身份与访问

MoleSignal 用权限键授权操作，而不是比较角色名称。同一个用户可以属于多个组织，并在每个组织中持有不同的权限。在侧边栏打开 身份与访问，即可管理当前工作区的访问权限。

​

授权工作方式

对于已通过身份验证的请求，MoleSignal 依次解析：

1. 主体：用户、服务账号或 API Token；
2. 当前组织，或受保护的平台范围；
3. 主体的角色分配与访问授权；
4. 资源关系，以及已接受的跨组织授权；
5. 路由和目标资源要求的权限。

权限目录、内置角色与权限包都保存在 PostgreSQL 中。GET /api/v1/iam/capabilities 返回 Web 应用用来构建导航的实际生效权限。

​

权限作用域

组织权限只覆盖一个工作区，例如：

• org.settings.read 与 org.settings.manage；
• org.members.read 与 org.members.manage；
• iam.roles.read、iam.roles.manage、iam.policies.read 与 iam.policies.manage；
• 数据流、仪表盘、告警、排班、保存的视图、流水线、函数、报告、审计、日志巡检和 Mole Agent 的权限。

平台权限以 sys. 开头，只在 _sys 组织中生效，控制实例中的组织、系统遥测、链路调试、平台管理员和平台设置。

​

内置角色

权限参考列出了每项权限以及持有它的内置角色。内置角色不能编辑。升级新增的权限会在启动时授予 Owner 角色，因此已启用组织的 Owner 可以进入 _sys 并使用平台页面。在有多个组织的实例中，每个 Owner 都具有平台访问权限，分配该角色时要考虑这一点。API Token 不能进入 _sys，自定义角色也不会以这种方式获得平台权限。 职责更窄时，请创建自定义角色。

​

跨工作区访问

访问授权可以把一个组织中的主体与另一个组织中的资源关联起来。服务端会同时检查这层关系与资源权限，授权不会把另一个组织变成主体的当前工作区。参见跨组织共享资源。 仪表盘和报告另有资源共享。公开共享获得的是受限的共享会话，而不是成员身份。

​

平台管理

_sys 组织与组织 IAM 相互隔离。租户会话和 ms_* Token 都不能列出系统遥测或平台管理员。请使用 _sys 中持有相应 sys.* 权限的会话。参见管理概览。