访问控制

Rebyte 在多个层面强制执行访问控制。每个层面都独立配置和执行。

组织角色

通过 Clerk 管理的两种角色：

角色	范围
管理员	完整的组织控制 — 网络策略、安全策略、代理策略、BYOK 密钥、系统提示、API 密钥、渠道
成员	创建工作区、运行任务、使用已配置的资源。无法修改组织级设置。

每台代理计算机（工作区）都有一个可见性级别和按用户分配的访问权限。

级别	可以执行的操作
所有者	完全控制。删除工作区。自动分配给创建者。
编辑者	读写文件、运行任务、配置设置。授予 ACL 成员和组织成员（如果为共享/公开）。
查看者	只读。仅适用于非组织用户的公开工作区。

通过工作区成员/ACL 设置授予按用户访问权限。

团队技能使用基于创建者的权限模型。

操作	谁
创建技能	任何组织成员
查看/下载技能	公开可见性：组织中的任何人。私有：创建者或 ACL 授予的用户。
更新元数据	任何组织成员
删除技能	任何组织成员
更改可见性	仅限创建者
管理技能 ACL	仅限创建者
回滚版本	仅限创建者
查看 ACL	任何组织成员

技能支持两种可见性级别：private（私有）和 public（公开，在组织内部）。创建者控制可见性、ACL 授予和版本回滚。

Context Lake（数据源连接）使用管理员门控创建和创建者管理的 ACL。

操作	谁
创建数据集/视图	仅限组织管理员
列出数据集/视图	任何组织成员
查询数据集/视图	创建者、ACL 授予的用户、组织管理员，或任何组织成员（如果可见性为 `shared` 或 `public`）
管理数据集/视图 ACL	仅限创建者
查看 ACL	创建者或组织管理员

每个数据集和视图都有自己的 ACL 和可见性设置。共享/公开数据集可由所有组织成员查询。私有数据集需要明确的 ACL 授予。ACL 条目包含 granted_by 审计追踪。

管理员通过设置控制平台范围的策略。

按执行器控制：

设置	效果
`enabled`	为整个组织启用/禁用执行器（Claude、Gemini、Codex、OpenCode）
`authMethod`	为每个执行器强制使用 `api_key` (BYOK) 或 `credits` 模式
`disabledModels`	阻止使用特定模型

有关详细信息，请参阅 Agent Shield。网络策略设置目前可由任何组织成员修改。

设置	默认值
域名允许列表模式	`package_managers_only`
额外允许的域名	无

设置	默认值	效果
Shield 监控	`optional`	`required` 在所有计算机上强制执行 Shield；`optional` 允许按工作区选择启用

按工作区覆盖：当组织策略为 optional 时，工作区编辑者可以在单个工作区上启用/禁用 Shield 监控。

管理员可以设置一个自定义系统提示，应用于组织中所有代理执行。需要团队订阅。

API 密钥具有细粒度范围，控制它们可以执行的操作：

在密钥创建时默认授予所有范围。计划提供细粒度范围选择。