# 团队协作与权限

来源: https://docs.aicentos.com/enterprise/organization

Language: zh-CN

> 用分组与成员密钥组织团队，以及当前可用的权限层级

## 公有云形态

公有云下的团队组织方式是 **“主账号 + 成员密钥 + 分组”**，这套组合可以覆盖大多数团队的隔离与成本归集需求：

* 为每个成员或每个项目签发独立 API 密钥，用量与日志按密钥区分，成本可直接归因到人
* 通过**分组**控制密钥可用的模型池与计费倍率
* 需要企业分组（`enterprise-china` / `enterprise-claude` / `enterprise-codex` / `enterprise-gemini`）时，[联系客服](https://docs.aicentos.com/enterprise/support)申请开通

密钥本身的多维管控（额度上限、模型白名单、IP 白名单、有效期）见[数据安全与合规](https://docs.aicentos.com/enterprise/security-compliance)。

## 权限层级

控制台账号分四级，能力逐级放开：

| 角色     | 适用场景             |
| ------ | ---------------- |
| Root   | 账号所有者，全部管理权限     |
| Admin  | 管理员，负责渠道与用户管理    |
| Common | 普通用户，创建密钥并调用 API |
| Guest  | 只读预览             |

## 私有化部署形态

采用[私有化部署](https://docs.aicentos.com/enterprise/deployment)时，成员账号体系是完整的：账号由你自行创建与管理，角色层级与上表一致，并可对每个成员单独设定配额与细粒度权限。审计查询权限可单独授予某个账号，用于给财务或合规岗开通只读视图。

### 单点登录

私有化部署支持对接你自有的身份提供方（OIDC 标准，可通过 Discovery 自动获取端点）。成员用你的账号体系登录，无需在网关侧另建一套密码。

登录准入可以按身份提供方返回的属性设定条件，例如**限定某个组织、某个角色，或满足特定属性的账号才允许登录**。条件支持等于、包含、数值范围等组合判断，不满足时返回自定义的提示信息。

这一条实际替代了“成员审批流”：人员能否进入由规则自动判定，**不需要人工逐个审批，规则调整也不必等排期**——人员入职、转岗、离职由你的账号体系驱动，权限跟着组织变动走。

### 组织边界

一个部署实例对应一个组织边界，实例内的成员与权限由你管理。

如果需要在**同一实例内划分多个互不可见的组织**（例如集团下多家子公司共用一套部署、彼此数据不可见），当前不支持，需要按实例分别部署来评估。

## 暂不支持

* 跨成员的统一配额池
* 同一实例内划分多个互不可见的组织（需要时按实例评估）

完整的能力清单见[服务模式与能力边界](https://docs.aicentos.com/enterprise/overview)。