一、操作场景
通过该功能，你可以满足如下管控诉求：
·组 A 可调用某 API 下的全部模型。
·组 B 仅可调用某 API 下的部分文本生成类模型。
·支持在组授权范围内给特定成员进一步收窄可访问模型权限，仅可调用其中几个模型。
·某个消费者独立于所在组，单独授权调用指定模型。
·某个消费者密钥仅可调用指定的低成本模型。
二、前提条件
·已开通并使用 AI 网关。
·已创建待授权相关主体，如消费者、消费者组（需关联消费者）、消费者密钥。
·已创建模型 API ，并在待授权的模型 API 上关联了对应的模型服务。详情请参见 模型 API 。
·如需以“引用模型访问组”方式配置范围，请先创建模型访问组，详情请参见 模型访问组。
三、为消费者组配置模型可用范围
为消费者组授权模型 API 时，需同步为每个 API 配置模型可用范围。
1. 登录 腾讯云控制台，选择目标网关实例进入详情页。
2. 在左侧导航栏单击消费者管理，然后单击目标消费者组 > 已授权模型 API，进入目标消费者组的模型 API 授权配置入口，单击新增授权。
3. 选择模型 API。勾选需要授权的一个或多个模型 API，单击下一步。
4. 配置模型可用范围。为所选的每个 API 逐一指定模型可用范围类型。模型可用范围类型为单选，包含以下三种：
·指定模型白名单（默认选项，默认不勾选任何模型）：手动选择允许调用的模型，支持按模型名称搜索。选择该类型时，模型为必选项。
·引用模型访问组：选择一个已有的模型访问组（MAG），支持搜索。选择该类型时，模型访问组为必选项。
·全部放开：放行该 API 下的全部模型（含未来新接入的模型）。建议优先使用“指定模型白名单”或“引用模型访问组”以实现最小权限原则。
5. 完成所有 API 的范围配置后，单击确定，完成授权与范围配置。
四、编辑消费者组的可用模型范围
1. 在已授权模型 API 列表中找到目标 API，可查看该组在此 API 中可用的模型详情。
2. 单击编辑可用模型范围，可更改模型可用范围的类型及具体内容。
3. 单击确定保存。
五、为组内消费者单独配置可用模型
1. 在目标消费者组的基本信息页面的消费者列表模块，单击目标消费者所在行的配置可用模型。
2. 选择模式并配置：
·继承组设置：与消费者组所配置的可用模型范围保持一致。
·自定义白名单：支持更改、删除，可在组范围内进一步收窄。
3. 单击提交。
注意：说明：
注意：为组内成员配置时，成员的可用范围只能在所在组的可用范围内收窄，不能扩大。若所在组的范围缩小，成员的自定义白名单将自动按交集收敛。
六、为消费者配置模型可用范围
消费者可通过以下两种方式获得模型访问权限，二者可同时存在：
·作为组成员继承组授权：消费者自动获得所在组已授权的模型范围，详情请参见 为组内消费者单独配置可用模型。
·单独授权：消费者作为独立主体，直接为其授权指定模型 API 并配置范围。
·进入目标消费者详情页的已授权模型 API 页签，单击新增授权。
·选择需要授权的模型 API，单击下一步。
·为该 API 配置模型可用范围（全部放开 / 指定模型白名单 / 引用模型访问组），单击确定完成授权。
·在已授权模型 API 列表可对可用模型范围进行编辑。
注意：说明：
注意：在消费者详情页的已授权模型 API 列表中，同一 API 的权限按来源逐行展示（组授权 / 单独授权 / 消费者密钥授权），其中仅“单独授权”来源支持在消费者详情页编辑可用模型范围与取消授权；组授权与消费者密钥授权来源为只读展示。
七、为消费者密钥配置模型可用范围
1. 在目标网关实例进入详情页，单击在左侧导航栏单击消费者管理 > 消费者密钥。
2. 在消费者密钥页签，单击目标消费者密钥，进入详情页，切换至已授权模型 API 页签，单击新增授权。
3. 选择需要授权的模型 API，单击下一步。
4. 为该 API 配置模型可用范围（全部放开 / 指定模型白名单 / 引用模型访问组），单击确定完成授权。
5. 在已授权模型 API 列表可对可用模型范围进行编辑。
八、运行时鉴权与生效机制
消费者发起调用请求时，网关按模型可用范围进行 default-deny 校验，各主体的生效范围计算规则如下：
·消费者：生效范围 = 组范围（经成员级覆盖后的子集）∪ 单独授权范围。即消费者既享受所属组的授权（含成员级覆盖），又叠加其单独授权，两者取并集。
·消费者密钥：生效范围 = 该密钥绑定的模型可用范围（独立，不继承消费者或组的授权）。
·消费者组：生效范围 = 组的模型可用范围（modelScope）。
注意：1. 若模型 API 配置了 Fallback 或其他容错降本策略（如延迟优先、成本优先），此时管控生效依赖管理员的配置。管理员在配置 API 时，应先确认相应策略涉及的模型在授权时均已纳入可用范围。
注意：2. 编辑 API 并变更其关联的模型服务时，会对已配置的模型可用范围产生联动影响。取消关联则对应模型自动移出可用范围；新增关联服务的模型默认不可用，如需让新增模型可被调用，需手动编辑对应的模型访问组或白名单，勾选该新增模型。