osFoundry / Platform
RBAC 与权限
按工作区、按资源细粒度角色。支持自定义角色。
简介
osFoundry 的 RBAC 与权限，是把基于角色的访问控制落到真正重要的粒度上：按工作区，也按单个资源。一个工作区把你的聊天、智能体、应用、代码、知识和数据聚在一起；RBAC 则决定工作区内谁能查看并操作其中的每一项。它不是「成员或管理员」这样一个笼统的开关，而是让你授予贴合团队真实工作方式的角色，并能把访问范围收窄到单个资源，而非整个工作区。
由于 osFoundry 是自带密钥（BYOK）、本地优先的桌面工作区，权限管控的是对共享资源的访问，而无需让你的数据或模型流量离开你的掌控。你自带 API 密钥，因此对某个模型或智能体的访问，取决于工作区内的角色，而不是由转售商分配席位。当内置角色不合用时，自定义角色让你精确定义某个角色能做什么：比如让外部承包商能读知识库但不能编辑智能体，或让同事能运行某个应用却碰不到它的代码。
这很关键，因为 AI 工作区会迅速积累敏感内容：提示词、连接的数据源、智能体配置以及代码。粗粒度的权限会逼你在把人挡在门外和过度共享之间二选一。按资源的细粒度角色加上自定义角色，让你给每个人恰好其工作所需的访问权限，不多不少。这样既保持协作开放，又让任何单个账号被攻破时的波及范围保持很小。
主要功能
- 按工作区分配角色，控制每位成员的基础访问权限
- 将权限收窄到单个资源：某个具体的聊天、智能体、应用或数据源
- 当内置角色与团队结构不匹配时，定义自定义角色
- 在一个地方统一管控对聊天、智能体、应用、代码、知识与数据的访问
- 按角色控制资源访问，而不是按席位付费，因为 osFoundry 不收席位费
使用场景
- 团队负责人：给外部承包商开放对某个知识库的只读权限，同时禁止编辑智能体和代码
- 注重安全的管理员：创建一个能运行应用、却无法查看或修改其源代码的自定义角色
- 工作区所有者：把日常成员与管理员分开，只让受信任的角色更改智能体配置
常见问题
我能对单个资源设置权限，还是只能针对整个工作区？
两者都可以。osFoundry 支持工作区级别的角色用于基础访问，也支持单个资源级别的角色，因此你可以只授予某人对某个具体聊天、智能体、应用或数据源的访问权，而不开放工作区的其余部分。
如果内置角色不适合我的团队怎么办？
你可以创建自定义角色。定义一个贴合团队结构的角色，例如某人可以读取知识但不能编辑智能体，而不必把所有人硬塞进预设的「管理员或成员」二分法。
RBAC 会影响计费或增加按席位的费用吗？
不会。osFoundry 不收席位费，而且是自带密钥（BYOK），所以角色控制的是谁能访问哪些资源，而不是把访问权锁在付费席位之后。分配角色不会增加每人的订阅费用。