Gateway API 金鑰
Gateway 金鑰屬於一個工作區，建立時只顯示一次；可以把花費歸屬到部門、限制模型、來源位址和金鑰到期時間，也可以在重疊期內輪替，或直接撤銷。
建立金鑰#
工作區擁有者和管理員在 AI Gateway › 開始使用管理金鑰。選擇建立 API 金鑰，取一個名稱，例如要使用它的團隊或工具，然後複製金鑰。金鑰只會顯示一次，平台只存它的雜湊值；弄丟了就再建立一把。
金鑰的樣子是 al_gw_<id>.<secret>。用 Authorization: Bearer <key> 送出；除了 /v1/chat/completions，其他端點也接受 x-api-key。金鑰只能呼叫 Gateway 的 /v1 端點，不能用在主控台或 Agent Lab 的其他產品。
不要把金鑰放進瀏覽器
Gateway 會拒絕帶有 Origin 標頭的請求（server_application_required）。請從伺服器、CLI 或腳本呼叫，並把金鑰放在環境變數或密鑰管理服務裡。
把金鑰的花費歸屬到部門#
金鑰的花費歸屬決定它的花費要算進誰的預算。沒有選部門時，花費只算進工作區。選了一個或多個部門時，用這把金鑰發出的每個請求，也會全額算進每個所選部門的上限。修改從下一個請求開始生效，已經記錄的花費不會移動。
限制金鑰能做的事#
下面每一項都是選用的，新金鑰一項都沒有設定：
| 控制項 | 作用 |
|---|---|
| 金鑰到期 | 過了這個時間，金鑰就視同已撤銷。最快到期的金鑰排在最前面，並顯示剩下幾天。 |
| 模型允許清單 | 指定其他模型的請求會被拒絕，代碼是 gateway_key_model_not_allowed。auto 只會在清單裡的模型中挑選。 |
| 位址允許清單 | 最多 32 個 IP 範圍（CIDR）。來自其他位址的請求會被當成無效金鑰拒絕，拒絕紀錄會附上來源位址。 |
| 速率上限 | 這把金鑰每分鐘的請求數和 token 數。見速率上限。 |
| 並行上限 | 同時進行中的請求最多幾個。預設沒有：Gateway 和直接連到供應商一樣，接受並行的請求。 |
輪替金鑰#
輪替會建立一把新金鑰，沿用相同的部門、允許清單和限制，並讓舊金鑰在你選的重疊期（例如七天）之後到期。重疊期內兩把金鑰都能用，你可以一個一個把工具換到新金鑰，不會中斷。新金鑰只會顯示一次。
撤銷金鑰#
撤銷會立刻停用金鑰：之後用它發出的請求會被拒絕，代碼是 application_key_not_accepted；已經在執行的請求會跑完。撤銷的金鑰無法還原。
最後使用時間#
金鑰清單會顯示每把金鑰最後一次向模型送出請求的時間。只檢查金鑰、沒有送出請求，不算使用。
用程式管理金鑰#
平台團隊可以用工作區管理員的權杖，透過 /v1/gateway/keys 建立、列出和撤銷金鑰，例如替每位開發者各發一把。這些呼叫寫入的稽核事件和主控台相同（gateway.api_key_created、gateway.api_key_revoked），管道記為 API。完整的金鑰只會在建立呼叫的回應裡出現一次。