组织与工作区操作参考

本页提供一个关于工作区和组织操作、以及哪些角色能执行它们的综合参考表。

该清单包含 LangSmith 中的 API 操作，以及：

• 哪些系统角色能执行每个操作。
• 所要求的特定权限字符串。
• 关于部分访问或特殊情形的注数。

INFO

有关 LangSmith RBAC 系统、角色定义和权限概念的概览，参阅基于角色的访问控制。

目录

组织级操作	工作区级操作
核心管理： • 组织设置：组织信息与配置 • 工作区：工作区管理 • 组织成员：成员管理 • 角色与权限：自定义角色	核心资源： • 项目：组织追踪和运行 • 运行：单个执行追踪 • 数据集：用于评估的测试数据集 • 示例：单个数据集示例 • 实验：对比实验
安全与身份验证： • SSO 与身份验证：单点登录设置 • SCIM：身份预配 • 访问策略：基于属性的访问控制	监控与分析： • 规则：自动化运行规则 • 告警：用于监控的告警规则 • 反馈：输出上的分数与标签 • 标注队列：人工复核队列 • 图表：自定义可视化
计费与账户： • 计费与支付：订阅管理 • API 密钥：组织级密钥	开发与配置： • 提示：提示模板（LangChain Hub） • 自定义应用：用户自写的迷你 web 应用 • 部署：部署配置 • MCP 服务器：Model Context Protocol 服务器 • Fleet：Fleet 管理操作
分析： • 图表与仪表盘：组织级可视化 • 用量与分析：用量跟踪与 TTL 设置	工作区管理： • 模型价格表：按 token 的模型价格 • 工作区设置：成员、设置 • 标签：元数据打标系统 • 批量导出：数据导出操作

额外信息：

• 用户级操作：面向所有已身份验证用户的操作
• 权限继承：角色如何跨组织/工作区继承

图例

• ✓ 允许：带此角色的用户能执行此动作
• ✗ 不允许：带此角色的用户不能执行此动作
• ⚠ 部分：用户有受限访问（见注数）

组织级操作

INFO

组织级操作由组织角色控制，它们与 RBAC 功能相互独立。在基于角色的访问控制指南中了解更多。

组织设置

操作	组织管理员	组织操作员	组织用户	组织查看者	所需权限
查看组织信息	✓	✓	✓	✓	organization:read
查看组织仪表盘	✓	✓	✓	✓	organization:read
更新组织信息	✓	✓	✗	✗	organization:manage
查看计费信息	✓	✓	✓	✓	organization:read
查看公司信息	✓	✓	✓	✓	organization:read
设置公司信息	✓	✓	✗	✗	organization:manage

工作区

组织级的工作区管理操作。

操作	组织管理员	组织操作员	组织用户	组织查看者	所需权限
列出所有工作区	✓	✓	✓	✓	organization:read
创建工作区	✓	✓	✗	✗	organization:manage

组织成员

操作	组织管理员	组织操作员	组织用户	组织查看者	所需权限	注数
查看组织成员	✓	✓	✓	✓	organization:read
查看活动组织成员	✓	✓	✓	✓	organization:read
查看待处理组织成员	✓	✓	✓	✓	organization:read
邀请成员到组织	✓	⚠	✗	✗	organization:manage	组织操作员只能邀请组织用户和组织查看者
批量邀请成员	✓	⚠	✗	✗	organization:manage	组织操作员只能邀请组织用户和组织查看者
添加 basic auth 成员	✓	⚠	✗	✗	organization:manage	组织操作员只能添加组织用户和组织查看者
移除组织成员	✓	⚠	✗	✗	organization:manage	组织操作员不能移除组织管理员
更新组织成员角色	✓	⚠	✗	✗	organization:manage	组织操作员只能修改组织用户和组织查看者
删除待处理组织成员	✓	⚠	✗	✗	organization:manage	组织操作员不能删除待处理的组织管理员邀请

角色与权限

操作	组织管理员	组织操作员	组织用户	组织查看者	所需权限
列出组织角色	✓	✓	✓	✓	organization:read
列出可用权限	✓	✓	✓	✓	N/A（用户级）
创建自定义角色	✓	✓	✗	✗	organization:manage
更新自定义角色	✓	✓	✗	✗	organization:manage
删除自定义角色	✓	✓	✗	✗	organization:manage

SSO 与身份验证

操作	组织管理员	组织操作员	组织用户	组织查看者	所需权限
查看 SSO 设置	✓	✓	✓	✓	organization:read
创建 SSO 设置	✓	✓	✗	✗	organization:manage
更新 SSO 设置	✓	✓	✗	✗	organization:manage
删除 SSO 设置	✓	✓	✗	✗	organization:manage
查看登录方式	✓	✓	✓	✓	organization:read
更新允许的登录方式	✓	✓	✗	✗	organization:manage
设置默认 SSO 预置	✓	✓	✗	✗	organization:manage

SCIM

用于用户预配的跨域身份管理系统。设置说明，参阅 SCIM 设置指南。

操作	组织管理员	组织操作员	组织用户	组织查看者	所需权限
列出 SCIM 令牌	✓	✓	✓	✓	organization:read
获取 SCIM 令牌	✓	✓	✓	✓	organization:read
创建 SCIM 令牌	✓	✓	✗	✗	organization:manage
更新 SCIM 令牌	✓	✓	✗	✗	organization:manage
删除 SCIM 令牌	✓	✓	✗	✗	organization:manage

访问策略

用于细粒度权限的基于属性访问控制（ABAC）策略。

操作	组织管理员	组织操作员	组织用户	组织查看者	所需权限
列出访问策略	✓	✓	✓	✓	organization:read
获取访问策略	✓	✓	✓	✓	organization:read
创建访问策略	✓	✓	✗	✗	organization:manage
删除访问策略	✓	✓	✗	✗	organization:manage
把访问策略附到角色	✓	✓	✗	✗	organization:manage

计费与支付

操作	组织管理员	组织操作员	组织用户	组织查看者	所需权限
创建 Stripe 设置意图	✓	✓	✗	✗	organization:manage
处理支付方式创建	✓	✓	✗	✗	organization:manage
更改支付方案	✓	✓	✗	✗	organization:manage
创建 Stripe 结账会话	✓	✓	✗	✗	organization:manage
确认结账完成	✓	✓	✗	✗	organization:manage
创建 Stripe 账户链接	✓	✓	✗	✗	organization:manage

API key

操作	组织管理员	组织操作员	组织用户	组织查看者	所需权限
列出 org 作用域的服务密钥	✓	✓	✓	✓	organization:read
创建 org 作用域的服务密钥（工作区作用域）*	✓	✓	⚠	✗	organization:pats:create + workspaces:manage-keys
创建 org 作用域的服务密钥（全组织）*	✓	✗	✗	✗	organization:pats:create + organization:manage
删除 org 作用域的服务密钥（工作区作用域）*	✓	✓	⚠	✗	organization:read + workspaces:manage-keys
更新服务密钥角色	✓	✓	✗	✗	organization:manage
列出自己的个人访问令牌（PAT）	✓	✓	✓	✗	organization:read
列出每个成员的个人访问令牌（PAT）	✓	✓	✗	✗	organization:pats:read
创建个人访问令牌（PAT）	✓	✓	✓	✗	organization:pats:create
停用、重新激活或删除自己的个人访问令牌（PAT）	✓	✓	✓	✗	organization:read
停用、重新激活或删除另一成员的个人访问令牌（PAT）	✓	✓	✗	✗	organization:pats:manage

NOTE

* 组织操作员和组织用户只能在其角色授予 workspaces:manage-keys（例如 Workspace Admin 角色）的工作区中创建或删除工作区作用域的服务密钥。创建一个全组织的服务密钥需要 Organization Admin 角色。

组织图表与仪表盘

操作	组织管理员	组织操作员	组织用户	组织查看者	所需权限
列出 org 图表	✓	✓	✓	✓	organization:read
按 ID 获取 org 图表	✓	✓	✓	✓	organization:read
创建 org 图表	✓	✓	✗	✗	organization:manage
更新 org 图表	✓	✓	✗	✗	organization:manage
删除 org 图表	✓	✓	✗	✗	organization:manage
渲染 org 图表	✓	✓	✓	✓	organization:read
获取 org 图表分区	✓	✓	✓	✓	organization:read
创建 org 图表分区	✓	✓	✗	✗	organization:manage
更新 org 图表分区	✓	✓	✗	✗	organization:manage
删除 org 图表分区	✓	✓	✗	✗	organization:manage
渲染 org 图表分区	✓	✓	✓	✓	organization:read

用量与分析

操作	组织管理员	组织操作员	组织用户	组织查看者	所需权限
查看组织用量	✓	✓	✓	✓	organization:read
查看细粒度可计费用量	✓	✓	✓	organization:read
将细粒度用量导出为 CSV	✓	✓	✓	organization:read
查看工作区追踪保留设置	✓	✓	✓	✓	organization:read
设置工作区默认追踪层级（base/extended）	✓	✓	✗	✗	organization:manage
设置工作区延长保留时长（Enterprise）	✓	✓	✗	✗	organization:manage

工作区级操作

这些操作由工作区级角色和权限控制。

TIP

要理解每个角色的含义及其整体能力，参阅基于角色的访问控制指南。

项目

项目组织你 LLM 应用的追踪和运行。

操作	工作区管理员	工作区编辑器	工作区查看者	所需权限
创建一个新项目	✓	✗	✗	projects:create
在项目创建时应用资源标签	✓	✗	✗	projects:tag_on_create
查看项目列表	✓	✓	✓	projects:read
查看项目详情	✓	✓	✓	projects:read
查看预构建仪表盘	✓	✓	✓	projects:read
查看项目元数据（top K 值）	✓	✓	✓	projects:read
更新项目元数据（名称、描述、标签）	✓	✓	✗	projects:update
提高项目追踪保留（base → extended）	✓	✓	✗	projects:increase-trace-tier*
降低项目追踪保留（extended → base）	✓	✓	✗	projects:decrease-trace-tier*
创建过滤视图	✓	✗	✗	projects:create
查看过滤视图	✓	✓	✓	projects:read
查看特定过滤视图	✓	✓	✓	projects:read
更新过滤视图	✓	✓	✗	projects:update
删除过滤视图	✓	✗	✗	projects:delete
删除一个项目	✓	✗	✗	projects:delete
删除多个项目	✓	✗	✗	projects:delete
获取 insights 作业	✓	✓	✓	projects:read
获取特定 insights 作业	✓	✓	✓	projects:read
创建 insights 作业	✓	✓	✓	projects:read + rules:create
更新 insights 作业	✓	✓	✗	projects:update
删除 insights 作业	✓	✗	✗	projects:delete
获取 insights 作业配置	✓	✓	✓	rules:read
创建 insights 作业配置	✓	✓	✗	rules:create
自动生成 insights 作业配置	✓	✓	✗	rules:create
更新 insights 作业配置	✓	✓	✗	rules:update
删除 insights 作业配置	✓	✓	✗	rules:delete
从 insights 作业获取运行簇	✓	✓	✓	projects:read
从 insights 作业获取运行	✓	✓	✓	projects:read

NOTE

* projects:increase-trace-tier 和 projects:decrease-trace-tier 相互独立，可在自定义角色中分别授予。例如，你可以允许一个角色降低保留而不允许它提高保留。如果一个用户两者都缺，保留设置 UI 会被完全隐藏。如果他们只有一个，UI 会部分启用（不被允许的那个方向被禁用）。

运行

来自你 LLM 应用的单个执行追踪和 span。

操作	工作区管理员	工作区编辑器	工作区查看者	所需权限
从 SDK 发送追踪（含单个运行、批量、multipart 和 OTEL）	✓	✓	✗	runs:create
查看特定运行	✓	✓	✓	runs:read
查看运行输入	✓	✓	✓	runs:read + runs:read-inputs
查看运行输出	✓	✓	✓	runs:read + runs:read-outputs
查看追踪与线程消息及轨迹	✓	✓	✓	runs:read + runs:read-inputs + runs:read-outputs
下载一条追踪	✓	✓	✓	runs:read
查看线程预览	✓	✓	✓	runs:read
查询/列出运行	✓	✓	✓	runs:read
查看运行统计	✓	✓	✓	runs:read
查看分组运行统计	✓	✓	✓	runs:read
按表达式分组运行	✓	✓	✓	runs:read
从自然语言生成过滤查询	✓	✓	✓	runs:read
预取运行	✓	✓	✓	runs:read
更新一个运行（PATCH）	✓	✓	✗	runs:create
查看运行共享状态	✓	✓	✓	runs:read
公开分享一个运行	✓	✓	✗	runs:share
取消分享一个运行	✓	✓	✗	runs:share
按追踪 ID 或元数据删除运行	✓	✗	✗	runs:delete

规则

基于运行条件触发动作的自动化运行规则。

操作	工作区管理员	工作区编辑器	工作区查看者	所需权限
列出所有运行规则	✓	✓	✓	rules:read
创建一个运行规则	✓	✓	✗	rules:create
更新一个运行规则	✓	✓	✗	rules:update
删除一个运行规则	✓	✓	✗	rules:delete
查看规则日志	✓	✓	✓	rules:read
获取最后应用的规则	✓	✓	✓	rules:read
手动触发一个规则	✓	✓	✗	rules:update
触发多个规则	✓	✓	✗	rules:update
配置按动作的数据保留	✓	✗	✗	rules:configure-retention

告警

用于监控运行条件的告警规则。

操作	工作区管理员	工作区编辑器	工作区查看者	所需权限
创建告警规则	✓	✓	✓	runs:read
更新告警规则	✓	✓	✓	runs:read
删除告警规则	✓	✓	✓	runs:read
获取告警规则	✓	✓	✓	runs:read
列出告警规则	✓	✓	✓	runs:read
测试告警动作	✓	✓	✓	runs:read

数据集

带用于评估示例的测试数据集。

操作	工作区管理员	工作区编辑器	工作区查看者	所需权限
创建一个数据集	✓	✓	✗	datasets:create
在数据集创建时应用资源标签	✓	✓	✗	datasets:tag_on_create
列出数据集	✓	✓	✓	datasets:read
查看数据集详情	✓	✓	✓	datasets:read
更新数据集元数据	✓	✓	✗	datasets:update
删除一个数据集	✓	✗	✗	datasets:delete
上传 CSV 数据集	✓	✓	✗	datasets:create
克隆数据集	✓	✓	✗	datasets:clone
获取数据集版本	✓	✓	✓	datasets:read
获取数据集版本列表	✓	✓	✓	datasets:read
比较数据集版本	✓	✓	✓	datasets:read
更新数据集版本（标签）	✓	✓	✗	datasets:update
下载数据集（OpenAI 格式）	✓	✓	✓	datasets:download
下载数据集（OpenAI 微调格式）	✓	✓	✓	datasets:download
下载数据集（CSV）	✓	✓	✓	datasets:download
下载数据集（JSONL）	✓	✓	✓	datasets:download
查看数据集共享状态	✓	✓	✓	datasets:read
公开分享数据集	✓	✗	✗	datasets:share
取消分享数据集	✓	✗	✗	datasets:share
获取索引信息	✓	✓	✓	datasets:read
索引数据集	✓	✓	✗	datasets:update
同步数据集索引	✓	✓	✗	datasets:update
移除数据集索引	✓	✓	✗	datasets:update
搜索数据集	✓	✓	✓	datasets:read
生成合成示例	✓	✓	✗	datasets:update
获取数据集划分	✓	✓	✓	datasets:read
更新数据集划分	✓	✓	✓	datasets:read
运行 playground 实验（批量）	✓	⚠	✗	prompts:read + datasets:read + projects:create
运行 playground 实验（流式）	✓	⚠	✗	prompts:read + datasets:read + projects:create
运行 studio 实验	✓	⚠	✗	datasets:read + projects:create

NOTE

工作区编辑器有部分访问权，因为他们不能创建项目，这限制了他们创建新实验的能力。

示例

数据集中的单个示例。

操作	工作区管理员	工作区编辑器	工作区查看者	所需权限
统计示例数	✓	✓	✓	datasets:read
查看特定示例	✓	✓	✓	datasets:read
列出示例	✓	✓	✓	datasets:read
创建一个新示例	✓	✓	✗	datasets:update
创建示例（批量）	✓	✓	✗	datasets:update
更新单个示例	✓	✓	✗	datasets:update
更新示例（批量）	✓	✓	✗	datasets:update
更新示例（multipart）	✓	✓	✗	datasets:update
从 CSV 上传示例	✓	✓	✗	datasets:update
从 JSONL 上传示例	✓	✓	✗	datasets:update
删除单个示例	✓	✓	✗	datasets:update
删除示例（批量）	✓	✓	✗	datasets:update
查看带运行的示例	✓	✓	✓	datasets:read
查看分组带运行的示例	✓	✓	✓	datasets:read
验证单个示例	✓	✓	✓	datasets:read
验证示例（批量）	✓	✓	✓	datasets:read

NOTE

从现有运行创建示例，还需要在每个源运行的项目上有 runs:read。只有当你对该项目有 runs:read-inputs 和 runs:read-outputs 时，运行的输入和输出才会被复制。

实验

用于评估 LLM 输出的对比实验。

操作	工作区管理员	工作区编辑器	工作区查看者	所需权限
查看对比实验	✓	✓	✓	projects:read
创建对比实验	✓	⚠	✗	projects:create
删除对比实验	✓	✗	✗	projects:delete
查看带运行的示例	✓	✓	✓	datasets:read
查看分组带运行的示例	✓	✓	✓	datasets:read
查看分组实验	✓	✓	✓	datasets:read
查看反馈差值	✓	✓	✓	datasets:read
上传实验结果	✓	⚠	✗	datasets:create + datasets:update + projects:create + runs:create
获取实验视图覆盖	✓	✓	✗	datasets:update
创建实验视图覆盖	✓	✓	✗	datasets:update
更新实验视图覆盖	✓	✓	✗	datasets:update
删除实验视图覆盖	✓	✓	✗	datasets:update

NOTE

工作区编辑器有部分访问权，因为他们不能创建项目，这限制了他们创建新实验的能力。

反馈

LLM 输出上的分数、标签和纠正。

NOTE

反馈公式操作已弃用，改推荐复合评估器，并定于 2026-08-20 移除。

操作	工作区管理员	工作区编辑器	工作区查看者	所需权限
列出反馈公式（已弃用）	✓	✓	✓	feedback:read
获取反馈公式（已弃用）	✓	✓	✓	feedback:read
创建反馈公式（已弃用）	✓	✓	✗	feedback:create
更新反馈公式（已弃用）	✓	✓	✗	feedback:update
删除反馈公式（已弃用）	✓	✓	✗	feedback:delete
查看特定反馈	✓	✓	✓	feedback:read
列出反馈	✓	✓	✓	feedback:read
创建反馈	✓	✓	✗	feedback:create
及时创建反馈	✓	✓	✗	feedback:create
更新反馈	✓	✓	✗	feedback:update
删除反馈	✓	✓	✗	feedback:delete
批量摄取反馈	✓	✓	✗	feedback:create
创建反馈摄取令牌	✓	✓	✗	feedback:create
列出反馈摄取令牌	✓	✓	✗	feedback:create
用令牌创建反馈（无需身份验证）	✓	✓	✓	N/A（基于令牌）
列出反馈配置	✓	✓	✓	feedback:read
创建反馈配置	✓	✓	✗	feedback:create
更新反馈配置	✓	✓	✗	feedback:update

标注队列

用于 LLM 输出的人工复核队列。

操作	工作区管理员	工作区编辑器	工作区查看者	所需权限
列出标注队列	✓	✓	✓	annotation-queues:read
获取标注队列	✓	✓	✓	annotation-queues:read
创建标注队列	✓	✓	✗	annotation-queues:create
更新标注队列	✓	✓	✗	annotation-queues:update
删除标注队列	✓	✗	✗	annotation-queues:delete
填充标注队列	✓	✓	✗	annotation-queues:update
从队列获取运行	✓	✓	✓	annotation-queues:read
从队列获取运行（按索引）	✓	✓	✓	annotation-queues:read
获取运行的队列	✓	✓	✓	annotation-queues:read
获取队列总大小	✓	✓	✓	annotation-queues:read
获取队列总已归档	✓	✓	✓	annotation-queues:read
获取队列大小	✓	✓	✓	annotation-queues:read
向队列添加运行	✓	✓	✗	annotation-queues:update
更新队列中的运行	✓	✓	✗	annotation-queues:update
从队列删除运行	✓	✓	✗	annotation-queues:update
从队列删除运行（批量）	✓	✓	✗	annotation-queues:update
创建身份标注队列运行状态	✓	✓	✗	annotation-queues:update
导出已归档运行	✓	✓	✓	annotation-queues:read

自定义应用

用户在 LangSmith 内渲染的自写迷你 web 应用。见自定义应用。

操作	工作区管理员	工作区编辑器	工作区查看者	所需权限
列出自定义应用	✓	✓	✓	custom-apps:read
获取自定义应用	✓	✓	✓	custom-apps:read
创建自定义应用	✓	✓	✗	custom-apps:create
更新自定义应用	✓	✓	✗	custom-apps:update
删除自定义应用	✓	✓	✗	custom-apps:delete
删除自定义应用（批量）	✓	✓	✗	custom-apps:delete
下载自定义应用源码	✓	✓	✗	custom-apps:download
记录自定义应用查看	✓	✓	✓	custom-apps:read
全组织共享自定义应用	✓	✓	✗	custom-apps:update
认领（取消共享）自定义应用	✓	✓	✗	custom-apps:update

提示词

LangChain Hub 中的提示模板和链。

操作	工作区管理员	工作区编辑器	工作区查看者	所需权限
列出提示 repo	✓	✓	✓	prompts:read
查看提示 repo	✓	✓	✓	prompts:read
创建提示 repo	✓	✓	✗	prompts:create
在提示创建时应用资源标签	✓	✓	✗	prompts:tag_on_create
分叉提示 repo	✓	✓	✗	prompts:create
更新提示 repo	✓	✓	✗	prompts:update
删除提示 repo	✓	✓	✗	prompts:delete
列出提交	✓	✓	✓	prompts:read
查看提交	✓	✓	✓	prompts:read
推送提交	✓	✓	✗	prompts:update
列出 repo 标签	✓	✓	✓	prompts:read
获取所有标签	✓	✓	✓	prompts:read
创建标签	✓	✓	✗	prompts:tag
更新标签	✓	✓	✗	prompts:tag
删除标签	✓	✓	✗	prompts:tag
查看事件	✓	✓	✓	prompts:read
列出评论	✓	✓	✓	prompts:read
创建评论	✓	✓	✗	prompts:read
删除评论	✓	✓	✗	prompts:read
切换点赞	✓	✓	✗	prompts:read
优化提示	✓	✓	✗	prompts:update
列出优化作业	✓	✓	✓	prompts:read
创建优化作业	✓	✓	✗	prompts:create
更新优化作业	✓	✓	✗	prompts:update
删除优化作业	✓	✓	✗	prompts:delete
调用提示画布	✓	✓	✗	prompts:update
列出快捷动作	✓	✓	✓	prompts:read
创建快捷动作	✓	✓	✓	prompts:read
删除快捷动作	✓	✓	✓	prompts:read
更新快捷动作	✓	✓	✓	prompts:read

NOTE

某些提示操作对共享提示支持公开访问。

图表

自定义可视化和仪表盘。

操作	工作区管理员	工作区编辑器	工作区查看者	所需权限
列出图表	✓	✓	✓	charts:read
按 ID 获取图表	✓	✓	✓	charts:read
创建图表	✓	✓	✗	charts:create
更新图表	✓	✓	✗	charts:update
删除图表	✓	✓	✗	charts:delete
渲染图表	✓	✓	✓	charts:read
列出图表分区	✓	✓	✓	charts:read
按 ID 获取图表分区	✓	✓	✓	charts:read
创建图表分区	✓	✓	✗	charts:create
更新图表分区	✓	✓	✗	charts:update
删除图表分区	✓	✓	✗	charts:delete
渲染图表分区	✓	✓	✓	charts:read

部署

LangSmith Deployment 配置。

操作	工作区管理员	工作区编辑器	工作区查看者	所需权限
创建部署	✓	✓	✗	deployments:create
查看部署	✓	✓	✓	deployments:read
更新部署	✓	✓	✗	deployments:update
删除部署	✓	✗	✗	deployments:delete

模型价格表

用于计算运行成本的按 token 模型价格。见成本跟踪。

操作	工作区管理员	工作区编辑器	工作区查看者	所需权限
查看模型价格	✓	✓	✓	model-price-map:read
创建一个模型价格条目	✓	✓	✗	model-price-map:create
更新一个模型价格条目	✓	✓	✗	model-price-map:update
删除一个模型价格条目	✓	✓	✗	model-price-map:delete

NOTE

这些权限取代了先前门控模型价格的 runs:read 和 runs:create 检查。内置角色保留它们原有的访问。在此变更之后创建的自定义角色需要显式授予 model-price-map 权限；它们在自定义角色编辑器中作为各自的复选框出现。

工作区设置与管理

操作	工作区管理员	工作区编辑器	工作区查看者	所需权限
查看工作区信息	✓	✓	✓	workspaces:read
查看工作区统计	✓	✓	✓	workspaces:read
更新工作区（名称、描述）	✓	✗	✗	workspaces:manage
删除工作区	✓	✗	✗	workspaces:manage
查看工作区成员	✓	✓	✓	workspaces:read
查看活动工作区成员	✓	✓	✓	workspaces:read
查看待处理工作区成员	✓	✓	✓	workspaces:read
向工作区添加成员	✓	✗	✗	workspaces:manage-members
添加成员（批量）	✓	✗	✗	workspaces:manage-members
更新工作区成员角色	✓	✗	✗	workspaces:manage-members
移除工作区成员	✓	✗	✗	workspaces:manage-members
删除待处理工作区成员	✓	✗	✗	workspaces:manage-members
查看工作区追踪保留设置	✓	✓	✓	workspaces:read
更新工作区延长保留时长（Enterprise）	✓	✗	✗	workspaces:manage
查看用量限制	✓	✓	✓	workspaces:read
查看共享实体	✓	✓	✓	workspaces:read
批量取消共享实体	✓	✗	✗	workspaces:manage

标签

操作	工作区管理员	工作区编辑器	工作区查看者	所需权限
列出标签键	✓	✓	✓	workspaces:read
获取标签键	✓	✓	✓	workspaces:read
创建标签键	✓	✗	✗	workspaces:manage
更新标签键	✓	✗	✗	workspaces:manage
删除标签键	✓	✗	✗	workspaces:manage
列出标签值	✓	✓	✓	workspaces:read
获取标签值	✓	✓	✓	workspaces:read
创建标签值	✓	✗	✗	workspaces:manage
更新标签值	✓	✗	✗	workspaces:manage
删除标签值	✓	✗	✗	workspaces:manage
列出标签	✓	✓	✓	workspaces:read
列出资源的标签	✓	✓	✓	workspaces:read
列出资源的标签（批量）	✓	✓	✓	workspaces:read
列出打标	✓	✓	✓	workspaces:read
创建打标	✓	✗	✗	workspaces:manage
删除打标	✓	✗	✗	workspaces:manage

批量导出

操作	工作区管理员	工作区编辑器	工作区查看者	所需权限
列出批量导出	✓	✓	✓	bulk-exports:read
获取批量导出	✓	✓	✓	bulk-exports:read
获取批量导出运行	✓	✓	✓	bulk-exports:read
获取批量导出运行（单个）	✓	✓	✓	bulk-exports:read
创建批量导出	✓	✗	✗	bulk-exports:manage
取消批量导出	✓	✗	✗	bulk-exports:manage
获取批量导出目的地	✓	✓	✓	bulk-exports:read
获取批量导出目的地（单个）	✓	✓	✓	bulk-exports:read
创建批量导出目的地	✓	✗	✗	bulk-exports:manage
更新批量导出目的地	✓	✗	✗	bulk-exports:manage
获取已过滤的导出运行	✓	✓	✓	bulk-exports:read

TIP

bulk-exports:read 和 bulk-exports:manage 是专用权限，让你能通过自定义角色授予导出访问，而无需授予更宽的 workspaces:manage 作用域。这对需要导出追踪、但不应能管理工作区、成员或机密的安全团队服务密钥很有用。

MCP 服务器

用于扩展功能的 Model Context Protocol 服务器。

操作	工作区管理员	工作区编辑器	工作区查看者	所需权限
列出 MCP 服务器	✓	✓	✓	workspaces:read
获取 MCP 服务器	✓	✓	✓	workspaces:read
创建 MCP 服务器	✓	✓	✓	workspaces:read
更新 MCP 服务器	✓	✓	✓	workspaces:read
删除 MCP 服务器	✓	✓	✓	workspaces:read

Fleet

Fleet 工作区管理操作。

操作	工作区管理员	工作区编辑器	工作区查看者	所需权限
查看 Fleet 管理部分（用量、支出）	✓	✗	✗	fleet:read-admin-config
管理 Fleet 支出限制	✓	✗	✗	fleet:write-admin-config

用户级操作

这些操作对所有已身份验证用户可用，不需要特定的工作区或组织权限：

• 查看自己的用户资料
• 更新自己的用户资料
• 列出用户的组织
• 创建新组织
• 列出待处理工作区邀请
• 删除待处理工作区邀请
• 认领待处理工作区邀请
• 列出待处理组织邀请
• 删除待处理组织邀请
• 认领待处理组织邀请

权限继承

组织到工作区

• Organization Admin 自动在所有工作区拥有完全权限。
• Organization Operator 只有被显式加入带工作区级角色的工作区（或他们创建的工作区）时才能获得工作区访问。
• Organization User 和 Organization Viewer 只有被显式加入带工作区级角色的工作区时才能获得工作区访问。

有关详细角色定义，参阅组织角色和工作区角色。

工作区角色独立性

• 用户在不同工作区可以有不同工作区角色。
• 一个用户可能在一个工作区是 Workspace Admin，在另一个工作区是 Workspace Viewer。

---