3. 组织、权限与工作空间

完整版章节。内容按 2026.10 主线代码核对；具体入口以当前许可、账号权限和交付环境为准。

返回概览 · 完整版目录 · 下载完整 PDF

本章内容：本章说明如何接入企业身份源、同步组织架构、按部门和职能组组织成员、通过角色与授予分配管理权限（含三员分立与按部门委派），以及如何管理账号启停、密码、会话与两步验证；随后说明 Zenova 的工作空间：如何规划和创建工作空间、维护成员与工作空间角色、核对工作空间可用的模型分组与智能体、设置资源上限。组织就绪后，模型、工具和知识可按部门、职能组或工作空间整体授权，不必逐人维护。

本章涉及的菜单与可进入的账号：

3.1 接入企业身份源（SSO）

适用场景：员工希望用钉钉、飞书、企业微信扫码或企业统一认证登录，不必再记一套平台密码；同时希望组织架构从身份源同步进来，作为授权对象。

前提：已在身份源一侧创建内部应用并拿到应用凭据。

操作步骤

1. 进入「管理后台 › 组织与权限 › SSO 配置」，页面列出「已接入的身份源」及状态；已接入的显示「已启用」，点「查看」可核对除密钥外的全部配置。
2. 点右上角「添加身份源」，在「选择身份源」页中选择类型，点「开始配置」，按向导逐步填写并启用。

可接入六类来源：钉钉、飞书、企业微信、企业 IAM (OAuth2)、LDAP、目录推送。

3.1.1 钉钉扫码登录

向导分四步：

1. 准备回调：页面显示系统生成的回调地址，只读、可复制，登记到钉钉内部应用的回调配置中。
2. 填写凭据：Corp ID、AppKey、AppSecret。AppSecret 加密保存、不回显；再次编辑时留空表示保留原值。
3. 登录策略：「首次扫码自动创建账号」开启时，平台中还没有的钉钉用户扫码即自动开通并登录；关闭时只有平台内已有账号的员工能扫码登录。「启用钉钉登录」开启后登录页出现「钉钉」入口。
4. 组织同步：按需开启，见第 3.2 节。

飞书与企业微信的向导相近：填企业标识、应用标识与应用密钥，决定是否允许未登记成员自动开通账号，把回调地址填入服务商后台后启用。

3.1.2 企业 IAM 单点登录

向导四步：准备回调、选择方式、端点与凭据、身份映射。填写授权、令牌、用户信息三个地址与 Client ID、Client Secret，并决定是否「允许 JIT 自动建号」。保存后生成单位登录地址，形如 <平台地址>/login?org=<单位标识>，可直接分发给员工。

你会看到：登录页在账号密码框下方按已启用身份源逐个显示入口；用身份源账号登录后该账号「来源」为「外部」。

注意

• 保存后「验证状态」为「未验证」，完成一次测试登录后才可信；修改端点或凭据后需重新验证。
• SSO 配置对本租户全体成员生效。修改「首次扫码自动创建账号」或停用身份源前先评估影响，建议在业务低峰期调整。
• 身份源用于登录工作台与管理后台；业务系统用 API 密钥调用模型属于网关认证（见第 3.9 节）。

3.2 同步通讯录与接收目录推送

组织架构可以从身份源定期拉取，也可以由外部系统主动推送。两种方式带进来的部门与成员都是只读的，结构与人员关系在来源系统中维护。

通讯录同步适用于企业已在钉钉、飞书、企业微信或 AD 中维护组织架构的情况。打开该身份源的「查看」，下滑到「通讯录同步」：需要立即对账时点「立即同步」，需要定期同步时在「自动同步」中开启并选择周期。区域中给出本次运行的部门数、新用户数、成员关系数、暂存变更数与下次同步时间。

「隔离复核」：单次同步的变更量超过阈值时，变更暂存为「待复核」而不直接生效，防止来源系统异常导致大批账号被误停用；管理员查看后可一次批准或拒绝。

目录推送适用于人事系统在人员入职、转岗、离职时立即通知平台的场景，也是「离职即断权」的推荐入口。在「添加身份源」中选择「目录推送」，开启后填写来源名称、应用标识与应用密钥（首次保存必填、不回显）；已配置企业 IAM 时可关联，推送的成员按单点登录的账号匹配字段关联已有账号。保存后生成推送地址与连接测试地址，连同凭据配置到外部系统即可推送。

你会看到：推送完成后出现对应部门与成员，被标记停用的人员进入「已离职成员」页签，其登录会话、API 密钥与访问令牌一并失效。

3.3 维护部门与成员

适用场景：需要建立组织架构、手工建号、调整人员的部门归属，或处理离职与恢复。

前提：以租户管理员或安全管理员登录，或持有「部门」「成员」的相应权限。由同步或推送管理的部门与成员是只读的，需在来源系统中维护。

3.3.1 新建部门与添加成员

操作步骤

1. 点「创建用户」，账号立即可登录。通过安全渠道把登录地址与初始密码交给本人，要求首次登录后自行修改。

注意

• 新建的成员没有任何管理权限，登录后进入工作台。需要管理职责时，在「角色管理」中为其授予角色（第 3.5 节）；按最小权限原则，「租户管理员」只授予确需管理整个租户的人员。
• 账号来源只有四种——管理员新建、身份源首次登录自动开通、同步、目录推送；平台不提供申请账号的审批流程。
• 加入部门不会让成员自动进入某个工作空间，也不会授予工作空间角色；工作空间成员在第 3.11 节单独维护。

3.3.2 调整归属与成员行操作

在成员行点「⋯ › 调整组织归属」，在「部门」中增删部门（可多选，彼此平等），在「职能组」中维护该成员直接所属的职能组，点「保存」。归属立即更新；成员被移出某部门后，仅由该部门授予的能力及其对应密钥随即失去授权（见第 3.9 节）。

成员列表显示姓名、来源（本地 / 外部）、职能组、状态、两步验证、部门与加入时间；行菜单还提供：

编辑成员资料时还可以设置「配额 › 智能体数量上限」：留空表示不单独限制（仍受工作空间与租户上限约束），填 0 表示不允许该成员新建智能体，保存后立即生效。

注意：由同步或推送管理的成员需在来源系统处理；不能删除最后一名租户管理员。

3.3.3 部门详情中的「管理员」

适用场景：下属单位由全局统一开通后，需要由本单位的接口人在本单位范围内管理模型使用，例如分行管理本行人员的密钥、流量规则与限额。

前提：办理授予需要「授予 · 新建」权限（内置角色中为租户管理员与安全管理员）。被授予的部门须处于启用状态。

部门详情中的「管理员」区块列出范围覆盖本部门的授予，包括在上级部门授予、继承下来的授予。列为「授予对象」「角色」「授予在」。

操作步骤

1. 点「授予」。授予在被授予者的下一次请求即生效；同一成员可以在多个部门持有授予，权限取并集。
2. 撤销时，在该行点「撤销」并确认。该授予带来的权限在下一次请求即失效；被撤销者此前新建的流量规则、限额与转授记录归属于部门，予以保留并继续生效，由该部门的其他管理者或全局范围的管理者继续管理。

你会看到：在上级部门授予的行没有「撤销」，其「授予在」列显示授予所在的上级部门，点击即切换到该部门的详情，在那里处理。被授予者登录后，侧栏只出现角色中有权限的入口，页面中的按钮只出现被允许的操作，记录只包含范围内的部分（第 3.5.5 节）；管理后台页头不显示范围。

3.3.4 删除部门对授予与规则的影响

删除部门（手工删除，或由通讯录同步、目录推送删除）时，归属于该部门的管理对象不随部门删除，而是按以下规则处理，每类处理都写入「操作审计」：

手工删除时，确认框给出受影响的数量，例如：「确定删除部门「研发一组」？删除后，归属该部门的 3 条流量规则、1 条流量限额将改归「研发中心」，2 条授予将被撤销；交由该部门管理的 4 项分发改由「研发中心」管理。」核对数量后再确认。

部门被移动到新的上级部门时，授予的继承关系随组织树自动变化：新上级部门的授予覆盖它，原上级部门的授予不再覆盖它；部门规则的判定先后按新的层级重新计算（第 26.16 节）。

3.4 使用职能组组织跨部门授权

适用场景：项目组、虚拟团队、专项小组等不对应组织架构的授权场景。角色决定能进哪些管理页面，职能组决定能用哪些 AI 应用、技能和模型分组。

操作步骤

1. 进入「组织与权限 › 职能组」，点「添加职能组」，填写名称与描述后创建。
2. 在职能组行点「⋯ › 邀请成员」，搜索选择成员后点「邀请」；选中职能组可在右侧「关联成员」页签核对，移出时点成员后的「移除」。

按部门或职能组授权：打开模型分组的「可用范围与配额」，点「编辑可用范围」，选「部门」勾选后切到「职能组」勾选，再点「下一步」设置有效期（默认「长期有效」）并保存。

你会看到：可用范围表按对象逐行列出，带类型与人数。部门内与职能组内的成员登录后能看到该服务，「API 密钥归属」中出现对应对象，用该归属创建的密钥可立即调用；成员通过多个对象获得授权时需选择归属，用量计入该对象额度池。

3.5 角色与授予

适用场景：按职责把管理权限分给不同人员，既满足三员分立要求，也能把一部分管理工作按部门委派给下属单位。

前提：进入「组织与权限 › 角色管理」需要「角色 · 查看」权限，内置角色中为租户管理员与安全管理员。新建、编辑、删除角色需要对应的「角色」权限；授予与撤销需要「授予 · 新建」「授予 · 删除」权限。

管理权限由三部分组成：

• 权限：一个对象上的一个动作，例如「流量规则 · 新建」「成员密钥 · 禁用」。
• 角色：一组权限。平台内置 8 个角色，也可以新建自定义角色。
• 授予：把一个角色授给成员或职能组，并指定范围——全租户，或某个部门（含其全部下级部门）。一名成员可以持有多条授予，权限取并集。

授予只决定管理后台中能看到和能操作什么。成员能使用哪些模型分组、工具和知识由各资源的「可用范围」决定（第 3.4 节）；工作空间内能做什么由工作空间角色决定（第 3.11 节）；MCP 服务内按工具区分的调用权限在「流量规则」中按「具体能力 + 调用方 + 工具名」配置（第 26 章）。

3.5.1 对象与动作

管理后台中受权限控制的内容按对象划分，归入「观测」「模型」「流量」「能力」「组织与权限」「运行」六个管理面。每个对象支持「查看」「新建」「编辑」「删除」中的若干项，部分对象另有专项动作：

动作之间有固定的依赖：新建、编辑、删除与全部专项动作都包含「查看」；「删除」包含「编辑」（对象支持编辑时）。为角色勾选某项权限时，它依赖的权限自动一并勾选；取消「查看」时，该对象依赖它的其他权限一并取消。

租户设置：安全设置、全局设置、登录配置、目录同步、品牌与横幅、日志策略、许可证等租户设置不拆分为对象权限，只属于内置「租户管理员」，不能放进自定义角色。

3.5.2 内置角色

8 个内置角色由系统定义，不能编辑或删除；在角色详情的「权限」页签中，内置角色的每项权限以「有」或「—」显示。下表中「观测数据」指调用记录、会话、会话诊断、用量报表与使用洞察；「组织与凭据类对象」指成员、部门、职能组、角色、授予、登录会话、成员密钥、访问密钥与网关证书；「告警对象」指告警规则与通知渠道；除以上对象与操作审计之外的对象统称「配置类对象」，例如模型供应商、模型、模型分组及其可用范围、流量规则、流量限额、护栏规则、MCP 服务、网关域名、工作空间与扩展。

升级到本版本时，原有角色的持有者自动转为对应内置角色的全租户授予，原部门管理员转为以原部门为范围的「部门管理员」授予；各角色能查看和操作的范围与升级前一致，唯一的变化是租户设置统一收归租户管理员，系统管理员与安全管理员不再能修改全局设置、安全设置与登录配置。

3.5.3 新建自定义角色与三员分立

操作步骤

1. 在「角色管理」点「创建角色」，填写「角色名称」与「描述」后点「创建」。
2. 打开新角色，在「权限」页签中逐行勾选。表格一行一个对象，列为「管理面」「对象」「查看」「新建」「编辑」「删除」「专项动作」「可按部门授予」；对象不支持的动作显示「—」，「可按部门授予」列列出该对象可按部门授予的动作。
3. 每次勾选立即保存，不需要提交整页；依赖项按第 3.5.1 节自动勾选或取消。
4. 需要修改名称与描述时，在角色详情页头的更多菜单中点「编辑」；不再需要时点「删除」。确认框会说明删除角色将同时撤销它的全部授予，被授予者立即失去这些权限。

三员分立：可分配的权限分属三个类别，另有一部分不属于任何类别。

一个自定义角色只能包含其中一类；同一成员经全部授予（直接授予与经职能组、部门获得的授予）持有的权限也不能跨两类，租户管理员不受此限。在内置角色中，系统管理员、安全管理员、审计员两两互斥；部门管理员包含流量规则与流量限额的写权限，属于配置类，与安全管理员、审计员互斥；运营、财务、只读审计不属于任何类别，可与任一角色叠加。

你会看到：勾选被拒绝时，表格上方给出原因，勾选恢复原状：

• 「无法勾选「对象 · 动作」：会违反三员分立」——该角色或持有该角色的某位成员会因此跨两类；
• 「无法勾选「对象 · 动作」：该权限不可按部门授予，而此角色已有按部门的授予」——先撤销该角色按部门的授予，或另建一个角色。

3.5.4 授予角色

操作步骤

1. 点「授予」。
2. 撤销时，在该行点「撤销」并确认。

也可以从部门详情的「管理员」区块按部门授予（第 3.3.3 节），范围自动锁定为该部门。

哪些角色可以按部门授予：角色中的每一项权限都可以按部门授予时，该角色才能按部门授予；否则对话框只提供「全租户」，并提示「该角色含不可按部门授予的权限，只能全租户授予。」内置角色中可以按部门授予的是部门管理员、财务与只读审计；自定义角色只包含第 3.5.5 节表中的权限时，也可以按部门授予。

开通角色账号：角色详情页头的「开通角色账号」新建一个成员账号，并把该角色以全租户范围授予它，用于为某一职责建立专用账号。同时持有「成员 · 新建」与「授予 · 新建」时才出现。

你会看到：授予与撤销在被授予者的下一次请求即生效，不需要重新登录。被授予者的侧栏只出现其有权查看的入口；页面中的新建、导出、编辑、删除等按钮只在被允许时出现；在地址栏直接打开无权进入的页面时显示「404」与「找不到该页面。」。操作过程中权限被撤销时，再次操作会提示「你没有该操作的权限」，并回到其有权进入的首页。

3.5.5 范围怎么生效

全租户范围的授予覆盖全部记录。按部门授予时，覆盖该部门及其全部下级部门（含已停用的下级部门），多条部门授予的范围合并计算。只有下表中的权限可以按部门授予；其余权限，包括「查看原文」、组织与权限类对象与租户设置，只随全租户范围的授予生效，因此部门范围的管理者看不到对话原文。

范围外的记录不可见：列表与统计中不出现，通过链接直接打开时按记录不存在处理。在筛选、新建或编辑中引用范围外的部门、成员或密钥时，操作被拒绝。少数拆不出部门维度的汇总视图只对全租户范围的持有者开放。

各类判断依据的口径：

• 调用人所在部门：调用记录与用量按调用发生时记下的调用人归属部门统计；会话与使用洞察按成员当前所在的部门划分，成员属于多个部门时，任一部门在范围内即可见。成员调动后，两类页面的数字可能不一致。
• 记录的归属部门：流量规则、流量限额与转授记录都有归属部门，在新建时确定，不随创建人变化。全租户范围的管理者新建的记录归全局；部门范围的管理者新建的记录归其授予所在的部门。持有多个部门的授予时，按记录引用的部门确定归属：引用的部门分属不同授予时提示「引用的部门分属不同的授权部门，请分开创建」，无法确定时提示「无法确定归属部门，请选择归属部门」。撤销创建人的授予后，记录仍归原部门并继续生效。
• 密钥主人所在部门：密钥主人所在的全部部门都在范围内时，该密钥才在范围内；同时属于范围外部门的成员，其密钥由全局范围的管理者管理。向成员转授模型分组、为单个成员设置限额时同样要求该成员所在的全部部门都在范围内。
• 可用范围覆盖：模型分组的可用范围覆盖到授予部门或其上级部门（包括全员可用的分组）时，部门范围的管理者可以查看该分组，并在流量规则的目标、流量限额的条件与转授中选用它。

转授的生效与失效

• 部门范围的管理者可以把全局已开放给本部门（或其上级部门）的模型分组转授给范围内的部门或成员，不能转授给工作空间、职能组或全员。
• 转授只在依据成立时生效：全局对转授所属部门或其上级部门有生效中的开放，且转授对象仍在该部门范围内。
• 全局删除或收窄对该部门的开放时，因此失去依据的转授随之删除；之后重新开放，需要部门重新转授。
• 开放到期、部门停用或成员调出范围时，转授暂停生效，在可用范围列表中标为「依据已失效」；续期或组织恢复后自动恢复生效。全租户范围的管理者在模型分组的可用范围列表中可以看到全部转授及其状态。

流量限额与流量规则

• 部门范围的管理者设置的限额与全局限额叠加生效，只会增加限制，不会放宽或覆盖全局限额。条件可以使用范围内的部门、成员、密钥与可选用的模型分组。按部门设置的限额对该部门的全部成员生效，包括同时属于其他部门的成员；全局如需让某个成员不受部门限额约束，可调整其部门归属，或为其设置带到期时间的「豁免」。
• 部门范围的管理者新建的流量规则自动处于「部门规则」判定阶段，只对本部门及其下级部门成员的调用生效，不能覆盖全局强制规则（第 26.16 节）。委派之前，全局范围的管理者需要先把允许部门覆盖的规则改为「全局默认」（第 26.16.3 节）。

注意

• 成员密钥被禁用后，该成员在此模型分组上的全部密钥随即失效，也不能再领取新密钥。持有「成员密钥 · 恢复」的管理者可在密钥详情中点「恢复」：恢复只解除对该成员的禁用，被禁用的那把密钥不会重新生效，成员需重新领取密钥。
• 部门结构与人员由目录同步或持有「部门」「成员」权限的管理者维护；部门管理员不能修改组织架构。
• 部门范围的管理者导出调用记录或评价名单时，「操作审计」记录导出人。

3.6 管理账号启停与密码

口令规则为租户级统一配置，对本租户全部本地账号生效：至少 12 个字符、不超过 256 字节、大写与小写字母与数字与符号中至少 3 类、拒绝常见口令、不含账号名、邮箱前缀或显示名。外部账号的密码由身份源管理，不受此规则约束。

你会看到：新建成员、管理员重置、成员自助修改三个入口都在密码框下方列出规则，不符合的逐条标出，表单保持打开。

管理员重置：在成员行点「⋯ › 重置密码」，输入符合规则的新密码并确认，页面提示「密码已重置」；旧密码与已登录会话随之失效。

成员自助修改：进入「工作台 › 首页 › 账户安全」，在「密码」一栏点「修改密码」，填写当前密码与新密码后确认。

停用与恢复账号：平台以「移至已离职」作为停用，以「恢复入职」作为启用，不物理删除账号，便于审计追溯。

1. 在成员行点「⋯ › 删除」。确认框说明：对方将无法登录，相关 API 密钥与登录凭据会立即失效。确认后账号移入「已离职成员」页签，状态显示「已禁用」。
2. 停用后即使密码正确也无法登录，登录页提示账号已停用；其全部会话、API 密钥与访问令牌一并失效。恢复时点「⋯ › 恢复入职」，恢复后可以重新登录，但部门、职能组与 API 密钥不会自动恢复。

注意：离职员工拥有的工作空间，应在停用前由工作空间管理员「转移归属权」给其他成员（第 3.11 节），避免空间无人负责。

3.7 设置会话与登录安全

进入「管理后台 › 系统设置 › 全局设置 ›「账号与会话安全」页签」，页签列出本租户的在线会话（用户、设备、登录位置、状态），发现异常时点「撤销」。点右上角「安全策略」可设置登录会话的空闲超时、绝对超时与最多在线人数，以及登录方式。

连续登录失败会按来源地址被暂时限制：期间登录页提示「登录尝试次数过多，请稍后再试。」，而不是提示用户名或密码错误——这表示请求被节流，不是账号不存在。限制按来源地址计算，不会因为他人的错误尝试把某个账号锁死，因此平台不设按账号锁定，也无需管理员解锁；被限制期间即使密码正确也会被拒绝，阈值以实际界面为准。

注意：安全策略对本租户全体成员生效；登录方式与两步验证的调整在下次登录时生效，已登录会话若不再满足新设置，会在续期时被要求重新登录。

3.8 绑定两步验证与通行密钥

适用场景：本地账号希望提升登录安全；外部账号的多因子认证由身份源负责，或在平台侧补做。

前提：通行密钥需 HTTPS 且浏览器支持 WebAuthn。

操作步骤

1. 进入「工作台 › 首页 › 账户安全」，在「两步验证」一栏点「添加验证方式」并完成身份验证。
2. 在「开启两步验证」对话框中用身份验证器应用扫描二维码，输入 6 位验证码。
3. 页面显示恢复码，每个只能使用一次且只显示这一次，请保存到安全位置。
4. 需要通行密钥时，在「通行密钥」一栏点「添加通行密钥」，填写名称（如「办公电脑」），按浏览器提示用本设备的生物识别或屏幕锁定完成注册；此后登录页可用它登录。

你会看到：「成员与部门」中该成员的「两步验证」列显示「已绑定」；外部账号该列显示「—」。

注意：验证器与恢复码同时丢失时，由管理员在「成员与部门」中执行「重置两步验证」，这会移除验证器、恢复码与通行密钥并使全部会话失效，对方下次登录时重新绑定。

3.9 确认撤权生效

适用场景：人员转岗、离职或被收回角色后，确认相关凭据是否仍可用。

以成员被移出部门为例：

1. 管理员在「调整组织归属」中移除该部门并保存。成员刷新工作台后，仅由该部门授权的服务从能力中心消失，「API 密钥归属」显示「暂无可用归属」，并提示核对部门成员关系及有效期。
2. 用原归属该部门的密钥继续调用，配置下发完成后转为被拒绝：code 为 invalid_api_key，reason 为 LLM_AUTH_FAILED；在「运行总览 › 请求」中按该凭据筛选可见这些 401 的「失败」请求。
3. 在「API 密钥管理」中打开该密钥，状态显示「待复核」，详情提示可用范围校验未通过。

注意

• 组织关系变更不是瞬时生效。移出部门、职能组或可用范围后，成员侧视图立即变化，但旧密钥要等配置下发到网关后才被拒绝，通常需要数十秒到一分多钟。需要立即断权时改用「禁用该 API 密钥」或「移至已离职」，两者立即生效。
• 拒绝响应中的 reason 只区分「密钥无效」与「身份令牌无效」，不区分「密钥写错」与「授权已被收回」；看到 401 时先看该密钥是否为「待复核」。撤权只阻止后续访问，不删除已产生的调用记录、对话与审计记录。
• 网关的模型与 MCP 路由一律要求凭据：OpenAI 兼容路径用 Authorization: Bearer <YOUR_API_KEY>，Anthropic 兼容路径用 x-api-key。

3.10 规划与创建工作空间

适用场景：团队、项目或有独立数据边界的小组需要共享智能体、知识库与文件，并统一管理成员与智能体容量。

工作空间是员工协作和智能体的边界：同一工作空间的成员共享其中的智能体、知识库与文件，切换工作空间后工作台「智能体」入口下的内容随之切换。每位员工另有一个只属于自己的「个人空间」。

规划建议

• 按团队、项目或数据边界划分，不要按个人划分（个人已有「个人空间」）。
• 部门稳定、职责清晰时，可以把整个部门授权进工作空间；跨部门项目用多个部门授权或逐人邀请。
• 有独立成本边界的项目单独建工作空间，便于在模型分组的可用范围中按工作空间授权和设置配额。

管理员创建

1. 进入「管理后台 › 组织与权限 › 工作空间」。列表显示工作区名称与创建时间，搜索框可按工作空间或成员搜索。
2. 点「新建工作空间」，填写名称与描述（「简要描述这个工作空间」），保存。
3. 创建成功后自动进入该工作空间的详情。

员工自建：员工在工作台左上角工作空间切换器中点「创建工作空间」，填写名称与描述即可创建，创建人自动成为该工作空间的管理员和归属人。

详情页签：选中一个工作空间后，详情页按六个页签组织，可用「上一个 / 下一个」在列表中逐个切换。

注意：工作空间的名称与描述在产品内对成员展示，建议写明用途与负责人。

3.11 管理工作空间成员与角色

适用场景：把成员或整个部门加入工作空间，并按最小权限分配工作空间角色。

工作空间角色只在该空间内有效：

操作步骤

1. 在「角色」中选择管理员、编辑者或查看者，点「分配」。

你会看到：成员列表列出「账户名 & 邮箱」「角色」「智能体数量」「加入时间」与来源。列表中的角色只区分「管理员」与「普通用户」（编辑者与查看者都显示为普通用户），需要查看或调整具体角色时用行操作「编辑角色」。来源含义如下：

行操作：

• 编辑角色：在管理员、编辑者、查看者之间调整。
• 移出工作空间：确认后该成员失去当前工作空间访问权限。
• 转移归属权：选择一位成员作为新的归属人。转移立即生效，但不会立即降级旧归属人的角色。
• 撤销部门授权：部门授权行只能撤销，不能编辑角色或转移归属权。

管理员也可以在「成员与部门」的成员行点「添加到工作空间」，为单个成员选择工作空间与角色。

注意

• 按部门授权时不能授予管理员角色；在「分配权限」中切换到「组」后，角色会自动改为编辑者。需要管理员时请明确指定个人。
• 全员分组、默认分组不能作为授权对象，选择「组」时不会列出。
• 部门归属与工作空间成员是两件事：成员被移出部门后，由该部门派生的工作空间成员关系随之变化；逐人邀请的成员关系不受影响。

3.12 工作空间的模型分组、智能体与资源上限

3.12.1 核对可用的模型分组

适用场景：确认工作空间内的成员和智能体能选用哪些模型。

「模型分组」页签标题为「工作空间模型分组」，按分组顺序列出已分发给本工作空间的分组及其中的模型，并显示「限制 … · 已用 …」的 Token 摘要。成员与智能体直接选择模型，不选择分组；用量计入哪个分组按分组顺序决定（第 6.7 节）。

本页签只读，右上角只有刷新按钮。为工作空间增加或移除模型分组的方法是：

1. 进入「管理后台 › 组织与权限 › 模型分组」，打开目标分组的「可用范围与配额」。
2. 点「编辑可用范围」，在授权对象类型中选择「工作空间」，勾选或取消目标工作空间并保存（第 7 章）。
3. 回到工作空间详情的「模型分组」页签点刷新核对。

注意：页签为空时显示「当前工作空间还没有模型分组配置。」，此时工作空间内无法新建可用的智能体；请先完成上面的授权。

3.12.2 查看工作空间的智能体

「智能体」页签列出本工作空间的智能体，列为「智能体」「模型」「拥有者」「状态」「创建时间」，可按名称搜索，也可点「创建」新建。模型列显示「未配置模型」或「已保存的模型在当前工作空间中不可用了」时，说明该智能体选择的模型未设置，或包含它的分组已不再分发给本工作空间，需要回到智能体设置中重新选择模型。

3.12.3 设置资源上限

适用场景：控制工作空间内智能体的数量与并发，避免少数团队占满运行资源。

操作步骤

1. 点「保存」，页面提示「资源上限已更新。」

你会看到：每个字段旁显示当前用量；字段说明随租户设置变化：

• 「留空表示不限制。填 0 表示不允许；保存后立即生效。」
• 租户已设上限时：「留空表示本工作空间不单独限制（仍受租户上限约束）」，填写值超过租户上限时提示「租户上限为 …，超出部分不会生效」。
• 租户已设为不允许时，本工作空间的设置暂不生效。

注意

• 只能填写 0 或正整数，留空表示不单独限制。填 0 表示不允许，不要用 0 表示「不限」。
• 请求频率不在此处配置；限流在「流量规则」中配置，Token 与金额额度在模型分组的「可用范围与配额」中配置（第 7 章、第 26 章）。
• 编辑期间如有其他管理员改动了同一工作空间的上限，保存时会提示冲突，可选择「仍然覆盖」或「重新加载最新值」。
• 非管理员打开本页签时只读，并提示「你可以查看本工作空间的配额，修改请联系租户管理员」。

3.13 员工侧的工作空间设置

适用场景：工作空间管理员在工作台内维护本空间，或员工查看自己所在空间的成员。

在工作台左上角工作空间切换器中选中目标工作空间，点「工作空间设置」，页面有三个页签：

你会看到：同事打开邀请链接后显示「正在加入工作空间…」，加入成功后提示「已加入工作空间」，并能在自己的切换器中看到该空间。

注意：邀请链接可以反复使用，请只在团队内部渠道分发；不再需要时由工作空间管理员在成员列表中移除误加入的成员。修改设置需要工作空间管理员角色。

能力说明

---

上一章：2. 平台对象和边界 · 下一章：4. 配置模型供应商