模型策略 API 与批量配置

模型访问 API 当前 preview。Team 路由反映团队 baseline，不包含可扩展权限的 Organization Group allowlists，BYOK 仍在 dashboard 配置。读取需 models:read、写入 models:，admin: 可兼容；通用 read:* 不够。

先建立配置

GET /teams/model-access/configuration 返回 unrestricted/custom/legacy 及新 provider/model 默认值。unrestricted 或 legacy 时直接读写 provider/model 会返回 409。

PUT configuration 发送 newProviderDefault/newModelDefault（enabled 或 disabled）建立 custom policy。第一次保存为当前 catalog 建立策略；以后改变 defaults 只影响默认规则，不重置已有 toggles，也不是复制另一团队配置。

发送 {"state":"unrestricted"} 清除自定义策略和旧列表，恢复不受该策略限制的状态。

按 catalog 修改

GET /teams/model-access/providers 发现 provider/model IDs、parameter IDs、supportedValues、allowedValues、configuredDefaultValue 和 catalogDefaultValue。使用 catalog ID，不用界面显示名。

PUT /teams/model-access/providers/:provider 要求 enabled；PUT /teams/model-access/providers/:provider/models/:model 要求 enabled，可另给 parameters 映射。

parameters 中省略字段保持现状，allowedValues:null 清除值限制，defaultValue:null 恢复 catalog 默认。空 allowedValues、未知值、默认不在允许列表、没有任何有效 variant 或封禁 Smart Auto 必须模型都会返回 400。只开启模型而不配参数会使用 catalog 默认，不能假定 Fast 自动关闭。

跨团队部署

组织对应路由位于 /organizations/teams/:teamId/model-access/…，需要 Organization key 的 models scope。GET /organizations/teams/model-access/configuration 比较 linked teams 配置；要比较各模型开关，仍需取每队 providers。

批量 PUT /organizations/teams/model-access/configuration 或 provider/model 对应路径，接收最多 100 个 teamIds。HTTP 200 仅表示批次已处理；检查 errorCount/results[].status，成功队伍不会回滚，仅重试失败项。官方说明 4xx/5xx 拒绝整次请求，不应用改动。

配置未开放的 linked team 在列表可为 200 errorMessage 行，单队路由则 403；未 linked 单队 404。该 API 每分钟 20 次，写入生成 team_settings 审计。不存在组织级 copy endpoint 或 policy fingerprint，需自行比较读取结果。