管理员手册
HeteroFlow 是本站的异构算力与大模型调度产品。管理员手册。面向超级管理员、平台管理员与租户管理员三类角色：从权限判定、上游渠道接入、模型目录维护、配额限流治理，到成本核算、审计合规与告警处置，给出大模型网关治理全流程的操作主线与入口。
管理员手册
> 面向超级管理员、平台管理员与租户管理员三类角色：从权限判定、上游渠道接入、模型目录维护、配额限流治理，到成本核算、审计合规与告警处置，给出大模型网关治理全流程的操作主线与入口。
1. 三种管理角色
平台不设独立的「角色配置项」，管理身份由账号角色值与租户归属共同决定：
| 角色 | 判定 | 职责范围 |
|---|---|---|
| 超级管理员 | 平台级最高角色 | 一切操作：租户、参数中心、价格版本、供应商成本价、扩展插件等仅超管可用的页面；权限目录中恒全量放行 |
| 平台管理员 | 平台级管理角色、不挂租户 | 管理台常规页面：上游接入、模型目录、成员账户、月度额度、告警中心、成本核算、报告中心等 |
| 租户管理员 | 挂靠某租户的管理角色 | 仅本租户数据：本租户成员、密钥、调用流水、告警事件、额度视图；渠道只能看「共享 + 本租户专属」两类 |
三条关键边界：
1. 挂了租户的平台管理员会被收窄为租户身份——角色值再高，只要挂靠了租户就不按全局管理员对待；
2. 敏感动作默认无人持有：渠道的敏感写操作（建删渠道 / 改密钥）、查看完整密钥、审计查询、插件绑定这几类动作不授予任何内置角色，需要超级管理员在「成员账户 → 编辑 → 权限矩阵」中对具体管理员显式授权；
3. 越权统一拒绝并留审计：越权访问返回 403，同时补写一条审计记录。
权限目录（资源 × 动作）由后端统一下发，前端不另行定义。平台管理员的默认基线是渠道的读 / 操作 / 写三项；审计读、插件绑定无默认授予，按上一条显式开。侧栏菜单按「最低角色」过滤渲染，管理员还可在参数中心按模块下发侧栏开关做二次收窄（用户级只能再收窄、不能放大）；直接输入无权页面的网址会被 403 拦截页拦下，不存在「菜单藏了但 URL 能直达」的旁路。
2. 管理台结构导览
管理台侧栏分四组（组名以界面实际显示为准）：
| 分组 | 定位 | 主要页面 |
|---|---|---|
| 供给接入 | 管理的起点：上游与目录 | 上游接入、MCP 服务、机器凭证、模型目录 |
| 开发者日用 | 与普通用户共见的工作区 | 调用密钥、任务流水、调试台、Chat 预设 |
| 观测与消费 | 看流量、看账 | 流量分析、请求流水、用量分析、账本 / 订阅 / 兑换券 |
| 治理与管理台 | 平台治理 | 调度台、平台健康、文档、操作审计、成员账户、租户、部门管理、审批中心、运行信息、扩展插件、参数中心、月度额度、告警中心、成本核算、运营分析、价格版本、供应商成本价、智能路由、报告中心 |
按身份收口：租户、运行信息、扩展插件、参数中心、价格版本、供应商成本价仅超级管理员；月度额度、告警中心、成本核算、运营分析、智能路由、报告中心要求平台管理员（成本核算的费用列仅超管可见）；用量分析要求平台管理员；平台健康仅全局管理员。登录后按身份落地：管理员落管理台，普通用户与租户身份落开发者门户，顶部互有快捷切换。
3. 接入第一个上游
1. 建渠道：上游接入 → 新建。填渠道类型、上游地址与密钥、模型清单、所属分组、优先级与权重、数据等级上限、自动禁用开关——一张渠道就是一条「供货线路」；
2. 过连通性证明：渠道启用前须提交真实探测凭证，平台按「密钥 × 模型」逐组合真实调用上游取证，指纹绑定、短时效、差集重测；确实无法程序化验证的渠道类型走勾选确认并写审计。没有证明，渠道不进调度候选；
3. 分层测试：连通 → KEY → 获取模型 → 全量四档逐级验证；
4. 日常运维：按标签批量启停；渠道删除是物理删除不可恢复，临时下线用禁用。
三类特殊上游有专门通路：算力侧自助上架走机器注册（凭证 + 幂等注册 + 探活联动）；MCP 工具服务在「MCP 服务」页注册与诊断（见 MCP 工具网关）；视频 / 语音等任务型上游用任务插件适配。渠道体系全貌见渠道管理。
4. 模型目录与定价
先建类目（必填，创建后锁定），再建模型：描述、上下文规格、优势标签、开放角色、部署方式（API 云端 / 私有云 / 本地自建——一经标注不可清回，门户模型广场真实展示）。开放角色控制谁能看到并调用（留空 = 不限制；列表层折叠 + 选路层 403 双层管控）。定价支持倍率与按次两种计量、按分组差异化、支持价格版本管理。目录展示与「参与自动调度」可独立控制；删除模型是软删进回收站保留 30 天。详见模型目录与定价。
5. 调度与路由
终端用户可用 model="auto" 触发智能路由：按质量、速度、成本三因子加权评分（权重对应 balanced / quality / speed / cost 四种策略），请求模型三层解析（密钥覆盖 → 租户默认 → 平台默认）并留痕；候选集先过滤后评分（数据等级红线、角色开放、分组），空候选明确 404；降级链有硬边界——锚点不漂移、备选不越权、越权 / 等级不符 / 白名单外不降级。管理员在「智能路由」页维护策略与默认值，详见智能路由。
6. 用户、密钥与组织
- 成员账户：开户、重置密码、停用（停用即吊销全部会话断流）、软删与物理删的边界——软删保留记录可审计，物理删不可恢复；
- 密钥审批：申请单由本租户管理员审批，申请人不能自批；对已签发密钥的额度 / 数据等级 / 模型白名单调整走「发起调整」变更单，同样他人批准、立即生效。审批轮次在「审批中心」统一跟踪；
- 部门管理：部门树同父唯一、可多主管、防环；
- 租户：仅超级管理员；八维隔离（成员 / 密钥 / 渠道 / 日志 / 额度 / 部门 / 审批 / 告警），跨租户调用 403 是设计禁止项；停用租户即断流，撤权不伤已存在数据；
- SSO：CAS / LDAP / OIDC 按租户配置、热加载；JIT 开户四步（停用检测 → 租户挂靠 → 部门路径建树 → 角色映射，白名单制）。
7. 额度、成本与报表
- 月度额度：四维（月额度 token|金额 / 日调用 / QPS / 并发）× 四主体（密钥 / 模型 / 终端用户 / 部门）配置；检查链 fail-closed，拒绝不消耗额度、选路失败回滚日计数；
- 成本核算：成本六维拆解，费用列仅超级管理员可见，租户只见本租户、普通成员 403；
- 报告中心：九类报表 × 四周期（时 / 日 / 月 / 自定义区间），成本报表、用量报表、审计报表按权限分层导出。
深读：配额与限流、审计与日志。账目对账纪律：以导出件为准、对账区间必须带上界、分项金额按「token × 单价 ÷ 1e6」口径复核。
8. 安全与治理
- 数据等级与护栏：数据三级（公开 / 内部 / 敏感）贯穿密钥、模型、渠道三层；内容安全护栏维护拦截规则（敏感词 / 密钥等级门控）、动作三档（block / replace / audit_only）与外挂检测契约，规则改动先在测试预览验证；
- 告警中心：七条预置规则（月额度 80% / 响应超时 / 服务不可用自动下架 / 连续失败 / 供应商限流 / 本地模型离线等），通知四通道（邮件 / webhook 签名 / 移动推送），分桶限流防风暴；「平台健康」页给告警流 + 渠道健康墙 + 配额水位总览。详见告警中心；
- 操作审计：管理动作写哈希链审计日志防篡改，与使用日志是两本账；审计查询需显式授权。
9. 参数中心与扩展
「参数中心」是仅超级管理员的配置总枢（站点 / 支付 / 通知 / 模块开关等），其中含机器注册、响应缓存、安全护栏、护栏外挂检测四个专项配置面板。「扩展插件」页管理任务插件的双层体系（内置 + 自定义覆盖，上传即编译校验）。「运行信息」查看平台运行状态。响应缓存的折扣表、语义命中阈值等参数见响应缓存。
10. 新管理员上手清单
1. 读核心能力建立全景；
2. 在「成员账户 → 编辑 → 权限矩阵」确认自己的权限边界（敏感动作是否已授权）；
3. 按第 3-4 节接入第一个上游并过连通性证明，建类目与模型；
4. 配一组测试密钥走通全链路（建钥 → 调用 → 使用日志核对计费）；
5. 设定告警通知通道，在「平台健康」确认告警流通畅；
6. 按需配置护栏规则与响应缓存策略。