角色与权限

邀请团队成员加入组织或工作区时，你需要选择授予他们的访问级别。本指南说明各权限级别允许用户执行的操作，帮助你了解团队角色以及每个权限级别提供的访问权限。

如何邀请他人加入工作区

要邀请某人，请进入工作区设置并选择 成员 选项卡。点击 邀请，通过电子邮件添加新成员，然后选择其权限级别（读取、写入或管理员）。

工作区权限级别

邀请他人加入工作区时，你可以为其分配三种权限级别之一：

各权限级别可执行的操作

以下是各权限级别下用户可执行操作的详细说明：

读取权限

适合： 需要了解情况但不应进行更改的利益相关者、观察者或团队成员

可执行操作：

• 查看工作区中的所有工作流
• 查看工作流执行结果和日志
• 浏览工作流配置和设置
• 查看环境变量（但不能编辑）

不可执行操作：

• 创建、编辑或删除工作流
• 运行或部署工作流
• 更改任何工作区设置
• 邀请其他用户

写入权限

适合： 开发者、内容创作者或积极参与自动化工作的团队成员

他们可以做什么：

• 所有读取用户可以做的操作，以及：
• 创建、编辑和删除工作流
• 运行和部署工作流
• 添加、编辑和删除工作区环境变量
• 使用所有可用的工具和集成
• 实时协作编辑工作流

他们不能做什么：

• 邀请或移除工作区中的用户
• 更改工作区设置
• 删除工作区

管理员权限

适用对象： 需要管理工作区的团队负责人、项目经理或技术负责人

他们可以做什么：

• 所有写入用户可以做的操作，以及：
• 以任意权限级别邀请新用户加入工作区
• 从工作区移除用户
• 管理工作区设置和集成
• 配置外部工具连接
• 删除其他用户创建的工作流
• 删除工作区，前提是不是他们最后一个可访问的工作区

他们不能做什么：

• 从工作区移除工作区所有者

---

工作区所有者与管理员

每个工作区都有一个 所有者（创建者）以及任意数量的 管理员。

工作区所有者

• 拥有所有管理员权限
• 不能被移出工作区

工作区管理员

• 拥有与所有者相同的工作区管理权限，包括删除工作区
• 不能移除工作区所有者
• 可以被所有者或其他管理员移出工作区，但配置为个人账单负责人的用户除外

个人账单负责人

• 账单归属与工作区所有权是独立的
• 工作区由用户承担账单时，该用户必须保留管理员权限，且不能被移出工作区
• 移除该用户或将其权限降至管理员以下之前，必须先重新分配账单归属

所有者和管理员不能删除他们最后一个可访问的工作区。TradingGoose 目前不提供工作区所有权转移操作。

---

常见场景

将新开发者添加到你的团队

1. 组织级别：邀请他们作为 组织成员
2. 工作区级别：授予他们 写入 权限，以便他们可以创建和编辑工作流

添加项目经理

1. 组织层级：将其邀请为组织成员
2. 工作区层级：授予其管理员权限，以便管理团队并查看全部内容

添加利益相关者或客户

1. 组织层级：将其邀请为组织成员
2. 工作区层级：授予其读取权限，使其可以查看进度但无法进行修改

---

环境变量

用户可以创建两类环境变量：

个人环境变量

• 仅对个人用户可见
• 在其运行的所有工作流中均可用
• 在用户设置中管理

工作区环境变量

• 读取权限：可查看变量名称和值
• 写入/管理员权限：可添加、编辑和删除变量
• 对所有工作区成员可用
• 如果个人变量与工作区变量同名，工作区变量优先

---

最佳实践

从最小权限开始

只授予用户完成工作所需的最低权限。之后随时可以提高权限。

合理使用组织结构

• 将可信的团队负责人设为组织管理员
• 大多数团队成员应为组织成员
• 工作区管理员权限仅授予需要管理用户的人员

定期审查权限

定期检查谁拥有哪些访问权限，尤其是在团队成员变更角色或离职时。

环境变量安全

• 敏感 API 密钥使用个人环境变量
• 共享配置使用工作区环境变量
• 定期审计谁有权访问敏感变量

---

组织角色

邀请他人加入组织时，你可以分配以下两种角色之一：

组织管理员

可执行的操作：

• 邀请团队成员加入组织，以及将团队成员移出组织
• 创建新的工作区
• 查看组织的计费工作区列表
• 对他们同时拥有工作区管理员权限的工作区，分配或解除组织计费

不可执行的操作：

• 除非他们拥有该工作区或已被授予工作区访问权限，否则无法访问工作区内容
• 更改组织的订阅、席位数量或用量限制

只有组织所有者可以更改组织的订阅、席位数量或用量限制。组织管理员可以管理哪些符合条件的工作区使用组织计费，但仅凭组织角色并不能授予工作区内容的访问权限。

组织成员

可执行的操作：

• 访问专门邀请他们加入的工作区
• 查看组织成员列表
• 不能邀请新成员或管理组织设置