权限管理

本文将系统拆解云平台用户权限体系的核心构成，清晰阐述“主体、角色、角色绑定、规则”四大核心要素的定义、关联逻辑及应用场景，帮助读者快速掌握不同角色的权限边界与权限分配方法，为平台安全运维与高效协作提供指导。

以下是权限体系核心结构示意图：

一、核心名词解析

主体

主体即平台的权限归属对象，特指在云平台完成注册的企业用户或个人用户，是权限分配的核心载体。

角色：权限的聚合单元

角色是一组权限的集合，平台通过预设角色实现权限的标准化分配。当前平台核心角色分为三类：超级管理员、管理员、组织。需注意：超级管理员与管理员、组织并非“包含与被包含”关系，其核心差异在于超级管理员额外拥有系统级审计与配置权限，无额外的管理员或组织权限。

超级管理员：系统全局管控角色

核心定位：负责平台全局安全审计与系统配置，是最高权限角色，仅分配给核心运维负责人。
权限范围示意图：

具体权限：拥有全局操作日志审计、风险日志评估、系统配置（如Logo替换、主题设置、注册许可证配置）、订单管理、资金调账等系统级权限。
示例：小明作为超级管理员，可查询所有管理员、组织用户的操作记录，自定义平台主题皮肤与Logo，完成平台许可证激活等操作。

管理员：物理资源管理角色

核心定位：专注于物理资源的运维与分配，无代码相关权限，适配运维人员岗位职责。
权限范围示意图：

具体权限：拥有Kubernetes集群、物理主机、资源池、网络、存储等物理资源的管理权限，负责将物理资源分配给开发人员使用。

组织：代码与开发资源管控角色

核心定位：聚焦开发全流程资源管理，拥有代码、镜像等核心开发资源的绝对管控权，适配开发人员岗位职责。
权限范围示意图：

具体权限：拥有代码源、镜像、仓库、流水线、软件中心等开发资源的操作权限，可通过CICD流程完成代码编译、镜像构建与上传等操作。
示例：小明拥有“A组织”权限，可在平台内操作该组织下的代码源（拉取、推送代码）、通过流水线构建镜像，并将镜像上传至指定镜像仓库。

三类角色设置的核心目的：权限隔离与安全管控

核心逻辑：实现“运维权限”与“开发权限”的严格隔离，规避权限交叉导致的系统安全风险，具体价值如下：

• 安全边界隔离：运维人员掌握生产环境物理资源权限，但无代码权限，避免其获取核心业务代码；开发人员拥有代码全流程权限，但无生产环境操作权限，无法随意部署镜像至生产环境。
• 职责分工明确：运维人员专注物理资源管理与分配，无需关注开发细节；开发人员聚焦代码开发与镜像构建，无需关心底层资源配置。
• 资源安全可控：开发人员自主管理代码与镜像，保障代码不泄露；运维人员通过授权管控镜像部署范围，确保生产环境稳定。

角色绑定：权限与主体的关联桥梁

角色绑定是将预设角色分配给用户（主体）的过程，通过细粒度的角色分配实现“一人多角色”的灵活权限管控，提升平台安全性与适配性。
角色绑定逻辑示意图：

分配原则与示例：

• 运维人员：可分配“超级管理员”+“管理员”权限，兼顾系统管控与物理资源运维；
• 开发人员：可分配多个“组织”权限，支持跨项目开发协作。

实例：小明同时拥有超级管理员、管理员、组织1、组织2权限，因此可管理所有角色对应的资源（系统配置、物理资源、多组织开发资源）。

规则：精细化权限控制的核心

规则是“资源”与“操作”的绑定组合，通过细分资源类型与操作权限，实现权限的精细化分配。即针对不同资源，为用户配置不同的操作权限，满足多场景下的权限管控需求。
规则构成示意图：

示例：小明和小芳分属不同项目组，可通过规则精细化分配权限：为小明配置“A组织代码-维护者权限”“B组织代码-开发者权限”；为小芳配置“A组织代码-开发者权限”“B组织代码-维护者权限”。

资源：权限管控的对象

资源指平台内所有可管控的对象，分为“物理资源”与“虚拟开发资源”两类，具体包括：

• 物理资源：Kubernetes集群（容器化应用管理环境）、资源池（同一集群内的权限隔离单元）、网络（容器通信与外部访问解决方案）、存储（容器化应用持久化存储方案）；
• 虚拟开发资源：代码（应用程序源代码）、镜像（容器化应用打包格式）、软件中心（应用与工具分发平台）等。

操作：资源的可执行行为

平台预设三类标准化操作权限，分别为拥有者(Owner)、维护者(Master)、开发者（Developer），不同权限对应不同的操作范围，具体差异如下表：

核心差异说明：

• 拥有者：拥有资源的全量操作权限，是资源的最高管控者；
• 维护者：与拥有者的唯一差异是无“删除权限”，可负责资源的日常维护与更新；
• 开发者：仅拥有“查看权限”，适用于需了解资源信息但无需操作的人员（如项目审计人员、新员工）。

规则应用示例
示例1：开发人员小明的权限配置
小明作为开发人员，拥有“支付组织”角色，其权限规则配置如下：

权限说明：小明可对“支付组织”下的A项目代码执行“拉取、推送”操作，对A项目镜像执行“创建、构建、上传”操作。

示例2：项目组内精细化权限分配
在“支付开发项目组”中，遵循“最小权限+明确职责”原则分配权限：

• 组员小明（开发者）：分配“支付组织-维护者权限”，负责代码日常维护与镜像构建，无删除权限；
• 组长（负责人）：分配“支付组织-拥有者权限”，拥有全量权限，负责资源管控与权限审批；
• 审计人员：分配“支付组织-开发者权限”，仅可查看项目资源，无操作权限。

二、权限分配实操指引

平台支持针对不同资源类型进行精准权限分配，核心分配场景及对应操作入口如下：

• 镜像仓库权限：参考文档《镜像仓库权限分配指南》；
• 组织权限（含镜像、流水线、软件包等子资源）：参考文档《组织成员权限管理手册》；
• 集群权限（含资源池、节点、存储等全量集群资源）：参考文档《集群权限分配操作指南》；
• 资源池（命名空间）权限（含项目、配置、网络、存储等资源）：参考文档《资源池成员权限配置手册》。