用户管理与角色

以周宁加入客服团队为例：他需要使用“客服助手”、维护客服知识，但不需要管理成员或分配后台角色。管理员分别配置企业成员关系、后台角色和资源权限三层授权。

企业成员关系

研选平台托管企业在研选平台添加成员；本地管理企业可以发送企业邀请。有效的成员关系表示成员可以进入企业空间，不会自动开放后台或全部资源。

本地管理企业可以在「用户管理」中调整成员状态或移除成员；研选托管企业在研选平台完成相同操作。成员关系失效后，该成员不能继续进入企业空间或使用企业资源，不影响其个人空间和其他企业。

配置用户组

将客服助手的使用权授予“客服”用户组，可以避免逐人配置。周宁调岗时移出用户组，对应的资源授权随之变化。用户组可以承载后台角色，也可以承载具体助手和技能的资源权限。

后台角色配置

后台角色是一组模块权限，可以分配给单个成员或用户组。一个成员可以同时拥有多个角色，最终权限取并集；角色之间没有继承关系，也不存在覆盖已有授权的拒绝规则。

角色	适用对象	主要范围
企业所有者	对企业整体负责的人	全部企业后台权限
身份与权限管理员	维护成员与授权的人	成员、用户组、角色与分配
资源管理员	治理助手和技能的人	企业资源与权限分配
知识管理员	维护企业知识的人	知识查看与管理
运营查看员	负责运营分析但不修改配置的人	成员、用户组、角色、资源元数据、知识、对话元数据、统计和设置的只读入口

周宁只需要“知识管理员”角色，因此可以维护知识，但不能管理成员或分配后台角色。需要更窄职责时可以创建自定义角色。分配者只能授予自己拥有的权限，最后一名企业所有者不能被移除。

三层权限边界

成员关系        能否进入企业空间
后台角色        能否管理某类后台工作
资源权限        能对某个助手或技能执行哪些操作

三类授权独立计算，分别决定企业空间、后台工作与单个资源上的访问范围。

调岗与离开企业

先从“客服”用户组移除周宁，再撤销不再需要的后台角色。本地管理企业由具有「调整成员信息与状态」或「移除成员」权限的管理员处理成员关系；研选托管企业在研选平台处理。单个助手的使用权、更新权和管理权规则见《资源权限与访问控制》。