Admin Token

Admin Token 允许自动化任务在没有浏览器会话的情况下调用 AISIX Cloud 控制面 API。

它适用于组织级工作流，例如 CI 流水线、基础设施自动化，或管理控制面资源的内部工具。它不是用于网关流量的调用方 API Key，也不是用于模型访问的上游服务提供方密钥。

一个 Admin Token 属于一个组织。控制面在认证请求时会使用这个组织绑定，因此 API 调用不需要额外的组织请求头。

创建 Admin Token

只有组织 Owner 可以创建或吊销 Admin Token。

1. 打开 Admin tokens。
2. 选择 New token。
3. 输入唯一名称。
4. 选择过期时间。
5. 选择一个或多个权限范围。
6. 创建 Token，并在离开一次性展示页面前复制明文值。

控制面只保存 Token 的 SHA-256 摘要。如果丢失明文值，请吊销该 Token 并创建替代 Token。

选择权限范围

Admin Token 的权限范围控制该 Token 可以使用哪些 API 方法：

权限范围	允许
read	对 Admin API 路由发起 GET 请求。
write	对 Admin API 路由发起 POST、PATCH 和 DELETE 请求。
scim	仅允许访问 /scim/v2 下的 SCIM 目录同步端点。

盘点或报表任务可以使用 read。只有自动化确实需要创建、更新或删除控制面资源时，才使用 write。

scim 权限范围是专用权限。SCIM Token 不能携带其他权限范围，并且会在所有非 SCIM 路由上被拒绝，因此配置到身份提供方中的凭证不能读取或变更网关资源。

使用 Admin Token

将 Token 作为 Bearer Token 发送：

curl -sS "https://<your-cp-api-host>/api/environments" \
  -H "Authorization: Bearer ${AISIX_ADMIN_TOKEN}"

请结合你要自动化的控制面工作流文档使用对应路由。Admin API 路由的完整请求和响应结构请参见 Cloud Admin API 参考。例如，成员展示了如何创建由平台直接管理的成员，用于 API Key 归属。

轮换或吊销 Token

Admin Token 创建后无法再次查看明文。轮换 Token 时，请创建替代 Token，更新使用它的自动化任务，确认自动化运行成功后，再吊销旧 Token。

吊销 Token 会立即生效。任何仍在使用该 Token 的自动化任务都会收到认证错误，直到它完成更新。

下一步

继续阅读成员，了解如何向组织添加控制台用户或 API Key 所有者。如需通过身份提供方自动预配成员，请参见 SCIM 目录同步。