主题
管理员设置
启用 LLM Gateway 并授予用户访问权限的一次性组织设置。
NOTE
LLM Gateway 处于 beta 阶段。
为你的 LangSmith 组织启用 LLM Gateway 的一次性设置。组织管理员应在单个用户通过网关路由调用之前完成此操作。
前置条件
你需要在 LangSmith 中拥有 organization:manage 权限。步骤 2 选项 A还需要包含 RBAC（自定义角色）的计划。
1. 添加提供程序密钥
对于 LangChain 托管的模型，请跳过此步骤：它们使用你的 LangSmith API 密钥，而不是提供程序密钥。有关付费聊天模型，请参阅 Gateway Credits；有关 SemIf，请参阅决策模型。继续执行步骤 2 以授予网关访问权限。
网关从你的工作区 Provider Secrets 解析提供程序 API 密钥——这就是它代理调用上游提供程序而无需单个用户持有提供程序密钥本地副本的方式。
转到 Settings > Integrations > Provider Secrets，添加你希望通过网关代理的提供程序的密钥：
| 密钥名称 | 提供程序 |
|---|---|
ANTHROPIC_API_KEY | Anthropic |
AWS_BEARER_TOKEN_BEDROCK | AWS Bedrock |
AZURE_FOUNDRY_API_KEY | Azure Foundry |
AZURE_FOUNDRY_RESOURCE_NAME | Azure Foundry |
BASETEN_API_KEY | Baseten |
FIREWORKS_API_KEY | Fireworks |
GOOGLE_API_KEY | Google Gemini |
OPENAI_API_KEY | OpenAI |
VERTEX_SERVICE_ACCOUNT_JSON | Gemini Enterprise Agent Platform |
仅添加你组织使用的提供程序。如果用户尝试调用未添加密钥的提供程序，网关将返回错误。
2. 为用户配置网关访问权限
内置角色 WORKSPACE_USER 和 WORKSPACE_VIEWER 不包含 gateway:invoke 权限，且无法编辑。你有两种授予网关访问权限的选项：
选项 A：创建自定义工作区角色（推荐）
需要启用 RBAC 的计划。
- 转到 Settings > Members/Roles。
- 创建新的工作区角色。
- 至少授予其
gateway:invoke和workspaces:read。 - 将为需要网关访问权限的用户分配此角色。
当你希望向特定用户授予网关访问权限而不给他们完整的工作区管理员权限时，请使用此选项。这让你可以最大程度地控制谁可以使用网关。
选项 B：使用工作区管理员角色
没有计划要求。
WORKSPACE_ADMIN 角色默认已包含 gateway:invoke 和 workspaces:read。将为需要网关访问权限的用户分配此角色。
如果你不需要细粒度访问控制，或者没有启用 RBAC，请使用此选项。
3. 配置策略（可选）
网关策略管理需要 organization:manage 权限。
转到 LLM Gateway 创建治理策略。你可以配置：
初始设置期间策略是可选的。在你配置策略之前，网关会自由允许调用。
4. 向用户分发 API 密钥
为需要网关访问权限的用户创建作用域为工作区的服务密钥。每个密钥应附加到包含 gateway:invoke 和 workspaces:read 的角色。
使用作用域为工作区的密钥，而不是作用域为组织的密钥。有关详细信息，请参阅 API 密钥作用域。
与每个用户共享密钥和网关端点，或通过 MDM（移动设备管理）分发，以便公司范围推广编码 agent。有关按 agent 配置的说明，请参阅设置编码 agent。
验证
对于 SemIf，请让用户运行 SemIf 请求示例。200 响应确认模型访问、API 密钥和角色权限。
对于自带密钥的提供程序，请让用户运行快速入门中的验证 cURL。200 响应确认网关、API 密钥、提供程序密钥和角色权限均已正确配置。该调用将作为追踪显示在工作区的 gateway 追踪项目中。
后续步骤
- 快速入门：作为入门指南与用户分享。
- 设置编码 agent：在整个组织范围内配置 Claude Code、Codex 和其他 agent。
- 追踪、Engine 和访问控制：深入了解角色、作用域密钥、追踪路由以及谁可以看到什么。