RBAC 权限管理

KnowFlow 的知识权限跟着目录走。超级管理员先在知识库页面搭好顶层目录，再把某个目录的「管理」权限授给部门负责人、组织或协作组；拿到目录管理权限的人，就在这个目录里创建子目录和知识库，并继续向下授权。

整个过程不依赖租户或团队。一个人能看到、能改、能管哪些知识，只由他从用户、组织、协作组三类主体上获得的授权决定。

版本说明

本文以 KnowFlow v2.6.x 为准。v2.4.3 引入知识库目录树，v2.4.8 收紧了组织管理员的目录可见范围，v2.5.2 起权限判定完全不再依赖租户字段。早期版本中「在系统管理的知识库管理里授权」「组织管理员管理本组织知识库」的做法已不再适用。

一张图看懂

超级管理员
 ├─ 在「系统管理」维护用户、组织架构、协作组
 └─ 在「知识库」页面创建顶层目录，并把目录「管理」权限授给负责人
        │
        ▼
目录管理员（持有某目录「管理」权限的用户 / 组织 / 协作组）
 ├─ 在该目录下创建子目录、创建或导入知识库
 └─ 把目录或知识库授给使用者：只读 / 编辑 / 管理
        │
        ▼
使用者
 └─ 只能看到被授权的目录与知识库，权限沿目录向下继承

角色与身份

KnowFlow 只有两个系统身份：超级管理员和组织管理员。「目录管理员」「知识库管理员」不是单独的角色，而是在某个目录或知识库上持有「管理」权限的人。

身份	怎么获得	能做什么	不能做什么
超级管理员	系统角色	全局可见、可管；唯一能创建顶层目录、在根级创建或导入知识库、把知识库或目录移到根级；管理问数数据源	—
目录管理员	在某目录上被授予「管理」	在该目录及其子树内新建子目录、重命名、移动、删除空目录；创建、导入知识库；授权与撤销；对子树内所有知识库拥有管理权限	不能在根级建目录或知识库；不能把内容移出自己管理的目录
组织管理员	在「组织架构」中被设为某组织的管理员	登录系统管理，维护本组织及下级组织：创建子组织、添加或移除成员、设置下级管理员、管理归属本组织的协作组；可创建问数项目	不会自动获得本组织的任何目录或知识库权限，与普通用户一样需要被授权
普通成员	默认	使用被授权的目录与知识库	—

组织管理员 ≠ 目录管理员

组织管理员管的是「人」：组织结构和成员。知识归谁管，由目录上的「管理」授权决定。如果希望部门负责人同时管理本部门的知识，请把部门目录的「管理」权限授给他本人或他所在的组织。

推荐配置流程

1. 搭组织：超级管理员在 系统管理 → 用户管理 创建账号，在 组织架构 中建好部门层级并添加成员，按需设置组织管理员；跨部门项目在 协作组管理 中建组。
2. 建顶层目录：超级管理员进入前台 知识库 页面，点击左侧「文件夹」旁的 +，按部门或业务线创建顶层目录，例如「研发中心」「财务中心」「合规与风控」。
3. 指定目录管理员：在目录上点击 ⋯ → 授权，把「管理」授给负责人本人、负责人所在组织或专项协作组。
4. 目录管理员建知识库：目录管理员进入自己管理的目录，创建子目录和知识库，上传文档并解析。
5. 开放给使用者：目录管理员把目录或单个知识库授给使用者。部门内普遍可读的内容，直接授给组织「只读」；内容维护人员授「编辑」。

授权尽量落在目录和组织上

在目录上授权，目录下以后新建的知识库会自动继承；授权给组织，新入职并加入该组织的员工会自动获得权限。逐个知识库、逐个用户授权会让后续维护成本越来越高。

权限等级

目录和知识库使用同一套三级权限：

权限	作用在知识库上	作用在目录上
只读	查看知识库、检索、问答	目录及整个子树可见，子树内所有知识库可读
编辑	在只读基础上，上传、抓取、新建和解析文档	子树内所有知识库可编辑；不能建子目录、建知识库或授权
管理	在编辑基础上，修改知识库设置、重命名、删除、授权	新建子目录、重命名、移动、删除空目录、创建与导入知识库、授权；子树内所有知识库可管理

知识库中的文档与文件继承知识库的权限，不单独授权。

授权主体

授权主体	生效范围	适用场景
用户	仅该用户本人	负责人、专家、临时审阅人员
组织	该组织及所有下级组织的成员	按部门、事业部、区域开放
协作组	协作组成员	跨部门项目或专项工作

继承与合并规则

• 向下继承：目录上的授权作用于其下所有子目录和知识库。
• 取并集：一个人的最终权限，是直接授权、所属组织（含上级组织）授权、所在协作组授权、所有上级目录授权的并集，任一来源允许即允许，也就是取最高权限。
• 没有「拒绝」：下级目录或知识库不能收窄上级继承下来的权限。需要更严格隔离的内容，请放进单独的目录，不要放在已被宽泛授权的目录之下。
• 创建者：知识库的创建者始终对它拥有完整权限。这项权限不会显示在授权列表中，也不会因为后来失去目录授权而消失。

示例：把「研发中心」目录的「只读」授给「研发部」组织，研发中心 / 平台组 / 接口规范 这个知识库会对研发部及其下级组织所有成员可见，无需单独授权。

在哪里授权

授权在前台 知识库 页面完成，系统管理后台不再提供知识库授权入口。

给目录授权

1. 在左侧「文件夹」树中，把鼠标移到目标目录上，点击 ⋯。
2. 选择 授权，打开「授权 — 目录名」对话框。
3. 选择页签 用户、组织 或 协作组，搜索并选中授权对象（已授权的对象会标注「已授权」）。
4. 选择权限 只读、编辑 或 管理，点击 授权。

对话框下方是已授权列表，可以按角色筛选，点击删除图标即可撤销。

给单个知识库授权：在知识库卡片的 ⋯ 菜单中选择 授权，操作方式相同。该入口在你管理当前目录时显示。

目录或知识库上带有「已授权 N 个主体」徽标，表示它有直接授权；继承来的授权不计入徽标。只有管理者能看到徽标。

目录 ⋯ 菜单

只有对目录拥有「管理」权限的人才能看到 ⋯ 菜单，菜单中包括新建子文件夹、重命名、移动、授权和删除。非空目录不能直接删除，需要先移空。

你能看到哪些目录

目录树按权限裁剪，每个人看到的结构可能不同：

• 被授予「只读」或以上权限的目录，展示整个子树，并显示通往它的上级路径；
• 只通过知识库级授权获得的知识库，只展示它所在目录和通往它的路径，不展示同级的其他内容；
• 目录上的知识库数量只统计自己可见的知识库；
• 只有在自己拥有「管理」权限的子树里，才会出现新建、授权等操作。

这一规则对组织管理员同样适用：组织管理员看到的目录树，与他作为普通用户被授权的范围一致。

组织架构与协作组

组织用于表达纵向管理关系，协作组用于横向协作，两者都是授权主体：

• 组织支持多级嵌套，每个组织只有一个父组织；同一用户可加入多个组织，但只有一个主组织。
• 对组织授权时，权限作用于该组织及所有下级组织成员。
• 协作组不属于组织树、不支持嵌套，成员只能是用户；可设置「所属组织」，由该组织的管理员维护。

具体操作见 组织架构、协作组管理 和 用户管理。

其他资源的权限

资源	规则
聊天助手	默认仅创建者可见。开启「共享给全部成员」后，所有登录用户都可以提问，但不能修改或删除。每个提问者只会检索到自己有权读取的关联知识库；一个都读不到时会提示联系管理员授权
分享与嵌入对话	可开启「需要登录」。开启后访客须登录，并按访客本人的权限过滤可用知识库
搜索应用、文件管理、API Key、MCP 配置	归创建者个人所有，不通过 RBAC 共享
对外 API / SDK	API Key 绑定创建者本人，接口调用按该用户的 RBAC 权限判定
数据概览与运营报表	只统计当前账号有权读取的知识库，导出范围相同
智能问数	超级管理员或组织管理员可创建问数项目；项目可授给用户、组织、协作组「只读 / 编辑 / 管理」，并按主体设置行级、列级数据范围；数据源只能由超级管理员管理

典型场景

部门自管知识

超级管理员创建「财务中心」顶层目录，把「管理」授给财务负责人，把「只读」授给「财务中心」组织。财务负责人在目录下按「制度」「报表」「审计」建子目录和知识库，安排内容维护人员获得「编辑」。整个部门自动可读，其他部门看不到。

跨部门项目

为项目建协作组，把来自研发、产品、交付的成员加入。在「项目 A」目录上把「编辑」授给该协作组。项目结束后撤销协作组授权，或移除成员即可，不需要调整任何人的组织归属。

全员制度库

超级管理员创建「公司制度」顶层目录，把「只读」授给最顶层的组织，所有员工自动可读；把「管理」授给行政负责人维护内容。

临时审阅

给外部顾问或审阅人员单独授予某个知识库的「只读」，审阅结束后撤销。

最佳实践

1. 先搭组织，再建目录，最后授权。组织结构准确，按组织授权才可靠。
2. 目录按管理责任划分。同一个目录下的内容应由同一个人或团队负责；可见范围差异大的内容放进不同目录，因为下级无法收窄上级的权限。
3. 控制「管理」权限的数量。超级管理员保持在少数人；目录「管理」只授给真正对内容负责的人。
4. 定期审查。清理离职、转岗和项目结束后的授权，重点检查敏感目录上的「编辑」与「管理」。

常见问题

组织管理员为什么看不到本部门的知识库？

组织管理员只管理组织和成员，不会自动获得知识权限。请超级管理员或目录管理员把对应目录授给他本人或他所在的组织。

为什么我没有「创建知识库」按钮？

只有在当前目录拥有「管理」权限时才会显示创建按钮；根级只有超级管理员可以创建。请联系超级管理员为你所在的目录授予「管理」权限。

个人被授权「只读」，所在组织被授权「编辑」，最终是什么权限？

最终为「编辑」。系统合并所有来源的授权并取最高权限，个人授权较低不会覆盖组织授权。如果希望该用户只能查看，需要撤销或降低组织、协作组或上级目录上的更高权限。

权限来源	授权	结果
用户个人授权	只读	可读
所在组织授权	编辑	可读、可编辑
最终权限	编辑	取最高

能否在某个子目录上取消从上级继承的权限？

不能。KnowFlow 没有「拒绝」类授权。需要隔离的内容，请移到一个没有被宽泛授权的目录中。

旧版本里的「团队」去哪了？

v2.5.2 起权限判定不再依赖租户与团队，团队设置页已移除。原来通过团队共享的知识，请改为按组织或协作组在目录上授权。