管理权限

权限管理用于控制用户在 Analytics Agent 中可以访问哪些页面、哪些分析域、哪些数据资源，以及在问答时能看到哪些数据范围。

本文从实际操作角度说明“账号管理”“授权管理”“行级权限”“分析域权限”之间的边界，避免把不同层级的权限混在一起配置。

权限入口总览

入口	位置	管理对象	典型操作
账号管理	管理 > 用户管理 > 账号管理	用户账号	查看用户、编辑用户、为用户配置行级权限。
授权管理	管理 > 用户管理 > 授权管理	角色	新建角色，配置功能权限和资源数据权限。
行级权限	管理 > 用户管理 > 行级权限	行级权限点	定义权限点和表字段映射。
分析域权限	分析域配置 > 权限	分析域成员	将用户加入分析域。

这些入口分别解决不同问题。不要把“用户加入分析域”理解为“给用户分配角色”，也不要把“角色数据权限”理解为“行级权限”。

账号管理

账号管理用于管理系统用户。

实操中，用户行的更多菜单包含：

编辑
行级权限

“行级权限”入口用于给具体用户绑定已经定义好的行级权限规则。它不是创建权限点的位置，权限点需要先在“行级权限”页面定义。

授权管理

授权管理用于管理角色权限。

实操中，授权管理页面左侧显示角色列表，包括：

管理员
数据分析师
自定义角色，例如“财务人员”

内置角色可能不可编辑；自定义角色可以编辑。用户创建的“财务人员”角色被选中后，页面上的“编辑”按钮可用。

角色编辑包含两个页签：

页签	作用
功能 & 操作权限	控制角色能看到和操作哪些功能模块。
数据权限	控制角色能访问哪些资源类型，以及对资源是可查看还是可编辑。

实操中，功能权限里可以看到“全量下载”权限点。该权限点用于控制用户是否具备下载全量数据的能力。对于敏感分析域，不建议默认授予所有角色，应结合数据隐私、行级权限、字段隐藏和审计日志一起治理。

行级权限

行级权限用于控制同一张表中不同用户可见的数据行。

配置分为两层：

在“管理 > 用户管理 > 行级权限”定义权限点。
在“账号管理”中对具体用户配置该权限点的规则值。

实操中，定义权限点时需要配置：

权限点名称。
权限应用映射。
目标数据表。
目标列。
描述。

为用户授权时，需要选择：

行级权限点。
规则类型：枚举值或表达式。
规则值。

分析域权限

分析域权限用于控制哪些用户可以访问当前分析域。

在“分析域配置 > 权限”中添加用户时，实操确认弹窗只选择“用户”，不选择角色。添加后，列表会展示用户及其已有角色。

例如，将

tester

tester

加入分析域后，列表中显示该用户的角色为“管理员, 数据分析师”。这说明分析域权限负责把用户加入域，角色来自用户自身的全局授权。

权限配置顺序建议

推荐按以下顺序配置权限：

创建或确认用户账号。
在授权管理中配置角色。
确认用户已具备合适角色。
将用户加入需要访问的分析域。
配置域内表、文件、知识、指标、答案构建器等资源。
对敏感字段配置隐藏或调整字段语义。
如需按数据行隔离，配置行级权限点并绑定到用户。
使用测试用户验证问答结果和页面访问范围。
使用审计日志检查关键配置变更记录。

常见误区

误区	正确理解
在分析域权限里添加用户时可以选择角色	实操中只能选择用户，角色来自用户已有全局角色。
授权管理是给单个用户直接授权	授权管理管理的是角色权限，不是单个用户权限。
行级权限在分析域里配置	权限点在用户管理的行级权限页面定义，再到账号管理中绑定用户。
字段隐藏等同于数据库底层权限	字段隐藏影响 Analytics Agent 问答可见性，可达到列级治理效果，但不等同于底层数据库授权。
加入域就能看到所有资源	还需要看角色数据权限、域内资源是否加入、字段是否隐藏、行级权限是否限制。

验证方法

权限配置完成后，建议使用测试用户验证：

是否能登录系统。
是否能看到目标分析域。
是否能进入“开始分析”。
是否能使用目标表、文件、知识、指标和答案构建器。
是否无法访问不应访问的管理入口。
是否只能看到行级权限允许的数据范围。
是否只有被授权角色才能使用全量下载能力。
是否在审计日志中留下登录、修改、导出等记录。