基于角色的访问控制（RBAC）

OPL 数据空间实现了一套灵活且安全的 RBAC（Role-Based Access Control） 系统。管理员可以通过三层相互配合的能力，精确管理用户能力与资源访问：

1. Roles：高层级用户类型，例如 Admin、User、Pending，定义基础信任级别
2. Permissions：细粒度功能开关，例如“能否删除聊天”“能否使用网页搜索”
3. Groups：组织用户、追加权限、管理共享资源（ACL）的主要机制。资源也可以直接共享给单个用户

角色与组织作用域

RBAC 回答的是谁可以做事。组织回答的是这个动作在哪里生效。在多组织部署里，用户可以保持同一个角色，但会因为选中的组织或其归属组织不同，而看到不同的数据、设置与共享资源。

关键概念：叠加式权限

OPL 数据空间的安全模型是叠加式的。用户从默认角色权限起步，用户组成员关系只会增加能力。最终权限是角色与用户组授予能力的并集。

RBAC 与外部 provider 凭据是两回事

RBAC 控制的是用户在 OPL 数据空间内部 能做什么。

它不会替代外部 provider 的最小权限配置。如果你接入了 LiteLLM、OpenRouter 或自建代理，请继续使用面向推理流量的受限 provider 凭据，而不要给普通用户流量配置管理级 master key。

文档导航

• 🔑 Roles

  • 理解 Admin、User 与 Pending 的区别
  • 了解管理员权限边界以及安全/隐私相关限制

• 🔒 Permissions

  • 查看全部可用权限开关
  • 理解对 Chat、Workspace 和 Features 的细粒度控制
  • 了解如何通过合理的 Global Defaults 保护系统

• 🔐 Groups

  • 学会如何按团队和项目组织用户
  • 区分“权限组”和“共享组”
  • 管理私有模型、知识库等资源的 ACL，可共享给用户组或单个用户