主题
角色管理 / 角色管理
「角色管理」维护平台角色及其权限范围，页面说明写明：内置角色不可编辑，用户可以创建自定义角色并定义角色权限，自定义角色的变更对已绑定用户立即生效。需要为新的岗位定义权限、核对某个角色能做什么时使用这一页。
前提条件
- 已登录 Boss 管理侧。
- 当前账号具备「角色管理」下「角色管理」的查看权限；创建角色还需要对应的写权限。
界面说明
截图采集于 2026-11-02，环境：开发环境。
页面顶部是面包屑「角色管理 / 角色管理」，下方为页面说明。筛选区包含搜索框「搜索角色名称」、筛选「作用类型」，右侧是「创建」按钮和「列显隐」「刷新」图标按钮。
| 列 | 说明 |
|---|---|
| 角色名称 | 角色显示名，带「系统受管」标签；第二行显示角色的资源标识，过长时截断。 |
| 描述 | 角色作用的一句话说明，如「工作空间资源只读」。 |
| 作用范围 | 以标签形式显示作用类型与取值，如「ScopeType workspace」「ScopeValue abcd」。 |
| 创建时间 | 角色创建的时间。 |
| 操作 | 「编辑」按钮和「更多操作」图标。 |
截图中可见的角色包括「工作空间查看者」「项目创建者」「工作空间普通成员」「工作空间管理员」「项目查看者」「项目操作员」「项目管理员」，作用类型为 workspace 或 namespace。列表底部分页显示「共 249 条」「10 条/页」。
单击「创建」后，右侧滑出「创建平台角色」面板，标题下提示「先填基本信息，再勾选权限。」。面板分为「基本信息」和「权限」两个页签。
基本信息区包含「角色类型」（下拉，截图中为「自定义角色」）、「名称」（必填，带 253 字计数）、「别名」、「描述」。权限区标题显示「已选 1 项，勾选项会自动带上它依赖的权限」，左侧是权限分类列表，每项带已选/总数，如「网关管理 0/25」「租户管理 0/4」「平台监控 0/2」「平台配置 0/5」「集群纳管 0/4」。
权限列表右侧有「搜索权限」输入框以及「全选」「清空」按钮。每条权限显示勾选框、权限名称、英文标识和说明，例如「代理服务器查看」「ai-gateway-proxy-servers-view」「查看代理服务器页面及其详情」。面板底部为「取消」和「创建角色」。
截图采集于 2026-11-02，环境：开发环境。
截图中「自定义角色」已选中，权限分类默认停在「网关管理」，右侧列出该分类下的权限。
内置角色
平台预置 17 个内置角色，按作用域分组。内置角色不可编辑，需要调整权限时创建自定义角色。
| 角色 | 标识 | 作用域 | 用途 |
|---|---|---|---|
| 平台管理员 | platform-admin | platform | 平台全部资源的读写与管理。 |
| 平台查看者 | platform-viewer | platform | 平台非敏感资源只读，可接收插件聚合的权限点。 |
| 平台普通用户 | platform-regular | platform | 登录与个人信息，以及插件提供的个人自助功能。 |
| 平台自助用户 | platform-self-provisioner | platform | 创建工作空间并成为其管理员。 |
| 用户管理员 | users-manager | platform | 管理用户与登录记录。 |
| 工作空间代管员 | workspaces-manager | platform | 代管全部工作空间。 |
| 集群管理员 | cluster-admin | cluster | 单个集群的读写与管理。 |
| 集群查看者 | cluster-viewer | cluster | 单个集群的资源只读。 |
| 节点组管理员 | nodegroup-admin | nodegroup | 节点组资源与成员管理。 |
| 节点组查看者 | nodegroup-viewer | nodegroup | 节点组资源与成员只读。 |
| 工作空间管理员 | workspace-admin | workspace | 工作空间内全部资源的读写与管理。 |
| 工作空间查看者 | workspace-viewer | workspace | 工作空间资源只读。 |
| 工作空间普通成员 | workspace-regular | workspace | 工作空间基础权限，加入项目的前提。 |
| 项目创建者 | workspace-self-provisioner | workspace | 在工作空间内创建项目。 |
| 项目管理员 | namespace-admin | namespace | 项目内全部资源的读写与管理。 |
| 项目操作员 | namespace-operator | namespace | 项目内工作负载、配置、网络的读写。 |
| 项目查看者 | namespace-viewer | namespace | 项目资源只读。 |
表中的「标识」是角色模板名。列表第二行显示的是按作用域对象生成的 IAMRole 名称，形如 workspace-<对象>-viewer-<摘要>，与模板名不同。
产品讨论中的叫法与本节对照：租户管理员 = 工作空间管理员，租户成员 = 工作空间普通成员，租户 viewer = 工作空间查看者，项目成员 = 项目操作员，项目 viewer = 项目查看者，平台只读/审计管理员 = 平台查看者。
内置角色权限明细
「依赖模板」会在角色聚合时递归并入，同时用于角色编辑界面的自动勾选。「接受插件聚合」为「是」时，插件安装后可以把带对应聚合标签的权限并入该角色。「代表性权限点」只列部分，完整清单以实际界面为准。
| 角色 | 依赖模板 | 接受插件聚合 | 代表性权限点 |
|---|---|---|---|
| 平台管理员 | platform-viewer | 否 | * |
| 平台查看者 | — | 是 | scope.rise.io/workspaces.view、scope.rise.io/clusters.view、console.rise.io/platform-resources.view |
| 平台普通用户 | role-template-view-basic | 是 | 自身为空；聚合后含个人 API 密钥、模型试用等权限点 |
| 平台自助用户 | platform-regular | 否 | scope.rise.io/workspaces.create |
| 用户管理员 | platform-regular | 否 | iam.rise.io/users.manage、iam.rise.io/users.view |
| 工作空间代管员 | platform-regular | 否 | scope.rise.io/workspaces.manage、scope.rise.io/workspaces.view、scope.rise.io/workspaces.create |
| 集群管理员 | cluster-viewer | 是 | core.rise.io/*、storage.k8s.io/*、console.rise.io/settings.manage、iam.rise.io/members.manage |
| 集群查看者 | — | 是 | core.rise.io/nodes.view、core.rise.io/pods.view、core.rise.io/deployments.view |
| 节点组管理员 | nodegroup-viewer | 否 | core.rise.io/nodes.view、core.rise.io/nodes.manage、iam.rise.io/members.manage |
| 节点组查看者 | — | 否 | core.rise.io/nodes.view |
| 工作空间管理员 | workspace-viewer | 是 | scope.rise.io/*、core.rise.io/*、console.rise.io/settings.manage、iam.rise.io/members.manage |
| 工作空间查看者 | — | 是 | scope.rise.io/projects.view、core.rise.io/pods.view、core.rise.io/secrets.view（代码现状）、core.rise.io/events.view |
| 工作空间普通成员 | — | 是 | 自身为空；聚合后含公共存储、镜像仓库、个人 API 密钥等权限点 |
| 项目创建者 | — | 是 | scope.rise.io/projects.create |
| 项目管理员 | namespace-viewer | 是 | core.rise.io/*、console.rise.io/settings.manage、iam.rise.io/members.manage |
| 项目操作员 | namespace-viewer | 是 | core.rise.io/workloads.manage、core.rise.io/configurations.manage、core.rise.io/persistentvolumeclaims.manage、core.rise.io/pods.execute |
| 项目查看者 | — | 是 | core.rise.io/workloads.view、core.rise.io/configmaps.view、core.rise.io/persistentvolumeclaims.view、core.rise.io/events.view |
完整的权限点、作用域边界，以及代码现状与产品口径的差异，见角色与权限对照。
操作步骤
查找角色
- 在「搜索角色名称」中输入角色名关键字。
- 单击「作用类型」按作用范围筛选。
- 在目标行查看「作用范围」，确认角色生效的层级和对象。
创建自定义角色
- 单击列表右上角的「创建」。
- 在「基本信息」页签填写「名称」，按需填写「别名」和「描述」。
- 切换到「权限」页签，在左侧选择权限分类，用「搜索权限」定位具体权限。
- 勾选所需权限；勾选后会自动带上依赖的权限，可通过「已选」计数核对。
- 单击「创建角色」提交。
调整已有角色
- 在目标行单击「编辑」。
- 在面板中增减权限或修改描述。
- 保存后，变更对已绑定该角色的用户立即生效。
结果验证
创建成功后，新角色出现在列表中，「作用范围」与所选层级一致。编辑角色后重新打开该角色，可看到更新后的权限清单；已绑定用户重新访问相关页面时按新权限生效。
注意事项
- 带「系统受管」标签的角色不可编辑，需要调整权限时创建自定义角色。
- 自定义角色的变更对已绑定用户立即生效，调整前通知受影响的用户。
- 勾选权限会自动带入依赖权限，提交前用「已选」数量核对，避免范围超出预期。
- 作用范围决定角色在平台、工作空间还是项目层级生效。