3. 组织与权限

返回概览 · 完整版目录 · 下载完整 PDF

本章内容：本章说明如何接入企业身份源、同步组织架构、按部门和职能组组织成员、按三员分立分配管理角色，以及如何管理账号启停、密码、会话与两步验证。最后一节说明人员转岗或离职后各类凭据何时失效、如何确认。组织就绪后，能力可按部门或职能组整体授权，不必逐人维护。

本章涉及的菜单与可进入的账号：

3.1 接入企业身份源（SSO）

适用场景：员工希望用钉钉、飞书、企业微信扫码或企业统一认证登录，不必再记一套平台密码；同时希望组织架构从身份源同步进来，作为授权对象。前提是已在身份源一侧创建内部应用并拿到应用凭据。

操作步骤

1. 进入「管理后台 › 组织与权限 › SSO 配置」，页面列出「已接入的身份源」及状态；已接入的显示「已启用」，点「查看」可核对除密钥外的全部配置。
2. 点右上角「添加身份源」，在「选择身份源」页中选择类型，点「开始配置」，按向导逐步填写并启用。

可接入六类来源：钉钉、飞书、企业微信、企业 IAM (OAuth2)、LDAP、目录推送。

3.1.1 钉钉扫码登录

向导分四步：

1. 准备回调：页面显示系统生成的回调地址，只读、可复制，登记到钉钉内部应用的回调配置中。
2. 填写凭据：Corp ID、AppKey、AppSecret。AppSecret 加密保存、不回显；再次编辑时留空表示保留原值。
3. 登录策略：「首次扫码自动创建账号」开启时，平台中还没有的钉钉用户扫码即自动开通并登录；关闭时只有平台内已有账号的员工能扫码登录。「启用钉钉登录」开启后登录页出现「钉钉」入口。
4. 组织同步：按需开启，见 3.2。

飞书与企业微信的向导相近：填企业标识、应用标识与应用密钥，决定是否允许未登记成员自动开通账号，把回调地址填入服务商后台后启用。

3.1.2 企业 IAM 单点登录

向导四步：准备回调、选择方式、端点与凭据、身份映射。填写授权、令牌、用户信息三个地址与 Client ID 与 Client Secret，并决定是否「允许 JIT 自动建号」。保存后生成单位登录地址，形如 <平台地址>/login?org=<单位标识>，可直接分发给员工。

你会看到：登录页在账号密码框下方按已启用身份源逐个显示入口；用身份源账号登录后该账号「来源」为「外部」。

注意

• 保存后「验证状态」为「未验证」，完成一次测试登录后才可信；修改端点或凭据后需重新验证。
• SSO 配置对本租户全体成员生效。修改「首次扫码自动创建账号」或停用身份源前先评估影响，建议在业务低峰期调整。
• 身份源用于登录管理后台与工作台；业务系统凭据调用模型属数据面认证（见 3.9）。

3.2 同步通讯录与接收目录推送

组织架构可以从身份源定期拉取，也可以由外部系统主动推送。两种方式带进来的部门与成员都是只读的，结构与人员关系在来源系统中维护。

通讯录同步适用于企业已在钉钉、飞书、企业微信或 AD 中维护组织架构的情况。打开该身份源的「查看」，下滑到「通讯录同步」：需要立即对账时点「立即同步」，需要定期同步时在「自动同步」中开启并选择周期。区域中给出本次运行的部门数、新用户数、成员关系数、暂存变更数与下次同步时间。

隔离复核：单次同步的变更量超过阈值时，变更暂存为「待复核」而不直接生效，防止来源系统异常导致大批账号被误停用；管理员查看后可一次批准或拒绝。

目录推送适用于人事系统在人员入职、转岗、离职时立即通知平台的场景，也是「离职即断权」的推荐入口。在「添加身份源」中选择「目录推送」，开启后填写来源名称、应用标识与应用密钥（首次保存必填、不回显）；已配置企业 IAM 时可关联，推送的成员按单点登录的账号匹配字段关联已有账号。保存后生成推送地址与连接测试地址，连同凭据配置到外部系统即可推送。

你会看到：推送完成后出现对应部门与成员，被标记停用的人员进入「已离职成员」页签，其登录会话、API 密钥与访问令牌一并失效。

3.3 维护部门与成员

适用场景：需要建立组织架构、手工建号、调整人员的部门归属，或处理离职与恢复。需以租户管理员或系统管理员登录；由同步或推送管理的部门与成员是只读的，需在来源系统中维护。

3.3.1 新建部门与添加成员

1. 进入「成员与部门」，在「部门」页签的组织结构中点「新建部门」，填写部门名称、描述信息、负责人与上级部门（决定其在组织树中的位置）后点「确认」。部门随后显示完整路径，例如「ZStack – 研发中心」。
2. 切到「成员」页签点「添加成员」，填写用户名、显示名称、邮箱、初始密码并选择所属部门；该成员即可通过部门获得按部门的授权。
3. 点「创建用户」，账号立即可登录。通过安全渠道把登录地址与初始密码交给本人，要求首登后自行修改。

注意：账号来源只有四种——管理员新建、身份源首登自动开通、同步、目录推送；平台不提供申请账号的审批流程。

3.3.2 调整归属与成员行操作

在成员行点「⋯ › 调整组织归属」，在「部门」中增删部门（可多选，彼此平等），在「职能组」中维护该成员直接所属的职能组，点「保存」。归属立即更新；成员被移出某部门后，仅由该部门授予的能力及其对应密钥随即失去授权（见 3.9）。

成员列表显示姓名、来源（本地 / 外部）、职能组、状态、两步验证、部门与加入时间；行菜单还提供重置密码、重置两步验证、删除（移至已离职）、撤销所有权限等。由同步或推送管理的成员需在来源系统处理；不能删除最后一名租户管理员。

3.3.3 指定部门管理员

适用场景：下属单位由总部统一开通后，需要自行管理本单位的模型使用，例如分行管理本行人员的模型服务、用量与限额。

前提：以租户管理员登录。部门管理员的管辖范围是被指定的部门及其全部下级部门；被指定的部门须处于启用状态。

操作步骤

1. 进入「成员与部门」，在「部门」页签选中部门，打开部门详情。
2. 在「部门管理员」区块点「添加」，选择成员后点「添加」。指定立即生效；同一成员可以管理多个部门。
3. 撤销时，在列表中点该成员的「撤销」并确认，该成员的下一次请求即失去部门管理权限。该成员已授出的转授与限额归属于部门，予以保留，由该部门的其他管理员或租户管理员继续管理。

部门管理员登录后进入管理控制台，页头显示「管理范围：部门名称（含下级）」。侧栏只出现以下入口，且只作用于管辖范围：

范围与统计口径

• 成员所在部门须全部在管辖范围内，部门管理员才能向该成员转授服务、禁用其密钥或对其个人设置限额。按部门设置的限额对该部门的全部成员生效，包括同时属于其他部门的成员；总部如需让某个成员不受部门限额约束，可调整其部门归属，或为其设置带到期时间的「豁免」。
• 「运行总览」的用量与请求按调用发生时的归属部门统计；「使用洞察」、模型密钥与限额按成员当前所在部门划分。成员调动后，两类页面的数字可能不一致；新调入的成员在所选时间段内、调入前的评价结论，新部门的管理员同样可见。
• 部门管理员看不到对话原文：不提供会话与调用详情，「使用洞察」中的原文摘录不显示。
• 部门管理员导出成员评价名单或调用记录时，审计日志记录导出人与当时的管理范围。

转授的生效与失效

• 转授只在依据成立时生效：总部对转授所属部门或其上级部门有生效中的开放，且转授对象仍在该部门范围内。
• 租户管理员删除或收窄对该部门的开放时，因此失去依据的转授随之删除；之后重新开放，需要部门管理员重新转授。
• 开放到期、部门停用或成员调出范围时，转授暂停生效，在可用范围列表中标为「依据已失效」；续期或组织恢复后自动恢复生效。租户管理员在模型服务的可用范围列表中可以看到全部转授及其状态，不需要恢复的转授可在续期前删除。

限额

部门管理员设置的限额与总部限额叠加生效，只会增加限制，不会放宽或覆盖总部限额；优先级由系统固定。部门管理员只能修改、启停和删除归属于其管辖范围的限额，不能修改总部设置的限额。

注意

• 租户管理员如需单独停止某个成员使用某个模型服务，可在「模型服务 › API 密钥管理」中禁用该成员的密钥：该成员在此服务上的全部密钥随即失效，也不能再领取新密钥，部门管理员无法解除。需要恢复时，由租户管理员打开该密钥的详情点「恢复」：恢复只解除对该成员的禁用，被禁用的那把密钥不会重新生效，成员需重新领取密钥。成员尚无密钥时无法预先禁用，可收回对其部门的开放或调整部门管理员。
• 部门结构与人员仍由目录同步或租户管理员维护，部门管理员不能修改。

3.4 使用职能组组织跨部门授权

适用场景：项目组、虚拟团队、专项小组等不对应组织架构的授权场景。角色决定能进哪些管理页面，职能组决定能用哪些能力。

1. 进入「组织与权限 › 职能组」，点「添加职能组」，填写名称与描述后创建。
2. 在职能组行点「⋯ › 邀请成员」，搜索选择成员后点「邀请」；选中职能组可在右侧「关联成员」页签核对，移出时点成员后的「移除」。

按部门或职能组授权：打开模型分组的「可用范围与配额」，点「编辑可用范围」，选「部门」勾选后切到「职能组」勾选，再点「下一步」设置有效期（默认「长期有效」）并保存。

你会看到：可用范围表按对象逐行列出，带类型与人数。部门内与职能组内的成员登录后能看到该服务，「API 密钥归属」中出现对应对象，用该归属创建的密钥可立即调用；成员通过多个对象获得授权时需选择归属，用量计入该对象额度池。

3.5 分配管理角色与三员分立

适用场景：按等级保护要求把管理权限拆分给不同人员，避免一人同时掌握配置、凭据与审计。角色职责见 1.2，需以租户管理员身份操作。

1. 进入「组织与权限 › 角色管理」。页面按角色分页签列出持有该角色的成员，只有「添加成员」与「移除」。
2. 选目标角色页签点「添加成员」，搜索并选择用户后确认；角色只能授予单个用户。收回时点「移除」并确认。

三员互斥：系统管理员、安全管理员、审计员两两互斥，同一账号只能持有其中一个；再授予另一个时保存被拒绝，并明确提示两者互斥、需先移除其中一个。运营、财务、只读审计可与任一角色叠加。

你会看到：授予后对方侧栏立即出现该角色应有的菜单；越权访问被拒绝——打开不属于本角色的页面显示「404 找不到该页面」或「访问被拒绝」，接口返回 403；移除角色后对方再访问即被带回工作台。

注意：角色是固定编制，不能新建、复制或按菜单勾选权限，只管理「谁持有哪个角色」。对象级授权由各资源的「可用范围」承担；MCP 服务内按工具区分授权，在「流量规则」中按「具体能力 + 调用方 + 工具名」配置（第 15 章）。

3.6 管理账号启停与密码

口令规则为租户级统一配置，对本租户全部本地账号生效：至少 12 个字符、不超过 256 字节、大写与小写字母与数字与符号中至少 3 类、拒绝常见口令、不含账号名或邮箱前缀。外部账号的密码由身份源管理，不受此规则约束。

你会看到：新建成员、管理员重置、成员自助修改三个入口都在密码框下方列出规则，不符合的逐条标出，表单保持打开。

管理员重置：在成员行点「⋯ › 重置密码」，输入符合规则的新密码并确认，页面提示「密码已重置」；旧密码与已登录会话随之失效。

成员自助修改：进入「工作台 › 设置 › 账户安全」，在「密码」一栏点「修改密码」，填写当前密码与新密码后确认。

停用与恢复账号：平台以「移至已离职」作为停用，以「恢复入职」作为启用，不物理删除账号，便于审计追溯。

1. 在成员行点「⋯ › 删除」。确认框说明：对方将无法登录，相关 API 密钥与登录凭据会立即失效。确认后账号移入「已离职成员」页签，状态显示「已禁用」。
2. 停用后即使密码正确也无法登录，登录页提示账号已停用；其全部会话、API 密钥与访问令牌一并失效。恢复时点「⋯ › 恢复入职」，恢复后可以重新登录，但部门、职能组与 API 密钥不会自动恢复。

3.7 设置会话与登录安全

进入「管理后台 › 系统设置 › 全局设置 ›「账号与会话安全」页签」，页签列出本租户的在线会话（用户、设备、登录位置、状态），发现异常时点「撤销」。点右上角「安全策略」可设置会话时长与登录方式，现值是空闲超时约 7 天、绝对超时约 30 天、最多在线 10000 人。

连续登录失败会按来源地址被暂时限制：期间登录页提示「登录尝试次数过多，请稍后再试。」，而不是提示用户名或密码错误——这提示请求被节流，不是账号不存在。限制按来源地址计算，不会因为他人的错误尝试把某个账号锁死，因此平台不设按账号锁定，也无需管理员解锁；被限制期间即使密码正确也会被拒绝，阈值以当前界面为准。

注意：安全策略对本租户全体成员生效；登录方式与两步验证的调整在下次登录时生效，已登录会话若不再满足新设置，会在续期时被要求重新登录。

3.8 绑定两步验证与通行密钥

适用场景：本地账号希望提升登录安全；外部账号的多因子认证由身份源负责，或在平台侧补做。通行密钥需 HTTPS 且浏览器支持 WebAuthn。

1. 进入「工作台 › 设置 › 账户安全」，在「两步验证」一栏点「添加验证方式」并完成身份验证。
2. 在「开启两步验证」对话框中用身份验证器应用扫描二维码，输入 6 位验证码。
3. 页面显示恢复码，每个只能使用一次且只显示这一次，请保存到安全位置。
4. 需要通行密钥时，在「通行密钥」一栏点「添加通行密钥」，填写名称（如「办公电脑」），按浏览器提示用本设备的生物识别或屏幕锁定完成注册；此后登录页可用它登录。

你会看到：「成员与部门」中该成员的「两步验证」列显示「已绑定」；外部账号该列显示「—」。

注意：验证器与恢复码同时丢失时，由管理员在「成员与部门」中执行「重置两步验证」，这会移除验证器、恢复码与通行密钥并使全部会话失效，对方下次登录时重新绑定。

3.9 确认撤权生效

适用场景：人员转岗、离职或被收回角色后，确认相关凭据是否仍可用。

以成员被移出部门为例：

1. 管理员在「调整组织归属」中移除该部门并保存。成员刷新工作台后，仅由该部门授权的服务从模型广场消失，「API 密钥归属」显示「暂无可用归属」，并提示核对部门成员关系及有效期。
2. 用原归属该部门的密钥继续调用，配置下发完成后转为被拒绝：code 为 invalid_api_key，reason 为 LLM_AUTH_FAILED；在「运行总览 › 请求」中按该凭据筛选可见这些 401 的「失败」请求。
3. 在「API 密钥管理」中打开该密钥，状态显示「待复核」，详情提示可用范围校验未通过。

注意

• 组织关系变更不是瞬时生效。移出部门、职能组或可用范围后，成员侧视图立即变化，但旧密钥要等配置下发到网关后才被拒绝，通常需要数十秒到一分多钟。需要立即断权时改用「禁用该 API 密钥」或「移至已离职」，两者立即生效。
• 拒绝响应中的 reason 只区分「密钥无效」与「身份令牌无效」，不区分「密钥写错」与「授权已被收回」；看到 401 时先看该密钥是否为「待复核」。撤权只阻止后续访问，不删除已产生的调用记录与审计记录。
• 数据面的模型与 MCP 路由一律要求凭据：OpenAI 兼容路径用 Authorization: Bearer <YOUR_API_KEY>，Anthropic 兼容路径用 x-api-key。

能力说明

---

上一章：2. 平台对象和边界 · 下一章：4. 配置模型供应商