# 精细化权限管理
如果您需要对购买的KooDrive资源，给企业中的员工设置不同的访问权限，以达到不同员工之间权限隔离的目的，您可以在KooDrive创建、管理部门和团队空间时，设置不同的授权策略。具体配置方法，请参考[企业设置](https://support.huaweicloud.com/usermanual-koodrive/kd_03_0002.html)。
- 例如您希望员工拥有部门空间的所有权限，比如向团队空间上传文件、下载文件和删除文件等权限，那么您可以将该员工的角色设置为部门管理员，或者权限设置为"可管理"。
- 例如您的员工是某个部门的普通用户，您希望他仅能查看部门空间内的文件目录而不能进行其他操作，此时您可以将该员工的角色设置为普通用户，权限设置为"仅查看目录"。
#### KooDrive权限
在华为云Console上开通KooDrive的企业租户使用的是华为云账号，开通KooDrive服务后，KooDrive会以该华为云账号创建一个系统管理员账号，用该账号登录KooDrive业务后，可以进行组织（部门和用户）和空间管理。通过该系统管理员创建的用户，需要为其分配角色以赋予相应的权限，用户权限可以进行详细分配和管理，这一过程称为授权。授权后，用户就可以基于被授予的权限操作KooDrive对应拥有权限的资源。系统管理员可以对成员进行权限管理，可管理成员可以对除管理员和可管理成员以外的成员进行权限管理。
KooDrive的权限管理采用的基于角色的访问控制的策略，权限与角色相关联，用户通过成为适当角色的成员而得到该角色所赋予的权限。各个角色的权限说明参考[表1]，普通用户可被分配的权限说明参考[表2]。可管理成员是被管理员授予可管理权限的用户，这些用户为部门空间、群组空间的管理者，拥有对应空间的资源和成员管理权限，权限由系统管理员、部门管理员或群组管理员设置。
 表1KooDrive系统角色 
| 角色名称  | 角色说明                                                                                                                          | 角色类型 |
|:---|:---|:---|
| 系统管理员 | 系统管理员，除不能查看非本人名下的个人空间下的文件以外，其他KooDrive所有的资源均能操作。                                                                              | 系统角色 |
| 部门管理员 | 部门管理员，拥有该权限的用户可以拥有本部门的操作权限，如管理部门空间和部门成员的个人空间。**请注意** **，虽然管理员可以管理部门成员的个人空间，比如调整个人空间大小、删除个人空间等，但无法查看成员的个人空间文件，这些文件仅对文件所有者可见。** | 系统角色 |
| 群组管理员 | 群组创建者默认为"群组管理员"，显示为"拥有者"，群组管理员管理本群组的资源和成员。                                                                                    | 系统角色 |
| 普通用户  | 普通用户，权限由管理员、可管理成员授予。具体可授予权限参见[表2]。                                                           | 系统角色 |
   
 表2权限说明 
| 权限名称      | 可见列表 | 预览 | 上传 | 下载 | 分享 | 移动 | 复制 | 重命名 | 删除 | 新建文件夹 | 回收站管理 | 成员管理 |
|:---|:---|:---|:---|:---|:---|:---|:---|:---|:---|:---|:---|:---|
| 可管理       | √    | √  | √  | √  | √  | √  | √  | √   | √  | √     | √     | √    |
| 全部权限      | √    | √  | √  | √  | √  | √  | √  | √   | √  | √     |       |      |
| 仅不可分享     | √    | √  | √  | √  |    | √  | √  | √   | √  | √     |       |      |
| 仅不可删除     | √    | √  | √  | √  | √  | √  | √  | √   |    | √     |       |      |
| 可上传/下载/分享 | √    | √  | √  | √  | √  |    |    |     |    | √     |       |      |
| 可上传/下载    | √    | √  | √  | √  |    |    |    |     |    | √     |       |      |
| 仅上传       | √    | √  | √  | √  |    |    |    |     |    | √     |       |      |
| 仅下载       | √    | √  |    | √  |    |    |    |     |    |       |       |      |
| 仅预览       | √    | √  |    | √  |    |    |    |     |    |       |       |      |
| 仅查看目录     | √    |    |    |    |    |    |    |     |    |       |       |      |
   
**部门空间的权限控制**
- 系统管理员、部门管理员负责成员权限（管理员除外）的管理；可管理成员也可管理其他成员的权限（管理员和可管理成员除外）。
- 系统管理员能够查看所有部门的空间内容，部门管理员、可管理成员仅能查看本部门的文件内容，这三个角色都可以对文件/文件夹的权限进行权限设置，并且拥有完全的操作权限。
- 在任一部门里，系统管理员和部门管理员均具有管理员权限，能够修改非管理员的权限，然而，管理员之间不能相互修改权限，如需更改部门管理员，必须通过管理控制台进行角色调整。可管理成员之间也不能相互修改权限。
**群组空间的权限控制**
- 系统管理员负责成员权限的管理；群组管理员和可管理成员也可以管理成员权限，其中，可管理成员可以对成员（拥有者和可管理成员除外）进行权限管理；群组管理员可修改任何成员的权限。
- 系统管理员无法查看所有群组的空间内容，仅群组空间的成员可以看到本群组空间的内容。群组管理员和拥有可管理成员可以对群组空间的文件/文件夹进行权限管理，并且拥有完全的操作权限。