概述

授权管理用于建立消费者与服务/API 之间的访问关系——消费者默认无权访问任何资源，只有被授权的消费者才能调用对应的服务或 API。本文介绍授权规则的新增与管理操作。

适用场景

• 多租户开放平台：每个租户对应一个消费者，按业务订阅关系授权给对应的服务，确保数据与额度隔离。
• 第三方接入控制：为外部开发者发放消费者凭证时，仅授权其可调用的少量 API，未授权的资源即便知道路径也无法访问。
• 临时调用授权：为一次性调用方临时创建消费者并授权，调用结束后通过禁用授权规则或删除消费者快速回收权限。

授权级别

授权级别	说明
服务级别	消费者可访问该服务下全部 API，适用于信任度较高的调用方。
API 级别	消费者仅可访问指定 API，按最小权限原则精确控制访问范围。

新增授权

1. 进入消费者详情的 授权管理 标签页，单击 新增授权。
2. 依次选择如下配置项：

配置项	说明
生效级别	选择需要授权的级别，支持服务级别和API级别。
选择实例	授权生效的网关实例。
选择服务类型	授权的服务类型，支持基础服务、Model服务和Agent服务。
选择具体服务	授权的具体服务。
选择 API（可选）	若生效级别选择 API 级别，则需继续选择服务下的具体 API。
认证方式	选择需要授权的认证方式。
备注	填写该授权的备注信息。

3. 提交后授权规则立即生效。

管理授权规则

1. 进入消费者详情的 授权管理 标签页
2. 在授权列表中找到目标授权规则，授权规则支持以下操作：

操作	说明
启用/禁用	禁用后该条授权规则立即失效，原认证凭证将无法调用对应资源；启用后立即恢复。
编辑描述	为授权规则添加备注说明。
删除	删除后该条授权规则立即失效，且无法恢复，请谨慎操作。

常见问题

Q1：消费者已授权但调用仍返回 401 / 403？

可能原因与排查思路：

• 客户端请求未携带凭证，或凭证携带方式不正确（如 API-KEY 未按 Authorization: Bearer {API-KEY} 格式携带）。
• API-KEY 错误、已被重置或删除，或消费者被禁用。
• 授权规则被禁用，或授权的资源范围（服务级别 / API 级别）与实际调用的 API 不匹配。
• 已触达配额上限，请求被配额拦截而非鉴权拒绝（请关注网关返回的具体错误信息）。

Q2：同一消费者能同时拥有服务级别与 API 级别授权吗？

可以。多条授权规则取并集生效，消费者可访问全部被授权的资源。