1. Zentrix 概览与配置流程
完整版章节。内容按 2026.10 主线代码核对；具体入口以当前许可、账号权限和交付环境为准。
1.1 产品范围
Zentrix Gateway 在企业内部统一接入模型与工具能力，并在网关上执行认证、配额、路由、护栏和审计。管理员在管理控制台维护组织与权限，接入模型供应商、模型服务、MCP 服务、API 服务、外部智能体、技能和插件，配置流量规则、护栏、告警与通知，再通过概览、会话诊断和操作审计检查运行结果。成员在能力中心查找已获授权的能力，在「首页」或模型详情中创建 API 密钥，查看本人的用量与调用日志。
Zentrix 可以部署在客户环境内，也可以按 SaaS 方式由服务提供方托管，托管区域、套餐与服务等级以服务方案为准。模型供应商、身份源、通知渠道、对象存储等外部依赖由客户配置和提供；要求数据不出客户环境时，这些依赖也需要满足同样的数据边界。
平台包含两个使用面：
| 使用面 | 主要用途 | 常见使用者 |
|---|---|---|
| 能力中心 | 浏览模型、MCP、API 服务、技能、插件和外部智能体目录并获取接入配置；在「首页」管理本人的 API 密钥、凭据、用量与账户安全 | 成员、业务系统接入人员 |
| 管理控制台 | 配置组织与权限、能力接入、护栏、流量规则、告警、审计和系统设置 | 租户管理员、系统管理员、安全管理员、审计员、运营、财务、平台管理员 |
功能按许可分为基础功能和四个加购模块。许可证未包含某个加购模块时，对应菜单不显示，相关接口拒绝访问。已导入的许可模块可在「管理控制台 → 系统设置 → 授权许可」中查看。
| 许可模块 | 对应的界面 |
|---|---|
| 基础功能 | 1.2 节菜单表中未标注加购模块的全部菜单 |
| 模型护栏 | 「护栏」菜单：敏感数据、词库、问答、内部系统白名单 |
| 动态路由 | 「流量规则」菜单：规则清单、全局限额、意图集、缓存和验证规则；规则中的内容检测动作也在这里配置 |
| 全链路审计 | 「操作审计」菜单 |
| FinOps | 「概览 → 网关总览」中读取用量分析数据的面板（运营指标、Token、缓存、耗时、热力、调用流向与费用排行等）；没有独立菜单。「授权许可」页上显示为「用量与成本」 |
知识库入口另有前提：许可证包含知识库能力，且部署时安装了知识库。任一条件不满足时，能力中心的「知识库」页签和管理控制台的「知识库管理」菜单都不显示。
1.2 首页与导航
能力中心
成员登录后进入能力中心的「首页」。页面左上角显示产品名称和「能力中心」，顶部页签依次为：
| 页签 | 内容 | 显示条件 |
|---|---|---|
| 首页 | 本人的用量、调用日志、模型服务、API 密钥、凭据与个人设置 | 登录后显示 |
| 模型广场 | 已发布的模型，含说明、价格、接入地址和代码示例 | 始终显示 |
| MCP 广场 | 已发布的 MCP 服务及其工具、接入配置 | 始终显示 |
| API 广场 | 已发布的 API 服务 | 始终显示 |
| 知识库 | 已发布的知识库 | 满足 1.1 节所述知识库前提时显示 |
| 技能广场 | 已发布的技能 | 始终显示 |
| 插件广场 | 已发布的插件包 | 始终显示 |
| 外部智能体广场 | 已发布的外部智能体 | 始终显示 |
各目录页在未登录时也可以打开。目录中出现哪些条目由管理员的发布设置决定，成员能否调用由可用范围决定。
「首页」左侧导航分为三组：
| 分组 | 菜单 | 用途 |
|---|---|---|
| 用量 | 使用情况、模型用量、调用日志 | 查看本人的用量概览、按模型统计的用量和逐次调用记录 |
| 资源 | 模型服务、API 密钥、凭据管理 | 查看可用的模型服务和接入地址；创建、撤销 API 密钥；管理被模型服务引用的第三方凭据 |
| 个人设置 | 个人资料、偏好设置 | 维护显示名称、头像、邮箱、密码、两步验证、通行密钥，查看设备与登录历史；设置语言与主题 |
右上角账号菜单显示本人的显示名称和邮箱，下设「管理控制台」和「退出登录」。只有账号至少能看到一个管理菜单时，才显示「管理控制台」。
管理控制台
进入「管理控制台」后，侧边栏顶部显示「管理后台」和当前租户名称，其下的「返回工作台」用于回到能力中心「首页」。侧边栏按分组列出菜单，内容区顶部以「分组 › 菜单」显示当前位置。
租户管理员在 Zentrix 中看到的完整菜单如下（顺序与界面一致）：
| 分组 | 菜单 | 主要用途 | 加购模块或其他前提 |
|---|---|---|---|
| 概览 | 概览 | 页签：网关总览、网关请求、对话、路由策略命中、网关告警 | 网关总览中的用量分析面板需 FinOps |
| 概览 | 会话诊断 | 自动识别会话中的问题，给出原因、处理建议和证据 | 仅租户管理员可见 |
| 搭建 | 插件 | 导入、导出和分发插件包 | — |
| 搭建 | 技能 | 导入、扫描和分发技能 | — |
| 搭建 | MCP 服务 | 接入 MCP 服务，维护工具、凭据、权限和可用范围；页签：MCP 列表、Token 管理、分类管理 | — |
| 搭建 | API 服务 | 以 HTTP 反向代理方式对外提供上游接口 | — |
| 搭建 | 外部智能体 | 接入外部智能体；页签：Agent 目录、任务中心 | — |
| 搭建 | 知识库管理 | 维护知识源与检索资产 | 知识库前提（见 1.1 节） |
| 搭建 | 模型服务 | 配置服务包含的模型，设置可用范围与配额；页签：模型服务、API 密钥管理 | — |
| 搭建 | 模型供应商 | 接入上游模型并维护价格与分类；页签：模型供应商、模型&定价、分类管理 | — |
| 搭建 | 外部注册中心 | 从 Nacos 同步外部智能体与 MCP Server | — |
| 组织与权限 | SSO 配置 | 接入钉钉、飞书、企业微信、企业 IAM、LDAP 与目录推送 | — |
| 组织与权限 | 账号与会话安全 | 查看并撤销登录会话，设置安全策略 | — |
| 组织与权限 | 成员与部门 | 维护成员、部门和已离职成员 | — |
| 组织与权限 | 角色管理 | 为六个内置角色指定成员 | 仅租户管理员可见 |
| 组织与权限 | 职能组 | 建立跨部门成员集合，用于分发模型服务等资源 | — |
| 护栏 | 护栏 | 页签：敏感数据、词库、问答、内部系统白名单 | 模型护栏 |
| 护栏 | 威胁情报 | 接入恶意来源库，管理同步状态与命中动作 | — |
| 路由策略 | 流量规则 | 页签：规则清单、全局限额、意图集、缓存；另有「验证规则」页面 | 动态路由 |
| 路由策略 | 网关扩展 | 浏览、上传、安装和绑定 WASM 网关扩展 | — |
| 运行与排障 | 告警规则 | 页签：告警规则、通知渠道 | — |
| 审计与合规 | 操作审计 | 查询配置变更与访问记录，校验哈希链，导出审计证据 | 全链路审计 |
| 审计与合规 | 报表导出 | 导出调用与用量数据，配置定时导出 | — |
| 系统设置 | 授权许可 | 查看当前许可，导入签名许可证 | — |
| 系统设置 | 通知横幅 | 在页面顶部发布本租户公告 | — |
| 系统设置 | 品牌 | 设置产品显示名、Logo 与网站图标 | — |
| 系统设置 | SMTP 配置 | 配置系统邮件的发送服务器 | — |
| 系统设置 | 全局设置 | 为内容安全、敏感信息识别、意图识别、问答语义匹配等功能指定默认模型 | — |
平台管理员（安装时创建的 root 账号和平台账号）使用平台范围的管理控制台，进入后默认打开「租户管理」。平台范围不显示上表中只属于租户的菜单（概览、会话诊断、授权许可、角色管理等），显示的菜单为：
| 分组 | 菜单 | 主要用途 |
|---|---|---|
| 组织与权限 | SSO 配置 | 配置平台账号使用的「平台单点登录」（OpenID Connect） |
| 组织与权限 | 账号与会话安全 | 页签：登录会话、管理面访问网段 |
| 组织与权限 | 平台账号 | 为平台管理人员创建个人账号，管理激活、停用与平台管理员授权 |
| 运行与排障 | 告警规则 | 页签：活跃告警、规则目录、通知渠道 |
| 运行与排障 | 系统运行监控、出口网络 | 查看平台各组成部分的运行状态；诊断平台访问公网的质量 |
| 系统设置 | 通知横幅、系统更新、备份与恢复 | 发布对所有租户生效的公告；升级平台；备份与恢复 |
| 平台扩展 | 部署配置、SSRF 出站防护、网关、租户管理 | 访问地址、对象存储、运维通知渠道、链路导出、资源容量、入口监听、数据依赖与最近一次验收；出站访问防护；公开访问地址、入口证书、网关节点、过载保护与出口判定；租户生命周期 |
菜单是否出现由三个条件共同决定：
- 账号的管理范围：租户管理员只看到租户菜单，平台管理员只看到平台菜单。
- 账号持有的角色：例如审计员只看到审计类菜单，安全管理员看到护栏、流量规则、SSO 配置等凭据与安全类菜单。角色与菜单的对应关系见 3.4 角色管理。
- 许可证包含的模块：见 1.1 节许可模块表。
看不到某个菜单时，按以上顺序核对账号范围、角色和许可模块。直接访问未授权页面的地址时，页面显示无权限或不存在。
1.3 推荐配置顺序
- 在「系统设置 → 授权许可」导入许可证，确认「授权用户数」「到期时间」和「高级模块」中已开通的模块。
- 在「组织与权限」中建立部门、职能组和成员；需要企业身份登录时配置「SSO 配置」；在「角色管理」中为系统管理员、安全管理员、审计员等角色指定专人；在「账号与会话安全 → 安全策略」中设置会话时长、登录方式和密码策略。
- 在「模型供应商」接入上游并验证模型，在「模型服务」中选择模型、设置可用范围与配额；在「全局设置」中为内容安全、敏感信息识别、意图识别等功能指定默认模型。
- 按需接入「MCP 服务」「API 服务」「外部智能体」「技能」「插件」，或通过「外部注册中心」同步外部条目，再设置可用范围。
- 开通模型护栏和动态路由模块时，在「护栏」维护敏感数据规则、词库和问答，在「流量规则」中配置路由、内容检测、全局限额和缓存；按需配置「威胁情报」和「网关扩展」。
- 在「告警规则」中配置通知渠道和告警规则；使用邮件渠道时先完成「SMTP 配置」。
- 用「流量规则」的「验证规则」模拟请求，确认命中顺序和最终目标；再由试点成员使用自己的 API 密钥完成正常、拒绝、额度耗尽和异常输入测试。
- 在「概览」的「网关请求」「对话」「路由策略命中」页签和「会话诊断」中核对试点调用，在「操作审计」中核对配置变更，确认无误后逐步扩大可用范围。
- 平台管理员在平台范围内确认「网关」的公开访问地址与入口证书、「备份与恢复」计划和「系统更新」方式。
1.4 主要管理职责
| 职责 | 主要对象 | 结果验证入口 |
|---|---|---|
| 组织与权限 | 部门、成员、职能组、角色、SSO 身份源、安全策略 | 成员与部门、角色管理、账号与会话安全的会话列表、操作审计 |
| 模型与网关 | 模型供应商、模型服务、API 密钥、流量规则、全局限额、缓存、网关扩展 | 模型服务试跑、验证规则、概览的网关请求与路由策略命中 |
| 能力接入 | MCP 服务、API 服务、外部智能体、技能、插件、外部注册中心 | 各服务的连通性探查与调用监控、能力中心目录、操作审计 |
| 安全 | 护栏（敏感数据、词库、问答、内部系统白名单）、流量规则中的内容检测、威胁情报 | 概览的路由策略命中与网关请求、告警规则 |
| 运行与审计 | 告警规则、通知渠道、会话诊断、操作审计、报表导出 | 概览的网关告警页签、会话诊断问题列表、审计证据导出 |
| 平台维护（平台管理员） | 网关、部署配置、系统更新、备份与恢复、租户管理 | 系统运行监控、出口网络、备份与恢复的任务记录 |
1.5 配置完成标准
- 试点成员能在能力中心看到获授权的能力，并使用本人 API 密钥调用成功；可用范围以外的账号调用被拒绝。
- 模型供应商、MCP 服务、API 服务和外部智能体均通过连通性验证，并在「概览 → 网关请求」中产生可查询的真实调用记录。
- 「验证规则」的模拟结果与真实调用的路由结论一致；「流量规则」的规则清单没有显示被数据面拒绝的规则。
- 配额、全局限额、敏感数据规则和内容检测的允许与拒绝样例均符合预期，并能在请求详情的「命中记录」中查到；路由规则的命中同时在「路由策略命中」页签中可见。
- 系统管理员、安全管理员、审计员由不同人员担任；配置变更能在「操作审计」中查到操作人和时间。
- 通知渠道发送测试成功，告警接收人、备份与恢复责任人和支持联系人已经明确。