不是人在浏览器里操作的地方，例如 CI 部署应用、脚本批量建任务、其他系统读取报表，用 API 密钥调用 Studio。密钥有两种：
| 组织的 API 密钥 | 个人的 API 密钥 | |
|---|---|---|
| 在哪里管理 | 「设置 › API 密钥」 | 「个人设置 › API 密钥」 |
| 以谁的身份 | 密钥自己的身份，不属于任何人；创建它的人离开团队也不受影响 | 你本人 |
| 能做什么 | 只能做为它选择的事 | 你能做的事，再按为它选择的范围收窄；你失去某项权限时，密钥也随之失去 |
| 谁能创建 | 管理员、所有者 | 每位成员，除非组织关闭了个人密钥 |
| 适合 | CI、长期运行的集成 | 你自己的脚本 |
创建组织的密钥
- 打开「设置 › API 密钥」，点新建。
- 填写名称和说明，例如“GitHub Actions 部署”。
- 选择权限。可以「从预设开始」，再调整：
- CI 部署：上传版本并部署，可以只限某几个应用；
- 只上传版本、不部署的 CI 预设，适合不该自己部署的 CI；
- 只读：读取你能读取的全部内容。
- 选择过期时间，默认 90 天，也可以选「永不过期」。
- 创建后复制密钥。密钥只显示这一次，之后无法再查看。
权限按功能分组，例如项目、任务、Agent、运行环境、应用、部署环境、知识库、报表，每组分读、写、管理几级，有的还能限定到具体的项目或应用。你只能给出自己拥有的权限，自己没有的级别是灰的。
密钥不能做的事
不论权限多大：
- 密钥不能创建、轮换或撤销密钥，只有登录的人能管理密钥；
- 不能修改或删除应用，不能直接部署到受保护的环境，只能申请部署，由审批人批准；
- 收件箱、通知、代码托管连接、账号管理这些页面背后的接口，不接受密钥。
密钥在哪里做过事，那里会显示密钥的名字，并标着“API 密钥”。
轮换、停用和删除
- 轮换：新的密钥沿用相同的名字、权限和有效期，旧的立即失效。把新的值换进 CI 的密钥设置里。
- 停用：立即失效，需要时可以重新启用。
- 删除：撤销密钥。它做过的事仍然显示它的名字。
每个组织的密钥都有「历史」：谁创建、改名、改权限、轮换、停用、删除，什么时候。
代码仓库的 CI 密钥
为代码仓库接入 CI 时，Studio 会建一个组织的密钥，名为“<仓库> CI”，标着“由 <仓库> 管理”，权限限定在这个仓库的应用。它的到期提醒、轮换方式，见 连接 CI。在这里停用或删除它，CI 就停止部署，项目负责人会收到通知。
关闭个人密钥
不希望成员自己创建密钥时，在「设置 › 角色」里，从相应角色中去掉「创建自己的 API 密钥」。已有的密钥仍然可以查看和撤销。