概述

授权管理是指建立 消费者与模型推理服务 / MCP 服务 之间的访问关系 —— 只有被授权的消费者才能持有有效凭证调用对应的服务。

AI 原生网关提供两个授权入口，二者效果等价，您可以根据习惯任选其一：

• 从服务侧授权：在创建或编辑模型推理服务（或 MCP 服务）时，于「认证授权」模块中选择允许访问该服务的消费者。
• 从消费者侧授权：在消费者详情页的「消费者授权」区域查看并维护当前消费者可授权访问哪些服务。

重要：仅开启 消费者认证 的模型推理服务/MCP 服务才需要授权对应的消费者。未开启认证时所有请求均可访问，无授权概念。

适用场景

• 多租户开放平台：每个租户对应一个消费者，按业务订阅关系把租户消费者授权给对应的模型推理服务，确保数据与额度隔离。
• 多环境凭证管理：测试环境、灰度环境、生产环境各自创建独立的模型推理服务（或同一服务的不同副本），通过授权关系把不同消费者绑定到不同环境，避免误用。
• 第三方接入控制：为外部开发者发放消费者 API Key 时，仅授权其可调用的少量推理服务，未授权的服务即便知道路径也无法访问。
• 临时调用授权：为一次性调用方临时创建消费者并授权某个推理服务，调用结束后通过取消授权或删除消费者快速回收权限。

方式一：从服务侧授权

适用场景：在创建模型推理服务/MCP 服务时一并配置授权，或事后批量调整某条服务的授权列表。

1. 登录百度智能云 AI 原生网关控制台。
2. 在顶部导航栏选择目标地域，并在实例列表中单击目标实例 ID，进入实例详情页。
3. 在左侧导航栏选择 AI 服务 > 模型推理服务。

4. 创建或编辑一个模型推理服务：

   • 创建场景：单击列表上方的 创建推理服务。
   • 编辑场景：在目标服务的操作列单击 编辑。
5. 滚动到 认证授权 模块，在 消费者认证 下勾选 开启认证。

6. 在下方的消费者穿梭框中，从「可选消费者」列表中选择需要授权的消费者，单击中间的箭头将其移动到「已选消费者」。

   区域	说明
   可选消费者	当前实例下所有可被授权的消费者。支持按消费者名称搜索快速定位。
   已选消费者	已授权访问当前模型推理服务的消费者。可继续移除或追加。

7. 单击页面底部的 发布，授权关系发布后即时生效。

方式二：从消费者侧查看与取消授权

适用场景：以消费者为视角，了解某个消费者当前能访问哪些服务；或快速将该消费者从某条服务上移除授权。

1. 登录百度智能云 AI 原生网关控制台。
2. 在顶部导航栏选择目标地域，并在实例列表中单击目标实例 ID，进入实例详情页。
3. 在左侧导航栏选择 消费者管理。
4. 在消费者列表中单击目标消费者名称，进入消费者详情页。

5. 在 消费者授权 区域查看授权关系。该区域分两个子页签：

   页签	说明
   模型推理服务	展示当前消费者被授权访问的所有模型推理服务。
   MCP 服务	展示当前消费者被授权访问的所有 MCP 服务。

   每个页签的列表中包含以下信息：

   列	说明
   服务名	被授权访问的服务名称，单击可跳转至对应服务详情页。
   创建时间	该服务的创建时间。
   消费者认证	该服务当前是否开启「消费者认证」。
   授权范围	授权覆盖的访问范围信息，目前仅支持细粒度到服务纬度（即路由纬度）。
   操作	提供「取消授权」入口。

   

6. 点击 添加授权，可在弹窗中为当前消费者授权可访问的服务。注意：授权后，所选服务需开启消费者认证才能生效，可通过消费者认证列的状态查看当前服务是否开启消费者认证。

7. 如需移除授权，在对应行的操作列单击 取消授权，在二次确认弹窗中确认即可。取消授权后，该消费者的所有 API Key 将无法再访问对应服务。

关闭整个消费者认证

如果您希望临时让某条模型推理服务/MCP 服务对所有请求公开（不再校验消费者身份），可以直接在该服务上关闭消费者认证：

1. 在「模型推理服务」列表中找到目标服务，点击服务名称进入服务详情。
2. 在 基本信息 > 消费者认证 中点击编辑图标，在弹窗中取消勾选 开启认证。
3. 单击页面底部的 确定，即时生效。

重要：关闭消费者认证后，该服务对所有请求开放访问，不再校验调用方身份；原有的授权关系会被保留但不生效，再次开启认证时会自动恢复。请谨慎评估安全风险。

常见问题

Q：消费者授权了但调用还是返回 401 / 403？

可能原因与排查思路：

• 客户端请求未携带 API Key，或携带方式与消费者配置的「凭证位置」不一致（例如消费者配置在 Authorization Header，而客户端放在了 Query 参数）。
• API Key 错误或已被删除。
• 配置了 Token 限流策略并已触达上限，请求被限流而非被拒绝鉴权（响应码会有差异，请关注网关返回的具体错误信息）。

Q：能否为同一消费者下的不同 API Key 配置不同的授权访问范围？

不可以。消费者是网关实例的最小授权维度，同一消费者下的所有 API Key 共享同一组授权范围 —— 任意一个 Key 都能访问被授权给该消费者的全部模型推理服务和 MCP 服务。如需不同的访问范围，请创建多个消费者分别承载。