模型访问策略

控制你的组织、工作区、用户或 API key 可以通过 LLM Gateway 访问哪些模型提供商和模型。

NOTE

LLM Gateway 处于 beta 阶段。

模型访问策略定义允许通过 LLM Gateway 使用哪些提供商和模型。网关会阻止对策略未包含的提供商或模型的请求，并返回 403 响应。如果没有任何策略适用，则所有提供商和模型都可用。

策略配置

模型访问策略列出一个或多个提供商，每个提供商都有一个访问模式：

• 所有模型：允许使用该提供商提供的所有模型。
• 选定模型：仅允许使用你指定的模型。至少需要选择一个模型。

NOTE

模型访问策略尚不支持自定义模型提供商。当模型访问策略应用于某个请求时，网关会阻止 /providers/{configName} 和 /models/{configName} 路由。

作用域和覆盖

模型访问策略的作用域限定为一个主体层级：

层级	适用范围
组织	组织中的所有用户和工作区
工作区	工作区中的所有用户
用户	单个用户
API key	单个 API key

策略覆盖

策略覆盖允许你为更具体的主体授予与更宽泛默认策略不同的访问权限。常见情形是让某个 API key 可以访问组织内其他对象无法使用的高级模型。

当请求匹配多个层级的策略时，仅最具体的层级适用，优先级顺序为 API key、用户、工作区、组织。更具体的策略会完全取代更宽泛的策略。例如，如果组织策略允许 OpenAI 和 Anthropic，而某个 API key 策略仅允许 OpenAI 和 Gemini，则使用该 key 的请求只能访问 OpenAI 和 Gemini。如果同一层级有多个策略匹配，则模型必须被所有这些策略允许才可访问。

创建模型访问策略

WARNING

创建和管理策略需要 organization:manage 权限。完整权限明细请参阅追踪、引擎和访问控制。

1. 转到 LLM Gateway，选择 Model Access。
2. 点击 Create model access。
3. 输入 Policy name。
4. 在 Applies to 下选择作用域（组织、工作区、用户或 API key）。
5. 配置 Allowed providers and models。
6. 保存。

策略会立即生效。

后续步骤

• 支出策略：为 LLM 使用设置成本上限。
• 速率限制策略：限制请求或 token 吞吐量。
• 按客户策略：按自定义请求头拆分策略，使每个最终客户获得自己的配额。
• 数据保护：添加数据保护策略。

---