一项目一密钥是指每个 AI 工作负载使用继承该项目模型白名单与预算的项目级 API 密钥。这份指南写给仍用共用原厂 key 跑正式流量的平台与资安团队。
结论：共用密钥在第一天优化速度，在第一百天最大化爆炸半径。见治理清单第一项与上线后缺口。
为什么共用一开始很爽
| 爽点 | 放大后成本 |
|---|---|
| CI 一把密钥 | 同一爆炸半径 |
| 快速 onboarding | 离职不知谁还在用 |
| 文件简单 | 财务对不到产品 |
| 共用限流池 | 吵杂邻居饿死关键路径 |
需要什么
组织设定与管理密钥：组织→工作区→项目→密钥；密文只显示一次、可立即撤销、名册留稽核。
依环境
正式／测试／实验与 coding agent 必须拆开（agent tax、Claude Code）。测试 cap 要低到烧光也不痛（预算上限）。
迁移六步
盘点→建项目密钥→双跑→切流→撤销→演练外泄 runbook。见监控。
更现代的做法
ATP Token 让密钥绑项目模型与点数；相容多 SDK，迁移多半是 base_url 与 key（从 OpenAI 迁移）。
常见问题
一项目一密钥是什么意思？
每个正式工作负载有一把项目级 API 密钥，继承该项目的模型白名单与点数余额，让花费与存取都有明确主人。
为什么共用 API 密钥有风险？
无法知道哪个系统在烧 token、离职时不敢撤销，外泄时爆炸半径是全公司。
企业应如何核发 LLM API 密钥？
每系统一项目、只开需要的模型、分配预算、密钥只显示一次、放进密钥管理，项目结束即撤销。
密钥跟项目走时，人员离职怎么办？
移除成员或项目存取即可，不必轮替半公司依赖的那把共用 key。
如何从共用密钥迁移？
盘点呼叫端、为每系统建项目密钥、双跑、逐系统切流，最后撤销共用 key 并留稽核。