这件事——把密钥本身交给经过 FIPS 140-2 认证的硬件安全模块（HSM）保管，业务侧只拿到"加解密的能力"，拿不到密钥本体。

本文基于腾讯云国际站官方文档 2026 年 9 月的公开数据，把 KMS 的版本选型、官方真实单价、控制台与命令行实操、云产品透明加密接入、密钥轮换策略，以及四个官方文档里写得很清楚、但满大街教程都不会提的计费坑，一次性讲透。

声明：本文价格数据采集于 2026 年 9 月，取自腾讯云国际站官方文档公开单价，仅作参考，价格可能变动，请以腾讯云官网为准。除特别标注外，金额单位均为美元（USD）。

一、先搞清楚边界：KMS 到底管什么，不管什么

KMS 的核心资源只有两个概念，理解它们就理解了整个产品：

CMK（Customer Master Key，客户主密钥，官方控制台叫"根密钥"）：一级密钥。它由 HSM 保护，永不离开 KMS。你只能用它去"加密/解密小数据"或者"生成数据密钥"，拿不到它的明文。CMK 分两类：

• 用户自建密钥：你通过控制台或 API 创建，可以启用/禁用/轮换/改权限，按天计费；
• 云产品密钥：你第一次用 COS、CBS、TDSQL 的加密功能时，云平台自动帮你建的密钥。可以在 KMS 控制台查到、可以开启轮换，但不能禁用、不能计划删除，而且完全免费。

DEK（Data Encryption Key，数据密钥）：二级密钥，由 CMK 生成，用来在业务本地加密/解密数据。KMS 不存储、不管理、不追踪 DEK——它只负责用 CMK 把 DEK 加密后交给你，明文 DEK 的使用完全在你自己进程的内存里。

一句话概括产品定位：云上"最后一把钥匙"的托管柜。它不帮你拦攻击（那是 WAF/高防）、不帮你查主机（那是主机安全 CWPP）、不帮你管证书（那是 SSL 证书服务），它只管密钥本身的生命周期。

这张表要记住的一句是：CAM 管"谁能调用 KMS"，KMS 管"密钥本身"，两者是配套的两件事。只做 KMS 不做 CAM 策略，等于把保险柜钥匙挂在门上——文档明确要求，云产品要调用 KMS 加密数据，必须先通过 CAM 完成服务角色的授权操作。

二、三个版本怎么选：官方真实单价对照

腾讯云国际版 KMS 目前在售三个版本：Pro（专业版）、Dedicated（专属版）、Standard（标准版，即按量后付费版）。另有一个 Basic（基础版） 属于历史计费模式，2025 年 3 月 14 日起新用户已不再支持——网上大量"腾讯云 KMS 420 美元/月"的文章说的就是这一版，照抄会踩坑。

Standard 标准版明细（按量、后付费）：

Pro 专业版明细（包月订阅、含 1000 CMK + 5 DEK）：

几个必须先记住的计费口径：

1. 标准版是月结后付，不是实时扣费——官方口径是每月 3 日至 5 日结算并扣除上个月产生的费用，不能用"余额没动"判断没用量；
2. API 调用不足 1,000 次按 1,000 次计，即最小计费颗粒是万次价的 1/10；
3. DEK 扩容包最少订购 1,000 个，档位粒度很粗，小额零星加 DEK 是做不到的；
4. 处于"计划删除"状态的 CMK 不计费（这是官方明确的省钱点）；
5. Dedicated 专属版不是点一下就能买的：因为涉及物理 HSM 的采购、物流、运输与机房上架协调，官方要求至少预留三个月交付期。

需要特别说明的是 Standard 版只负责"存储 CMK"和"调用 API"，而 Pro 版把 1000 个 CMK 的存储费包含在版本费里——这正是两个版本成本分水岭所在。

三、成本测算：什么量级该买 Pro

官方并没有给"多少密钥该买哪个版本"的建议，但用官方单价自己算一遍就能得出结论（以下为本文示意算例，非官方报价）：

第一步：算出单把自建 CMK 在标准版的月成本。 0.06 USD/个/天 × 30 天 = 1.8 USD/个/月

第二步：用 Pro 版本费除以单密钥月成本，得到存储侧的平衡点。 1,288 ÷ 1.8 ≈ 715.6 → 716 个自建 CMK

也就是说，当你需要长期保有 716 个以上的用户自建根密钥时，Pro 版在纯存储费用上才开始比标准版便宜；再考虑到 Pro 版不再按次收 API 费（标准版超出 2 万次后要按 0.18 USD/万次付费），实际平衡点会比 716 更低一些，取决于你的调用量。

第三步：套一组真实量级感受一下。 一个中型业务：20 把自建 CMK 做字段级加密、每月约 50 万次 KMS API 调用：

对比 Pro 版的 1,288 USD/月——20 把密钥的场景下标准版便宜约 29 倍。反过来说，如果你的架构是"每个租户一把 CMK"的多租户 SaaS（几千个租户），Pro 版的 1,000 CMK 额度就是这个产品真正的设计目标场景。

这里有一个必须提前知道的硬边界：标准版下 CMK 创建上限是"每账号每地域 200 个"（不含处于计划删除状态的密钥，也不含免费的云产品密钥）。想创建更多必须提工单或联系销售。这意味着——在单地域内，你靠标准版最多只能堆到 200 把自建密钥（约 360 USD/月），根本走不到 716 把的平衡点；真要上千把密钥，要么开多地域分布，要么直接谈 Pro 版的额度。这个数字官方写在计费页与 FAQ 里，但几乎所有中文教程都漏了它。

四、实操一：开通 KMS 并创建第一把根密钥

KMS 的购买入口有两个：登录腾讯云国际站后在 KMS 产品介绍页下单，或直接进入 KMS (Compliant) 合规版控制台购买。后者的地址是 console.intl.cloud.tencent.com/kms2，本文的实操都在这个控制台完成。

注意：KMS 与 COS、CBS、TDSQL、CFS 的加密功能是联动关系——在用这些云产品的加密功能之前，必须先开通 KMS 服务，否则相关加密选项无法启用。

创建根密钥（CMK）的步骤：

1. 登录 KMS (Compliant) 控制台，在左侧导航栏点击 Key Management → Root Key；
2. 在根密钥管理页点击 Create Root Key，在弹出的配置框中填写参数；
3. 点击 OK 返回密钥列表，新建的密钥会出现在列表最上方。

配置框里的五个字段，含义与默认值如下表（这是控制台的真实必填项）：

对称密钥的算法是不用选的：官方口径是——中国大陆地域默认 SM4，中国大陆以外的地域（含中国香港、中国澳门、中国台湾）默认 AES_256。所以如果你的业务要满足海外合规、又希望密钥算法是 AES-256，选境外地域即可，不需要额外配置。

顺带说一个 2026 年才有的能力：Key usage 选非对称时，算法列表里已经出现了 Kyber_AES 与 Dilithium——这两个是后量子密码（PQC）算法。官方的定位很明确：Kyber_AES 用 Kyber-KEM 做密钥封装 + AES-256 做数据封装，解决"数据机密性"；Dilithium（NIST Level 3）解决"数据完整性/签名"，用来应对未来量子计算机用 Shor 算法破解 RSA/ECC 的风险。如果你的行业有"抗量子"合规前瞻要求，这是目前云厂商里少见的、已经落地的选项。

五、实操二：用 TCCLI 加解密（4 KB 上限，务必先 Base64）

KMS 提供三种调用方式：直接调 KMS API、集成 KMS SDK 到业务、通过已集成 KMS 的云产品调用。业务在腾讯云内或云外都可以用前两种。

用腾讯云命令行工具 TCCLI 最快能验证一把密钥是否可用。加密：

tccli kms Encrypt --KeyId 6xxxxxx-xxxx-xxxx-xxxx-5xxxxxxxxx5 --Plaintext "VGhpcyBleGFtcGxlIGlzIHVzZWQgZm9yIHRlc3Rpbmc="

返回结果里会带上密文与用到的 CMK ID：

{
  "KeyId": "6xxxxxx-xxxx-xxxx-xxxx-5xxxxxxxxx5",
  "RequestId": "23781471-c213-44c5-92a4-731b882e25b5",
  "CiphertextBlob": "Rrnqz5fthTxcSdCYIw5pBoEWLvrdqYNZ0oXKOmvYx..."
}

解密：

tccli kms Decrypt --CiphertextBlob "Rrnqz5fthTxcSdCYIw5pBoEWLvrdqYNZ0oXKOmvYx..."

返回的 Plaintext 仍是 Base64 编码，要自己再解一层才拿到明文：

{
  "Plaintext": "VGhpcyBleGFtcGxlIGlzIHVzZWQgZm9yIHRlc3Rpbmc=",
  "KeyId": "6xxxxxx-xxxx-xxxx-xxxx-5xxxxxxxxx5",
  "RequestId": "bcce3fae-1794-4136-a486-d42780c10702"
}

三条硬边界，抄文档时容易漏：

• Encrypt 单次最大只支持 4 KB 数据。它的定位就是加密数据库密码、RSA 私钥、少量敏感配置，不是拿来加密文件的；
• 输入输出都是 Base64。明文要 Base64 后传参，密文返回也是 Base64 字符串；
• 要加密业务数据，官方推荐的路径不是 Encrypt，而是 GenerateDataKey + 本地加密，也就是下一节的信封加密。

六、实操三：信封加密（Envelope Encryption）——大数据量场景的正解

官方的方案对比写得很直白：敏感信息加密（直接用 CMK 远程加解密）适合"密钥、证书等小数据、调用频率低"的场景；信封加密（CMK + DEK）适合"海量数据、高性能要求"的场景。

信封加密的原理是"少量远程 + 大量本地"：只有 DEK 需要通过网络送到 KMS 用 CMK 加解密，全部业务数据都在本地用高效对称加密处理，对性能几乎无影响。完整流程为五步：

1. 开通 KMS 服务，并完成云产品调用 KMS 的服务角色授权；
2. 在 KMS 创建一把根密钥 CMK（可以用云产品默认密钥，也可以自建）；
3. 调用 GenerateDataKey API，用 CMK 生成一对 DEK 密文 + DEK 明文——DEK 由 CMK 加密保护；
4. 在业务后端内存中用 DEK 明文加密业务数据，得到密文数据（这一步完全本地完成）；
5. 把 DEK 密文 + 数据密文一起落盘存储。

解密的路径反过来：先从盘上取出 DEK 密文，调 KMS 解密得到 DEK 明文，再在内存里解开数据密文。

生成 DEK 的命令：

tccli kms GenerateDataKey --region ap-guangzhou --KeyId 5xxxxx-xxxx-xxxx-xxxx-52xxxxx4

官方在"必须知道的事"里给了四条纪律，这几条是这套方案能不能真正安全的分界线：

• SecretId / SecretKey 必须妥善保管并做权限收敛——API 鉴权全靠这一对凭证，官方明确建议用子账号并按业务需要授权，不要用主账号密钥；
• 明文密钥绝对不能落盘。信封加密用的是对称加密，DEK 明文只能在业务进程的内存里短暂存在；
• DEK 可以复用，但要有策略。官方口径是：除极端情况下的"一次一密"外，大多数场景可以在一段时间内复用同一对 DEK 明文/密文；也可以按用户、按时段使用不同 DEK，避免密钥重复；
• 性能开销主要在 DEK 的创建与加解密上，而由于可以复用，这部分开销通常很小。

七、实操四：给云产品开透明加密（COS / CBS / TDSQL / CFS）

这是 KMS 最省事、也最容易被忽略的用法：你不用写一行加解密代码。只要云产品已集成 KMS，你在该产品里勾上"加密"、选一把 KMS 托管的密钥，之后的加解密由云产品在后台完成——用户侧是"透明"的。

官方给出的接入收益有三条：数据由云服务通过 KMS 加密、密钥由用户自己控制；KMS 使用 FIPS 140-2 认证的 HSM 生成和保护密钥；无需自建和运维密钥基础设施，降低开发成本。

接入前必做的一步（90% 的失败都出在这里）： 官方明确提示——其他云产品不是密钥管理者，在用它们的加密功能前，必须先通过腾讯云 CAM 完成 KMS 对云服务的角色授权操作。也就是说，顺序是：

1. 开通 KMS 服务；
2. 用 CAM 完成服务角色授权（让 COS/CBS/TDSQL 这类云服务有权代表你去调 KMS）；
3. 创建或选用一把 CMK；
4. 在云产品的控制台里打开加密开关、选定这把密钥。

授权这步没做，云产品侧的加密选项要么点不动、要么报权限错误——这不是 bug，是设计如此。至于权限怎么收敛，官方建议是"如果不需要控制子账号对 KMS 资源的访问，可以跳过；需要控制就用 CAM 策略按（API、资源、用户/用户组、允许/拒绝、条件）五个维度绑定"。默认状态下：主账号拥有名下全部资源的全部权限，子账号默认不拥有任何资源权限。比如你希望只有子账号 A 能用某把主密钥、子账号 B 不能，就是给 A 绑策略、不给 B 绑。

还有一个省钱细节：当云产品第一次调用 KMS 加密时，平台会自动为你创建一把"云产品密钥"。这把密钥存储免费（按天计费的 0.06 USD 只针对"用户自建根密钥"），可以在控制台查询、可以开启轮换，但不能禁用、不能计划删除。也就是说，只用云产品透明加密、不自己建密钥的话，KMS 侧的成本是 0——超出 2 万次的 API 调用才会产生 0.18 USD/万次的费用。这条对绝大多数站点类、后台类业务已经够用了。

八、密钥轮换与生命周期：改密钥不用重加密数据

密钥轮换是合规审计的必查项。"一把密钥用到天荒地老"是典型的不合规做法。KMS 的轮换能力有个很关键的特性，官方的表述是：

你可以在控制台把 CMK 配置为每年自动轮换。轮换后不需要重新加密数据——腾讯云会自动保留原始 CMK，用原 CMK 加密的密文仍可正常解密，而新数据的加密则使用新的 CMK。

这条特性把"轮换"从一件工程噩梦变成了一次勾选：旧密文继续可解、新数据自动用新密钥，业务代码零改动。如果你真的自己实现过"轮换 = 全量重加密"，就知道这个设计省掉的是什么量级的工作。

轮换功能对应三个 API，TCCLI 调用示例如下。

查看某把密钥的轮换状态：

tccli kms GetKeyRotationStatus --region ap-guangzhou --KeyId 5xxxxx-xxxx-xxxx-xxxx-52xxxxx4

返回：

{
  "KeyRotationEnabled": false,
  "RequestId": "e1432224-4dc2-48da-a8e8-e84d30afd9ef"
}

开启轮换：

tccli kms EnableKeyRotation --region ap-guangzhou --KeyId 5xxxxx-xxxx-xxxx-xxxx-52xxxxx4

关闭轮换：

tccli kms DisableKeyRotation --region ap-guangzhou --KeyId 5xxxxx-xxxx-xxxx-xxxx-52xxxxx4

云产品密钥虽然不能禁用/删除，但官方明确"可以查询并开启轮换"——所以自动创建的密钥同样能纳入轮换策略，这一点很实用。

完整的密钥生命周期，官方定义包括：生成、存储、分发、导入、导出、使用、恢复、归档、销毁九个环节。落到日常运维，你真正需要建立习惯的是这几件事：

关于删除，官方的口径很值得抄下来：删除密钥前要确保没有任何业务还在依赖它——因为用 CMK 加密的数据，只能用加密它的那把 CMK（及其元数据）解密，密钥错了或没了，数据就是不可恢复的。这条在 BYOK 外部导入密钥的场景下尤其致命，第五节之后会讲到。

九、四个真实避坑点（官方文档写了，但教程基本不写）

坑一：创建了"外部导入"密钥却不导入材料，"待导入"状态照样计费。

BYOK 场景下，你可以先用"用户自有密钥导入"的方式建一把 CMK，之后再导入密钥材料。但官方的原文是：处于 "Pending Import"（待导入）状态的密钥是一把"已启用"的密钥，这把已启用的密钥需要付费使用。也就是说，一把空壳密钥挂在那里什么都不干，CMK 存储费照收。建了不用就删掉。

同时要认清 BYOK 的不可逆性：密钥材料一旦导入外部 CMK，两者就永久绑定，不能再导入别的材料；如果这把 CMK 加密了数据，那些数据只能用加密它的那把 CMK（元数据与材料都要匹配）才能解密，否则解密直接失败。另外两版的导入规格不同——国密版只支持导入 128 位对称密钥，FIPS 合规版只支持导入 256 位对称密钥，长度不对会直接导不进去。最后，官方特别提醒：密钥材料本身的可用性是用户自己的责任，务必在本地安全备份一份原始材料。

坑二：标准版每账号每地域只有 200 把 CMK 的额度，与 Pro 版 1000 把严重错配。

前面算过，标准版的理论平衡点在 716 把密钥；但单地域的硬上限是 200 把（不含计划删除状态的密钥、不含云产品密钥），要更多必须提工单或联系销售。所以不要按"716 把再换 Pro"来做规划——单地域内你根本到不了那个数。真要做多租户"一租户一密钥"，请直接评估 Pro 版的 1,000 个 CMK 额度，并确认它同样需要配额支持。

坑三："禁用（Disable）"不是省钱手段。

官方计费口径里明确不计费的只有两种情况：处于"计划删除"状态的 CMK，以及云产品密钥。而 CMK 存储费的计量方式是"每天统计该账号下的 CMK 总数来计算当天费用"——"禁用"不在免费清单里。所以把不用的密钥"禁用"放着，不等于不花钱；确定不用就直接走计划删除，既停止计费，又留出反悔窗口。

坑四：欠费 24 小时即停服，但 KMS 不会回收你的密钥——这与其他云产品完全不同。

绝大多数腾讯云产品的欠费流程是"隔离 → 到期 → 销毁且数据不可恢复"。KMS 是例外，官方三段口径非常明确：

• 欠费当天起通过邮件/短信向账号创建者与协作者发送隔离提醒；
• 欠费 24 小时后 KMS 暂停服务，此时访问 KMS 会被拒绝，但密钥数据继续保留；暂停期间的密钥存储与 API 调用行为不计费；
• 官方明确 "为确保敏感数据的完整性，KMS 不主动回收资源"，余额恢复后可以正常使用原来的密钥数据。

这条的实践意义是：KMS 欠费的风险不是"数据被删"，而是"业务加解密全部失败"——如果你的生产链路依赖 KMS 解密数据库密码，KMS 一停，应用就起不来。所以对依赖 KMS 的业务，余额告警必须做到位，这比省多少钱重要得多。

十一、总结

KMS 值得记住的就三句话：

1. 分清"谁管什么"——CAM 管"谁能调 KMS"，KMS 管"密钥本身"，云产品负责"透明加密"；三层缺一层，加密就形同虚设。
2. 分清"哪种加密"——小数据（密码、私钥、证书）用 Encrypt（4 KB 上限、远程调用）；大数据用信封加密（GenerateDataKey + 本地加密，DEK 明文不落盘）。
3. 分清"哪种计费"——标准版按量（0.06 USD/CMK/天、2 万次 API 免费）适合中小规模；Pro 版 1,288 USD/月包 1000 CMK 适合多租户海量密钥；而"禁用不省钱、计划删除才省钱""待导入状态也计费""云产品密钥免费但不可删"这三条，是真正会体现在账单上的细节。

最后再强调一次最容易被忽略的那条：用云产品的加密功能之前，先在 CAM 里把服务角色授权做完——这一步不做，后面所有的加密配置都点不动。

延伸阅读（同站相关文章）：

• 账号与权限基础：腾讯云国际版账号安全实战：MFA 与访问密钥管理
• 数据落盘与分层：腾讯云国际版对象存储 COS 生命周期与数据分层
• 加密盘实战：腾讯云国际版云硬盘 CBS 实战教程
• 合规与数据出境：腾讯云国际版备案与合规 FAQ 专题

🚀 正在规划海外业务的密钥管理与合规架构？通过 4.chengzicloud.cloud 访问首页，获取腾讯云国际版注册、选购与安全实战的完整教程。

本文由 4.chengzicloud.cloud 提供，点击访问首页了解更多