Guida pubblica

Abilitare AI Gateway e provider IA

Usa `/ai-gateway` come punto di partenza: collega una chiave provider BYOK, inseriscila nella allowlist della policy e crea un client per il tuo IDE o automazione. Pubblico: Amministratori di tenant, responsabili della sicurezza e proprietari di aree di lavoro. Tempo medio di configurazione: 15-20 minuti.

reference

Usa questa guida se

Usa `/ai-gateway` come punto di partenza: collega una chiave provider BYOK, inseriscila nella allowlist della policy e crea un client per il tuo IDE o automazione.

Destinatari: Amministratori di tenant, responsabili della sicurezza e proprietari di aree di lavoroTempo stimato: 15-20 minuti

Prima di iniziare

  • Scegli il primo provider, IDE o flusso di lavoro di automazione che desideri sperimentare.
  • Conferma quali provider e strumenti MCP gli utenti saranno autorizzati a vedere.
  • Prepara l'URL di callback o i dettagli di configurazione del client prima di creare l'accesso.

Procedura dettagliata

1

Passo 1

Collega prima un provider

Inizia in `/ai-gateway`, quindi apri la connessione del provider OpenAI per aggiungere la prima chiave di proprietà del tenant già considerata affidabile dal tuo team.

  • Usa `/integrations/ai_openai` per la prima credenziale del provider BYOK, a meno che il tuo pilota non richieda esplicitamente Anthropic o un endpoint compatibile con OpenAI.
  • Utilizza una chiave provider dedicata per BlackShield anziché una chiave personale condivisa tra più persone.
  • Esegui il controllo preliminare del provider prima di tornare ad AI Gateway.

Criteri di successo

Esegui il controllo preliminare del provider prima di tornare ad AI Gateway.

2

Passo 2

Inserisci il provider nella allowlist della policy

AI Gateway limita l'instradamento attivo e l'accesso finché la policy non autorizza esplicitamente il provider collegato.

  • Apri la scheda delle policy da `/ai-gateway` e aggiungi il provider collegato a `approved_providers`.
  • Mantieni semplice la prima policy: allowlist dei provider, strumenti nascosti e un limite chiaro sulle richieste.
  • Rimani in modalità consultiva (advisory) finché il team pilota non vede gli avvisi previsti, quindi passa all'applicazione vincolante (enforce).

Criteri di successo

Rimani in modalità consultiva (advisory) finché il team pilota non vede gli avvisi previsti, quindi passa all'applicazione vincolante (enforce).

3

Passo 3

Crea un client per lo strumento utilizzato dal tuo team

Assegna a ogni IDE, client MCP o service principal il proprio client AI Gateway, in modo che l'accesso sia facile da ruotare o disabilitare.

  • Crea un client pubblico per i flussi di accesso o un client confidenziale per l'automazione headless.
  • Aggiungi l'URL di callback richiesto dal tuo IDE o agente prima di consegnare il client agli utenti finali.
  • Limita ciascun client alle connessioni provider e agli strumenti MCP di cui quel team ha effettivamente bisogno.

Criteri di successo

Limita ciascun client alle connessioni provider e agli strumenti MCP di cui quel team ha effettivamente bisogno.

4

Passo 4

Testa il gateway prima dell'implementazione su vasta scala

Esegui prima un test a basso rischio per confermare l'autenticazione, il comportamento delle policy e la registrazione delle attività.

  • Imposta l'endpoint MCP su `/api/v1/mcp` e l'endpoint di inferenza su `/api/v1/ai-gateway/openai/v1/chat/completions`.
  • Accedi con il nuovo client o scambia le credenziali client con un token di breve durata.
  • Esegui `tools/list` o un semplice prompt di sola lettura, quindi conferma che l'evento appaia nell'attività di AI Gateway.
  • Esamina gli avvisi relativi alle policy e i log di utilizzo prima di invitare altri utenti.

Criteri di successo

Esamina gli avvisi relativi alle policy e i log di utilizzo prima di invitare altri utenti.

Demonstration only

This configuration is designed for ease of use. To deploy scanner clients at scale, please plan your deployment architecture accordingly or contact us for enterprise best practices.

Esegui

Exchange client credentials for a short-lived token
curl -X POST https://api.blackshield.chaplau.com/api/v1/ai-gateway/oauth/token \
  -H "Content-Type: application/json" \
  -d '{
    "grant_type": "client_credentials",
    "client_id": "your-client-id",
    "client_secret": "your-client-secret"
  }'
Query OpenAI completions via the Gateway Proxy
curl -X POST https://api.blackshield.chaplau.com/api/v1/ai-gateway/openai/v1/chat/completions \
  -H "Authorization: Bearer <your_short_lived_token>" \
  -H "Content-Type: application/json" \
  -d '{
    "provider": "openai",
    "model": "gpt-4o-mini",
    "messages": [
      {
        "role": "user",
        "content": "List the security requirements for the tenant onboarding flow."
      }
    ]
  }'
Configure the Stdin/Stdout MCP Proxy in Cursor / VS Code / Claude Desktop
{
  "mcpServers": {
    "blackshield-gateway": {
      "command": "blackshield-mcp",
      "args": [
        "--client-id", "<your-client-id>",
        "--client-secret", "<your-client-secret>",
        "--url", "https://api.blackshield.chaplau.com/api/v1/mcp"
      ]
    }
  }
}

Criteri di successo

  • Il client pilota si autentica correttamente e vede solo i provider e gli strumenti pianificati.
  • Il flusso di attività mostra la chiamata di test e tutti gli avvisi o blocchi di policy previsti.
Abilitare AI Gateway e provider IA | BlackShield Docs