角色与管理员
KnowWork 的权限分两层：系统这一层管全平台共用的东西（模型、文档解析、空间），空间这一层管一个部门或团队自己的成员、知识库和授权。先分清下面四种身份，后面的配置就好理解了。
四种身份
| 身份 | 是谁 | 能做什么 |
|---|---|---|
| 系统管理员 | 初始化向导里建的第一个账号，只有这一个 | 模型、文档解析、结构增强、视觉检索（全平台共用）；新建、改名、删除空间；系统设置（产品名称、Logo、授权）；运行面板。能进任何空间，在里面按所有者处理，但不出现在成员列表里 |
| 所有者 | 空间角色的最高一档 | 空间里的一切；只有所有者能任免所有者；每个空间至少留一位所有者 |
| 管理员 | 空间角色 | 管成员、部门、用户组，发邀请；做全部授权；管知识源、MCP 工具、空间技能；看审计和全员运行记录；默认对本空间所有知识库、技能、工具都有完全管理权限 |
| 成员 | 空间角色，普通员工都是这一档 | 对话、附件、生成文件都能用；能查哪些知识库、能用哪些技能和工具，全看资源授权 |
初始化向导建的第一个账号，同时也是默认空间的所有者。所有者和管理员在左下角的账号菜单里能进「管理后台」，成员看不到这个入口。
各模块谁能做什么
| 模块 | 成员 | 管理员 / 所有者 |
|---|---|---|
| 对话、附件、会话沙箱、生成文件 | 都能用 | 同左 |
| 模型 | 登记的模型都能用；能看自己的用量 | 看本空间全员用量（模型由系统管理员管） |
| 内置知识库 | 按授权：使用＝检索、阅读、看文档；编辑＝上传、改设置；完全管理＝删除、移动 | 全部；在根目录下新建目录和知识库只有管理员能做 |
| 空间技能 | 授权「使用」才看得见、用得了 | 安装、发布；默认全部可用 |
| MCP 等接入的工具 | 授权「使用」才能用，不授权模型看不到 | 登记 MCP 服务；默认全部可用 |
| 成员、部门、用户组 | 只能看 | 管理、发邀请 |
| 资源授权 | 不能 | 全部授权与撤销 |
| 运行记录 | 只看自己的 | 看全员（查看别人的运行记录会记入审计） |
| 审计 | 不能 | 能查 |
授权只由空间管理员来做
对某个知识库有「完全管理」权限的人，可以删除、移动这个库，但不能把它授权给别人。所有授权申请都由空间的所有者或管理员处理，避免权限在员工之间层层转手。
初始化时怎么安排管理员
1. 用公共运维账号初始化。 系统管理员目前只有初始化建的那一个账号，不能新增，也不能转交。请用 IT 部门的公共邮箱建，比如 it-admin@你的公司域名，账号密码交给 IT 负责人保管。不要用某位员工的个人账号，否则人一离职就没人能改模型和系统设置。
2. 再任命 2～3 位所有者或管理员。 一般是 IT 或平台负责人。至少两位所有者互为备份：所有者只能由所有者任免，空间里也必须留一位所有者。
3. 管理员人数要少。 管理员默认能看到本空间的全部知识库、审计和全员运行记录。日常维护知识库的同事，给他们对应目录的「编辑」权限就够了，不必设成管理员。
4. 系统管理员不做日常操作。 它能进任何空间，平时只用来配模型、建空间、看系统状态，日常问答和维护用各自的个人账号。