一、进入 API Key 管理页
1. 登录 腾讯云 ES 控制台。
2. 在左侧导航栏选择 智能搜索开发 > 资源管理。
3. 选择 API Key 标签页。
二、使用限制
| 项目 | 限制 |
| 数量上限 | 主账号与子账号累计最多创建 100 个 |
| 可见范围 | 主账号与子账号均可创建，且互不可见 |
| 权限范围 | 具备后计费的原子服务和应用开发请求时的安全凭证，LLM 套餐的 Key 在相应页面中单独管理 |
三、访问域名
页面上方展示原子服务的访问地址，调用接口时需使用该地址作为 Base URL。
| 项目 | 说明 |
| 公网地址 | 形如 https://bj.aisearch.tencentelasticsearch.com |
四、创建 API Key
1. 在 API Key 页面，单击创建 API Key。
2. 创建成功后，新的 API Key 出现在列表中。
列表包含以下信息：
| 字段 | 说明 |
| API Key | 密钥内容，默认脱敏展示，形如 sk-eyJh****c6be |
| 创建时间 | API Key 的创建时间 |
| 备注 | 用途说明。单击铅笔图标可编辑 |
| 操作 | 查看、删除 |
五、备注命名建议
备注是区分多个 API Key 的唯一依据，建议在创建后立即填写，包含以下信息：
·使用方：哪个业务系统或团队在用，如“订单系统”、“算法团队”。
·环境：生产、预发、测试。
·负责人：便于后续排查归属。
例如：“生产环境-商品搜索-张三”。默认无备注的 Key 在数量增多后极难辨识，会给后续的密钥轮换和故障排查带来困难。
六、查看 API Key
列表中的 API Key 默认脱敏展示。单击操作列的 查看 可获取完整的密钥内容。完整的 API Key 具备原子服务与应用服务的完整调用权限。请仅在必要时查看，并避免在共享屏幕、录屏或截图中暴露。
七、删除 API Key
单击操作列的 删除，可删除不再使用的 API Key。建议按以下顺序执行删除，避免业务中断：
1. 在 数据监控 页面确认该 Key 对应的调用量已降为 0。
2. 检查业务代码、配置文件、环境变量、ES 推理端点中是否仍引用该 Key。
3. 确认无引用后再执行删除。
八、安全须知
API Key 是敏感凭证，泄露会导致未授权访问和财产损失。请遵循以下原则：
九、请勿在客户端存储
请勿将 API Key 直接嵌入前端应用或客户端代码。 前端代码可被任意查看，移动应用可被反编译，一旦嵌入即等同于公开。正确做法是由后端服务代理调用，客户端请求后端，后端携带 API Key 请求原子服务。
十、请勿通过不安全渠道传递
请勿通过即时通讯工具、邮件、明文文档等方式分享 API Key。团队内部共享建议使用密钥管理服务或加密的凭证管理工具。
十一、请勿提交到代码仓库
将 API Key 写入代码后提交到 Git，即使后续删除，历史提交中依然可查。推荐通过环境变量注入：
export AISEARCH_API_KEY="sk-your-actual-api-key"
代码中通过环境变量读取，并将包含密钥的本地配置文件加入 .gitignore。
十二、在 ES 中使用时配置为加密字段
通过 ES Inference API 调用原子服务时，务必将 API Key 配置在推理端点的 secret_parameters 中。该字段由 Elasticsearch 加密存储，查询端点信息时不会返回明文。若写在 headers 或 request 的明文位置，任何有权查询推理端点的用户都能看到密钥。详情请参见 ES Inference API 调用。
十三、按用途隔离并定期轮换
·按用途隔离：为不同业务系统、不同环境（生产/测试）创建独立的 API Key。这样在某个 Key 泄露时，只需吊销该 Key，不影响其他业务。
·定期轮换：建议定期更换 API Key。轮换时先创建新 Key 并完成业务切换，确认新 Key 调用正常后再删除旧 Key，避免服务中断。