Google AI Studio 无法创建 API 密钥：先查项目与 5 项权限

如果在 Google AI Studio 点击创建后看到“您无权在此项目中创建密钥”或 “Failed to generate API key: Permission denied”，当前没有可用密钥。先别改 SDK、模型名或请求参数；第一道边界是登录的 Google 账号和 AI Studio 里选中的 Cloud 项目。

在切换账号、项目或角色前，先记下当前账号和准确的项目 ID，然后判断卡在哪一道门：

停止规则：只要密钥没有创建成功，就不要先排查 SDK、模型配额、计费、请求中的 403 或 429。那些问题都发生在“已经有密钥”之后。

如果第三道门失败，可以把下面 5 项当前权限直接发给项目管理员：resourcemanager.projects.get、apikeys.keys.create、serviceusage.services.enable、iam.serviceAccounts.create、iam.serviceAccountApiKeyBindings.create。让管理员在目标项目中按组织策略实现这些操作，不要默认索要 Owner。

管理员完成一项经过授权的修改后，只在同一账号、同一项目重试一次。成功的标准不是“按钮不报错”，而是密钥已经存在、没有进入前端或聊天记录，并且一次最小的服务端请求通过。

先固定账号和项目，不要同时改四个变量

打开 Google AI Studio API Keys，确认页面右上角的账号就是应该拥有这次集成的身份。记录两个值：

1. 账号选择器中显示的邮箱；
2. 目标项目的项目 ID，而不只是容易重名的显示名称。

Gemini API 密钥属于 Google Cloud 项目。项目承载 IAM、服务启用、授权密钥背后的服务账号、密钥限制、使用记录以及之后的恢复路径。浏览器里看起来“登录了 Google”，并不代表当前标签页使用的是团队预期的账号和项目。

如果项目已经存在于 Google Cloud，但 AI Studio 列表里看不到，不要新建一个同名项目。按照 Google 的当前 API 密钥说明，先把现有 Cloud 项目导入 AI Studio，再在正确项目中管理密钥。

一次干净会话可以用来排除身份混乱：退出无关账号，或在无痕窗口里只登录目标账号，再选择同一个项目并尝试一次。这个动作只能证明之前是否选错账号或项目，不能给你增加 IAM 权限，也不能绕过组织政策。

为什么个人账号能创建，工作账号却不行

这个差异很有价值，但它不能直接证明“缺少某个角色”。个人账号可能使用个人控制的项目；工作账号则可能受 Workspace 服务开关、项目成员关系、IAM、服务账号操作、年龄/地区条件或组织政策影响。

不要因为个人项目能创建密钥，就把生产集成迁到个人项目。保留应该使用的工作身份与目标项目，再把阻塞交给对应管理员处理。

向管理员申请当前 5 项创建操作

Google 目前为 AI Studio 的新授权密钥流程列出 5 项权限，而不是旧回答里经常单独提到的 apikeys.keys.create：

来源：Gemini API 密钥官方文档，核对日期为 2026 年 7 月 15 日。

Cloud IAM 的 API Keys 角色说明显示，API Keys Admin 包含 apikeys.keys.create 等 API key 操作。但这不等于完整覆盖当前 AI Studio 流程：服务启用、服务账号创建与绑定属于其他权限族。

因此，最小权限请求不应该写成“请给我 Owner”。把 5 个操作名、准确项目 ID 和失败时间交给管理员，由管理员选择符合组织政策的预定义角色组合或自定义角色。

可直接复制给管理员的请求

我使用 ACCOUNT_EMAIL 登录 Google AI Studio，在项目 PROJECT_ID 中创建授权密钥时，页面于 TIMESTAMP_WITH_TIME_ZONE 显示“Failed to generate API key: Permission denied / 您无权在此项目中创建密钥”。

请先确认该账号可以访问 AI Studio 并看见目标项目，再检查项目中是否允许以下当前创建操作： resourcemanager.projects.get apikeys.keys.create serviceusage.services.enable iam.serviceAccounts.create iam.serviceAccountApiKeyBindings.create

本次没有创建出密钥，消息中也没有附带任何凭据。

工单里只放项目 ID、账号、带时区的时间和完整错误。不要附上密钥、浏览器 Cookie、访问令牌或其他秘密。

分清 Workspace 访问和 Cloud 项目 IAM

Workspace 管理员和 Cloud 项目 IAM 管理员控制的是两道不同的门。

Workspace 服务访问决定托管账号能否使用 AI Studio；项目 IAM 决定该身份在某个 Cloud 项目中能执行什么操作。通过其中一道门，并不代表另一道门也通过。

Google 的 Workspace 与 AI Studio 访问说明指出，管理员可以控制托管用户的 AI Studio 使用权限，并对部分未满 18 岁的教育账号列出额外限制。可用地区说明又单独定义地区与年龄条件。这些是账号访问条件，不是项目角色的替代品。

如果失败点属于管理员，就停在那一层。反复切换浏览器、创建新项目或申请大角色只会增加审计噪音，不会改变阻塞的所有者。

只在同一项目受控重试一次

管理员完成一项明确的访问或 IAM 修改后，回到同一个账号和同一个项目。刷新 AI Studio，或用一个只登录该账号的干净会话，再次确认项目 ID，然后点击一次创建。

不要同时更换账号、项目、浏览器和角色。一次只改变一个已授权边界，才能知道到底是哪项修改起效。如果仍失败，保存新的时间和完整错误，用于下一次升级。

团队环境里还应保留一条简短的重试记录：原账号、原项目 ID、管理员批准的变更、变更完成时间、重试时间以及结果。不要只写“后来好了”。如果两名管理员先后修改了不同边界，每项变更都应对应自己的重试；否则你无法判断是 Workspace 服务开关、项目成员关系，还是某项 IAM 操作真正解除阻塞。这份记录不包含密钥，却能避免下一位开发者重复申请过大的权限。

创建成功后，先确认密钥类型。Google 当前文档称，新建的 AI Studio 密钥是由 Google Cloud 服务账号支撑的授权密钥，默认限制为 Gemini API。Cloud API key 认证说明解释了授权密钥与服务账号的绑定关系。

旧教程可能讲的是标准 API 密钥。Google 当前还说明，Gemini API 将从 2026 年 9 月开始拒绝标准 API 密钥。这是会变化的迁移节点；长期部署前应重新查看官方密钥文档，而不是把当前日期当作永久承诺。

把新密钥复制到受信任的服务端秘密存储中。不要放进截图、前端 bundle、移动应用、公开仓库、Issue 或聊天。如果调用必须从浏览器界面发起，应由自己的后端代理 Gemini 请求，而不是把密钥暴露给客户端。

密钥存在后，再做一次最小私密验证

创建成功只能证明密钥资源存在，还不能证明运行环境读到了正确秘密，也不能证明所有模型、配额或计费条件都正常。

先在私密的服务端 shell 或 secret manager 中设置环境变量：

hljs bash复制
export GEMINI_API_KEY="只在私密环境中替换这个值"

再从同一个私密环境发送最小认证请求：

hljs bash复制
curl "https://generativelanguage.googleapis.com/v1beta/models" \
  -H "x-goog-api-key: $GEMINI_API_KEY"

成功响应说明凭据能到达 Gemini API。它不保证每个模型都可用，也不保证配额、计费和下一条业务请求一定成功。最小验证通过后，再选择当前模型测试真实调用。

始终遵守四条安全线：

• 只把密钥复制到批准的秘密位置；
• 不要放进 NEXT_PUBLIC_* 等客户端环境变量；
• 不要把密钥粘贴到工单、截图或聊天；
• 一旦暴露就轮换，即使当前请求仍然成功。

仍被拒绝时，升级边界而不是继续猜

一份好的升级材料让管理员可以复现失败，同时不接触你的秘密。请提供：

• 准确的 Cloud 项目 ID；
• 登录的 Google 账号；
• 页面显示的完整错误；
• 带时区的失败时间；
• 尝试执行的动作：创建 AI Studio 授权密钥；
• AI Studio 是否能打开、项目是否可见；
• 单账号干净会话是否改变结果。

在这个失败状态下本来就不该有密钥，所以不要发送任何密钥。如果后续尝试真的创建成功，也只需报告“创建已成功”，凭据仍应留在秘密通道中。

以下停止条件应由管理员继续处理：

• 托管 Workspace 账号的 AI Studio 服务被关闭；
• 目标项目被组织或成员关系隐藏；
• 组织政策禁止服务账号、密钥或绑定操作；
• 账号不符合地区、年龄、验证或教育账号条件；
• 安全政策要求使用另一种经批准的凭据方式。

遇到这些条件时，“换个人账号试试”不是生产修复。管理员需要批准目标路线，或者明确组织支持的凭据方案。

不要把创建失败和后续 API 403 混在一起

两类错误都可能包含“permission denied”，但它们发生在密钥生命周期的两侧。

不要通过修改应用代码解决第一行，也不要通过反复创建密钥解决第二行。保留清晰的状态转换：先创建，私密保存，做一次小请求，然后按真实响应继续排查。

密钥已经可用后，如果问题转为 Free Tier 容量，可查看 Gemini API Free Tier 限额；如果是位置相关失败，可查看 Gemini 地区可用性。这两个分支都不应拖慢创建权限的修复。

用这张清单关闭故障

只有每个答案都具体，故障才算关闭：

如果创建仍失败，把证据包交给那道门的所有者。如果创建成功但请求失败，就进入请求阶段，不要把后续问题重新说成“创建失败”。

常见问题

为什么个人 Google 账号能创建，工作账号却不行？

两个账号通常走的是不同身份和项目边界。工作账号可能受到 Workspace 服务访问、项目成员关系、IAM、服务账号操作或组织政策控制。个人账号成功只能说明另一条路径通过，不能证明具体缺哪个权限，也不能授权生产绕行。

apikeys.keys.create 是做什么的？

它允许创建 API key 资源。当前 AI Studio 授权密钥流程还列出项目读取、服务启用、服务账号创建和 API key 绑定，所以只有这一项可能不足以完成全流程。

为什么 API Keys Admin 仍可能不够？

API Keys Admin 覆盖 API key 操作，但当前流程还可能启用服务、创建服务账号并完成绑定。把 5 项操作交给管理员核对，比猜一个大角色更准确。

清除浏览器缓存能修复权限被拒吗？

一次干净的单账号会话可以修复或暴露账号选择问题，但不能授予项目 IAM、打开 Workspace 服务或覆盖组织政策。把它当作一次诊断，而不是权限修复。

能不能直接在 Google Cloud Console 创建？

AI Studio 是 Gemini API 密钥的文档化创建与管理入口，现有 Cloud 项目也可导入。Cloud Console 仍用于 IAM、密钥限制、服务账号和组织控制。如果组织要求另一种凭据流程，应遵循批准路线，而不是把 Console 当作绕过手段。

如果已经创建密钥，但请求返回 403 呢？

这属于请求阶段。确认运行环境读取的是新密钥、密钥属于目标项目、限制允许 Gemini API、端点与认证方式正确，并检查所请求资源是否适用于当前路线。

管理员应该替我创建密钥再发给我吗？

优先让经批准的开发者或服务身份获得最小权限，并通过团队的秘密管理流程保存密钥。如果必须由管理员创建，也只能用批准的秘密通道交付，不能通过邮件、聊天、截图或工单明文发送。

创建仍失败时，应该发哪些信息？

发送项目 ID、登录账号、完整错误、带时区时间、尝试动作、项目可见性和一次干净会话结果。不要发送密钥、访问令牌、Cookie 或其他凭据。

标准 Gemini API 密钥会一直可用吗？

Google 当前称 Gemini API 将从 2026 年 9 月开始拒绝标准 API 密钥；AI Studio 新建密钥使用服务账号支撑的授权密钥路径。迁移日期和操作可能变化，接近节点时应重新查看官方说明。