用户与权限的基本概念

账号

当您首次使用华为云时注册的账号，该账号对其所拥有的资源及云服务具有完全的访问权限，可以重置用户密码、分配用户权限等。由于账号是付费主体，为了确保账号安全，建议您不要直接使用账号进行日常管理工作，而是创建用户并使用他们进行日常管理工作。

用户（User）

用户是指在AstroZero中添加的IAM用户或WeLink用户，是应用的安装/开发者。

使用AstroZero前，请参照了解我的当前账号中操作查看当前登录账号所具备的权限。

图1 添加用户为开发者

业务用户（PortalUser）

业务用户是指访问在AstroZero中开发的应用的用户账号，即应用的使用者。

思考：如何判断是用户还是业务用户呢？

例如，在AstroZero中注册了账号“A”，并使用账号“A”在AstroZero中开发或安装了一个应用“X”。账号“B”是通过应用“X”注册的账号，并登录使用应用“X”。这种情况下，账号“A”是用户（User），账号“B”是业务用户（PortalUser）。应用“X”也是支持游客访问的。

图2 AstroZero中用户行为

权限配置

在AstroZero中，通过权限配置（Profile）来控制用户、业务用户等的操作权限。AstroZero当前预置了如下几种Profile标准配置文件：

• System Administrator Profile：系统管理员，拥有AstroZero全部权限。
• Developer Profile：开发者权限，一般给用户使用，拥有此权限的用户可以在AstroZero进行开发，例如新增一个对象、为对象增加一个字段、新增一个流程等。
• Portal User Profile：业务用户的权限，一般给业务用户使用，拥有此权限的业务用户可以通过服务编排鉴权登录AstroZero。
• Anonymous User Profile：游客用户的访问权限，请根据自身业务需求，给Profile分配适当的权限。
• Standard User Profile：运行态权限，开通AstroZero服务时自带的权限，拥有这个权限可以运行系统中的流程、对系统已有对象进行记录的增删改查操作，但没有开发权限，如新增一个对象或新增一个流程等。
• NoCode Developer Profile：只有运行环境才会预置该权限，零代码应用开发权限。
• NoCode Manager Profile：只有运行环境才会预置该权限，零代码应用数据管理权限。

一种权限配置可以分配给多个用户，但每个用户只能属于某一个权限配置。权限配置（Profile）中，各权限项详细介绍，请参见表1。

除了默认的权限配置外，用户还可以在默认权限配置的基础上，自定义权限配置，具体操作请参见新建扩展权限集。

图3 用户开发者权限

图4 业务用户权限

图5 游客用户访问权限

工作队列

工作队列是用来记录一类具有相同权限和任务对象的成员集。当需要批量处理同一类用户权限时，可以通过创建工作队列来实现，即通过工作队列给业务用户在业务流转过程中，区分不同的权限。

工作队列支持以下功能：

• 绑定一个或多个对象。

  若工作队列绑定了对象，涉及这些对象的用户任务（例如审批流）将会投递到该队列成员进行处理。

• 可以给工作队列配置一个公共邮箱，用于接收公共通知邮件。
• 可以给队列成员发送邮件。
• 在BPM中为泳道指定某个工作队列，此工作队列中全部用户都可以操作此泳道的流程。

图6 新建队列

业务权限凭证

业务权限凭证用于控制接口的访问权限，AstroZero提供了配置权限脚本和配置API接口两种方式来控制API接口的访问权限。建议优先通过权限脚本进行权限验证，根据脚本的返回值判断下一步的操作。

• 对于配置了业务权限凭证的接口，需要在权限的“业务权限凭证”页签中接入相应的业务权限凭证，才可调用API接口。
  • 若用户（User）没有配置业务权限凭证，则继续校验Profile权限中的数据权限（例如执行服务编排、执行脚本、对象的增删改查、API读、API写权限）。
  • 若业务用户（PortalUser）没有配置业务权限凭证，调用接口直接报错，不会继续校验Profile权限中的数据权限。
• 对于未配置业务权限凭证的接口，则需要查看内置系统参数“bingo.permission.customapi.check”取值，该参数控制公共接口未绑定业务权限凭证时的逻辑。
  • 若该参数取值为“是”，公共接口未绑定业务权限凭证时，业务用户（PortalUser）无法访问该接口；对于用户（User），则继续校验Profile权限中的数据权限。
  • 若该参数取值为“否”，公共接口未绑定业务权限凭证时，业务用户（PortalUser）可直接访问该接口，无需鉴权；对于用户（User），则继续校验Profile权限中的数据权限。

  例如：内置参数bingo.permission.customapi.check配置为“是”，接口未绑定业务权限凭证，即使在权限设置中勾选“API读”与“API写”权限，业务用户也无法操作对象数据。若业务用户需要操作对象数据，请将该内置参数配置为“否”。

  查看和配置该系统参数的方法为：在AstroZero管理中心选择“系统管理 > 系统参数”，在“内置系统参数”查看和配置该参数。

  图7 内置系统参数
  

角色（Role）

角色是某类用户的集合，更多场景指向部门组织结构，如CEO、经理、员工等，角色之间可以有上下级关系。

图8 新建角色

扩展权限集

扩展权限集可以指派给用户或者权限Profile，在权限Profile详情页的“扩展权限集”页签中可添加扩展权限集。

例如，用户A和用户B拥有一样的权限Profile时，若需要给A和B设置不同的权限，又不希望更改权限Profile，可通过设置扩展权限集来区分用户A和用户B的权限。

公共组

公共组是用户的集合，当这个集合中涉及不止一个用户、一种角色时，需要创建公共组。公共组内可以包含用户、业务用户、其他公共组、角色或带有下属的角色。一个用户可以加入多个公共组中。

图9 添加成员