Kontrola dostępu

Rebyte egzekwuje kontrolę dostępu na wielu warstwach. Każda warstwa jest niezależnie konfigurowana i egzekwowana.

Role w organizacji

Dwie role zarządzane za pośrednictwem Clerk:

Rola	Zakres
Administrator	Pełna kontrola nad organizacją — polityki sieciowe, polityki bezpieczeństwa, polityki agentów, klucze BYOK, prompt systemowy, klucze API, kanały
Członek	Tworzenie obszarów roboczych, uruchamianie zadań, korzystanie ze skonfigurowanych zasobów. Nie może modyfikować ustawień na poziomie organizacji.

Uprawnienia Komputera Agenta

Każdy Komputer Agenta (obszar roboczy) ma poziom widoczności i uprawnienia dostępu dla poszczególnych użytkowników.

Widoczność

Poziom	Kto ma dostęp
private	Tylko twórca i użytkownicy z wyraźnie nadanymi uprawnieniami
shared (domyślny)	Wszyscy członkowie organizacji — odczyt i zapis
public	Każdy może przeglądać. Członkowie organizacji mogą edytować.

Poziomy dostępu

Poziom	Może wykonywać
Właściciel	Pełna kontrola. Usuwanie obszaru roboczego. Automatycznie przypisywany twórcy.
Edytor	Odczyt/zapis plików, uruchamianie zadań, konfiguracja ustawień. Przyznawany członkom ACL i członkom organizacji (jeśli udostępniony/publiczny).
Przeglądający	Tylko do odczytu. Dotyczy tylko publicznych obszarów roboczych dla użytkowników spoza organizacji.

Kolejność oceny

1. Czy użytkownik jest twórcą obszaru roboczego? → właściciel
2. Czy użytkownik znajduje się w ACL obszaru roboczego? → edytor
3. Czy użytkownik jest w tej samej organizacji ORAZ widoczność jest shared lub public? → edytor
4. Czy widoczność jest public? → przeglądający
5. W przeciwnym razie → odmowa

Udzielaj dostępu dla poszczególnych użytkowników za pośrednictwem ustawień członków obszaru roboczego/ACL.

Uprawnienia umiejętności

Umiejętności zespołowe wykorzystują model uprawnień oparty na twórcy.

Akcja	Kto
Utwórz umiejętność	Dowolny członek organizacji
Wyświetl/pobierz umiejętność	Widoczność publiczna: każdy w organizacji. Prywatna: twórca lub użytkownicy z uprawnieniami ACL.
Zaktualizuj metadane	Dowolny członek organizacji
Usuń umiejętność	Dowolny członek organizacji
Zmień widoczność	Tylko twórca
Zarządzaj ACL umiejętności	Tylko twórca
Przywróć wersję	Tylko twórca
Wyświetl ACL	Dowolny członek organizacji

Umiejętności obsługują dwa poziomy widoczności: private i public (w obrębie organizacji). Twórca kontroluje widoczność, uprawnienia ACL i przywracanie wersji.

Uprawnienia Agent Context

Context Lake (połączenia ze źródłami danych) wykorzystuje tworzenie z bramką administracyjną i ACL zarządzanym przez twórcę.

Akcja	Kto
Utwórz zestaw danych/widok	Tylko administrator organizacji
Wyświetl zestawy danych/widoki	Dowolny członek organizacji
Zapytaj zestaw danych/widok	Twórca, użytkownicy z uprawnieniami ACL, administrator organizacji lub dowolny członek organizacji, jeśli widoczność jest shared lub public
Zarządzaj ACL zestawu danych/widoku	Tylko twórca
Wyświetl ACL	Twórca lub administrator organizacji

Każdy zestaw danych i widok ma własne ustawienia ACL i widoczności. Udostępnione/publiczne zestawy danych mogą być odpytywane przez wszystkich członków organizacji. Prywatne zestawy danych wymagają wyraźnych uprawnień ACL. Wpisy ACL zawierają ścieżkę audytu granted_by.

Polityki organizacji (tylko dla administratorów)

Administratorzy kontrolują polityki całej platformy za pośrednictwem Ustawień.

Polityki agentów

Kontrola dla każdego wykonawcy:

Ustawienie	Efekt
enabled	Włącz/wyłącz wykonawcę (Claude, Gemini, Codex, OpenCode) dla całej organizacji
authMethod	Wymuś tryb api_key (BYOK) lub credits dla każdego wykonawcy
disabledModels	Zablokuj użycie określonych modeli

Polityka sieciowa

Szczegóły znajdują się w Agent Shield. Ustawienia polityki sieciowej mogą być obecnie modyfikowane przez dowolnego członka organizacji.

Ustawienie	Domyślne
Tryb białej listy domen	package_managers_only
Dodatkowe dozwolone domeny	Brak

Polityka bezpieczeństwa

Ustawienie	Domyślne	Efekt
Monitorowanie Shield	optional	required wymusza Shield na wszystkich komputerach; optional pozwala na włączenie dla poszczególnych obszarów roboczych

Nadpisanie dla obszaru roboczego: edytorzy obszaru roboczego mogą włączać/wyłączać monitorowanie Shield w poszczególnych obszarach roboczych, gdy polityka organizacji jest optional.

Prompt systemowy

Administratorzy mogą ustawić niestandardowy prompt systemowy stosowany do wszystkich wykonań agentów w organizacji. Wymaga subskrypcji Team.

Zakresy kluczy API

Klucze API mają szczegółowe zakresy kontrolujące, jakie operacje mogą wykonywać:

Zakres	Uprawnienie
tasks:read	Wyświetl listę i przeglądaj zadania
tasks:write	Twórz zadania, wysyłaj kontynuacje, usuwaj
files:read	Wyświetl metadane plików
files:write	Przesyłaj pliki
webhooks:read	Wyświetl listę webhooków, przeglądaj klucz publiczny
webhooks:write	Twórz i usuwaj webhooki

Wszystkie zakresy są domyślnie przyznawane podczas tworzenia klucza. Planowane jest szczegółowe wybieranie zakresów.

Podsumowanie

Warstwa	Kontrolowane przez	Granularność
Ustawienia i polityki organizacji	Administrator organizacji	Dla całej organizacji
Dostęp do Komputera Agenta	Twórca + ACL	Dla obszaru roboczego, dla użytkownika
Dostęp do umiejętności	Twórca + ACL	Dla umiejętności, dla użytkownika
Dostęp do Context Lake	Administrator (tworzenie) + Twórca (ACL)	Dla zestawu danych/widoku, dla użytkownika
Zakresy kluczy API	Administrator organizacji	Dla klucza
Wychodzący ruch sieciowy	Administrator organizacji	Dla całej organizacji (za pośrednictwem Agent Shield)