账号、用户组与权限

先维护成员账号，再按协作需要设置用户组，并核对角色与内容访问边界。

用户管理

创建用户

手动创建时填写姓名、唯一邮箱、角色和可选用户组。新用户没有本地密码，系统不会自动发送邀请。

用户可以：

• 使用已配置的 SSO 或 Teams 登录。
• 在登录页通过邮件流程首次设置本地密码。

管理员不能为用户设置、查看、导入或重置密码。

Excel 批量导入

下载页面模板，填写姓名、邮箱、角色和用户组后上传。导入会校验：

• 必填字段。
• 邮箱格式与全局唯一性。
• 角色是否合法。
• 用户组是否已存在。

模板不包含密码字段。错误行会返回可读反馈；修正后重新导入。

编辑用户

可修改姓名、邮箱、角色和用户组。修改邮箱会立即撤销该用户全部会话和未使用的设密/重置链接，用户需要使用新邮箱重新登录。

Credits 额度

可为已有用户单独或批量设置周额度，单位为 credits，支持正数和最多 6 位小数。留空表示不限额；批量设置只影响选中的用户。

额度耗尽后，用户不能发起新任务。已运行任务继续完成。周额度按系统时区在每周一零点重置。

新建、导入和自主注册成员共用额度管理中的默认周额度。直接修改默认值不会影响已有成员；如需统一覆盖，可使用“应用限额到全员”。

当前版本不支持删除用户账号。需要阻止访问时使用停用。

停用与恢复

停用后：

• 禁止新登录，现有会话在下一次请求时失效。
• 不能创建、继续任务或下载成果。
• 尚未启动的后续请求会被取消。
• 已运行轮次继续到原生终态，不会被伪造为中断。
• 历史任务、知识库、发布和审计保留。

恢复后用户可重新登录并访问自己的历史内容，被取消的排队请求不会自动恢复。

管理员保护

• 管理员不能停用自己或降低自己的角色。
• 系统必须始终保留至少一个启用管理员。
• 对其他管理员操作时仍会在事务内重新检查此规则。

被拒绝的高风险尝试也会写入审计日志。

用户组管理

结构规则

• 用户组是扁平结构，不支持父子组。
• 一个用户可以属于多个用户组。
• 名称必须在系统内唯一。
• 用户组本身不改变普通用户或管理员角色。

创建和编辑

填写名称与可选说明。创建后添加一个或多个现有用户。成员加入和移除都会记录操作者与时间。

日常移除成员采用撤销状态，保留必要历史。用户后续可能仍通过其他用户组或个人授权访问同一知识库。

查看成员

用户列表最多紧凑显示部分组名，完整成员关系可在组详情和悬浮说明中查看。不要通过单个列表标签推断用户只有一个组。

删除用户组

删除是不可恢复操作。系统会在同一事务内清理该组的有效及已撤销成员关系、知识库授权，避免孤儿数据。永久审计只保留组 ID、受影响记录类型和数量等最小元数据。

删除前检查：

1. 哪些用户通过该组获得知识库访问。
2. 是否需要先建立替代组或个人分享。
3. 用量统计中的历史组维度解释是否会受当前成员关系变化影响。

与用量统计的关系

“按用户组”统计根据查询时的有效成员关系覆盖当前成员。一个用户属于多个组时会计入每个组，因此不能把各组行相加推导全局总量。

角色与权限边界

固定角色

LinkSense 只有两个角色：

• 普通用户：创建和管理自己的任务、个人能力与知识库，使用被授予的资源。
• 管理员：在普通用户能力基础上访问用户、用户组、插件中心治理、知识库治理、模型、设置、健康、审计和用量页面。

不存在超级管理员、部门管理员、只读管理员或自定义权限组合。初始化创建的首个管理员没有额外隐含权限。

角色不等于内容访问

管理员角色提供治理权限，但不会自动授予其他用户任务、个人能力正文或知识库文档内容的访问。内容读取仍由所有权与分享关系决定。

修改角色

在用户管理中修改其他用户角色。降级管理员前确认系统仍有至少一个启用管理员。

管理员不能：

• 降低自己的角色。
• 停用自己。
• 降级或停用最后一个启用管理员。

服务端会在事务内执行检查，即使两个管理员同时操作也不能绕过。

用户组与角色

用户组只用于扁平成员关系和资源授权，不继承或改变角色。把用户加入某个组不会使其成为管理员。