跳到主要内容

成员

成员属于 AISIX Cloud 控制面中的组织，代表负责控制面管理、API Key、用量和限制的人员或服务所有者。

AISIX Cloud 控制面支持两种成员加入方式：

  • 当成员需要登录控制台时，邀请该成员。
  • 当你需要一个不登录控制台的 API Key 所有者时，直接创建成员。

两种方式都会创建组织成员。区别在于该成员是否会收到邀请，并是否可以使用控制台。

邀请成员​

当某个人需要控制台访问权限来管理资源、查看用量或管理组织时，请使用邀请方式。

  1. 打开 Members，选择 Invite member。
  2. 输入成员邮箱并选择角色。
  3. 发送邀请，并分享一次性邀请链接。

打开链接后，受邀人会看到是谁邀请的、将要加入哪个组织、以及获得什么角色。尚未拥有账号的受邀人可以直接从该页面注册——邮箱已自动填入且不可修改——注册完成后会回到邀请页面。加入组织始终需要显式点击 Accept invitation：仅打开链接不会改变成员关系，因此已登录其他组织的用户点开链接也不会被切换过去。

邀请与你填写的邮箱绑定。只有使用该邮箱的账号才能接受邀请；其他账号打开链接时，会看到该邀请是发给哪个邮箱的，并可以切换到该账号登录。在受邀人接受前，该邀请会停留在 Pending invitations 标签页。

已经是组织成员的邮箱无法再被邀请。接受邀请不会修改已有成员的角色，这样的邀请不会产生任何效果——请直接在成员列表中修改角色。

邀请有效期​

邀请在发出 7 天后过期。在此之前，它会停留在 Pending invitations 标签页，你可以在这里吊销它，使链接立即失效。

该标签页默认只列出仍然有效的邀请。勾选 Show stale invitations 后，还会显示已接受、已吊销和已过期的邀请。如果需要清理记录，已过期的邀请也可以在这里吊销。

已过期的邀请不会继续占用该邮箱：再次邀请同一个人会签发新的链接，并作废那条已过期的邀请，后者仍会显示在 Show stale invitations 中。只有仍然处于待接受且未过期的邀请，才会阻止对同一邮箱再次发起邀请。

直接创建成员​

当成员只需要拥有 API Key，而不需要控制台访问权限时，可以直接创建成员。典型场景包括服务、应用，或在控制台访问受限的私有化部署中代表开发者。

直接创建的成员：

  • 会立即激活，不需要邀请链接或确认步骤。
  • 可以加入团队并分配 API Key。
  • 可以受限流和预算治理。
  • 没有密码，因此无法登录控制台。

该成员仍然有名称和邮箱。请使用能够识别责任人、服务或应用所有者的值，以便正确归因用量和限制。

在控制台中操作​

  1. 打开 Members，选择 Create user。
  2. 输入能够识别责任归属的 Name 和 Email。
  3. 选择 Create user。

成员会立即出现在列表中。随后你可以将该成员加入团队，并从承载其流量的环境中签发 API Key。

使用 API​

当需要通过自动化供应成员时，请使用 API。

使用具有 write 权限范围的组织 Admin Token认证。Admin Token 的作用域绑定到一个组织，因此请求不需要额外的组织请求头。

# AISIX_CP 包含 /api，末尾不包含斜杠。
# 本地 On-Premises 快速入门使用 http://localhost:8080/api。
export AISIX_CP="YOUR_AISIX_CLOUD_ADMIN_API_BASE_URL"
export AISIX_TOKEN="YOUR_ADMIN_TOKEN"

创建成员：

curl -X POST "${AISIX_CP}/members" \
  -H "Authorization: Bearer ${AISIX_TOKEN}" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "Responsible Person",
    "email": "svc-payments@example.com"
  }'

成功调用会返回 201 Created 和新成员：

{
  "member": {
    "id": "8f3b2a1c-9d4e-4f6a-b7c8-1e2d3f4a5b6c",
    "user_id": "2c7d6e5f-4a3b-4c2d-8e1f-9a0b1c2d3e4f",
    "email": "svc-payments@example.com",
    "display_name": "Responsible Person",
    "role": "member"
  }
}

邮箱地址必须有效，并且在部署内唯一。对于应用所有者，可以使用类似 svc-payments@example.com 的合成地址。复用已有邮箱会返回 409 Conflict。直接创建的成员始终使用 member 角色。

浏览和搜索成员​

Members 列表支持搜索和分页，便于管理大型组织。

  • 使用搜索框按名称或邮箱过滤。搜索在服务端执行，因此会匹配所有页面，而不只匹配当前页面中的行。
  • 使用列表下方控件调整页面大小或在页面之间切换。

使用 API 列出成员​

复用上面导出的 AISIX_CP 和 AISIX_TOKEN。此请求使用具有 read 权限范围的 Token 即可。

curl "${AISIX_CP}/members?page=1&page_size=20&q=payments" \
  -H "Authorization: Bearer ${AISIX_TOKEN}"

查询参数都是可选的：

  • q：对成员名称和邮箱执行不区分大小写的匹配。
  • page：从 1 开始的页码。需要同时设置 page_size；单独设置 page 会返回 400。
  • page_size：页面大小，最大为 200。如果同时省略 page 和 page_size，则禁用分页，并在单个响应中返回所有成员。

响应会在分页结构中包装成员列表：

{
  "data": [],
  "total": 128,
  "page": 1,
  "page_size": 20,
  "owner_count": 2
}

total 是所有页面中匹配过滤条件的成员数量，owner_count 是组织中的 Owner 数量。

移除成员​

在成员行上选择移除操作。移除成员会一并撤销其组织成员资格、环境级角色绑定，以及在所有团队中的位置。

同时会禁用该成员拥有的所有 API Key，并且该变更会传播到网关，因此这些凭证会在网关本身停止工作，而不只是无法在控制台中使用。这与身份提供方通过 SCIM 触发的预配撤销是同一套行为——从控制台移除和从目录移除，现在会让组织处于相同的状态。

这些 Key 是被禁用而不是被删除，因此其用量历史仍可用于报表。运维此前手工禁用的 Key 会保留原有的禁用来源。如果这个人离开后其凭证仍需继续承载流量（例如以其账号创建的应用 Key），请在移除成员之前重新绑定或重建它们。

下一步​

继续阅读团队，了解如何按团队归因并实施共享控制；或继续阅读角色与自定义角色，了解如何控制成员权限。如果成员应由身份提供方管理，请使用 SCIM 目录同步。