# 用户与权限的基本概念
在管理和配置用户相关数据前，请先了解本章节的基本信息及概念。
#### 账号
当您首次使用华为云时注册的账号，该账号对其所拥有的资源及云服务具有完全的访问权限，可以重置用户密码、分配用户权限等。由于账号是付费主体，为了确保账号安全，建议您不要直接使用账号进行日常管理工作，而是创建用户并使用他们进行日常管理工作。
#### 用户（User）
用户是指在AstroZero中添加的IAM用户或WeLink用户，是应用的安装/开发者。
![](https://support.huaweicloud.com/usermanual-astrozero/public_sys-resources/note_3.0-zh-cn.png)
使用AstroZero前，请参照[了解我的当前账号](https://support.huaweicloud.com/usermanual-astrozero/astrozero_06_0004.html)中操作查看当前登录账号所具备的权限。
图1添加用户为开发者   
![](https://support.huaweicloud.com/usermanual-astrozero/zh-cn_image_0000001960126997.gif "点击放大")
#### 业务用户（PortalUser）
业务用户是指访问在AstroZero中开发的应用的用户账号，即应用的使用者。
![](https://support.huaweicloud.com/usermanual-astrozero/public_sys-resources/note_3.0-zh-cn.png)
**思考**：如何判断是用户还是业务用户呢？
例如，在AstroZero中注册了账号"A"，并使用账号"A"在AstroZero中开发或安装了一个应用"X"。账号"B"是通过应用"X"注册的账号，并登录使用应用"X"。这种情况下，账号"A"是用户（User），账号"B"是业务用户（PortalUser）。应用"X"也是支持游客访问的。
图2AstroZero中用户行为   
![](https://support.huaweicloud.com/usermanual-astrozero/zh-cn_image_0000001960286789.gif "点击放大")
#### 权限配置
在AstroZero中，通过权限配置（Profile）来控制用户、业务用户等的操作权限。AstroZero当前预置了如下几种Profile标准配置文件：
- System Administrator Profile：系统管理员，拥有AstroZero全部权限。
- Developer Profile：开发者权限，一般给用户使用，拥有此权限的用户可以在AstroZero进行开发，例如新增一个对象、为对象增加一个字段、新增一个流程等。
- Portal User Profile：业务用户的权限，一般给业务用户使用，拥有此权限的业务用户可以通过服务编排鉴权登录AstroZero。
- Anonymous User Profile：游客用户的访问权限，请根据自身业务需求，给Profile分配适当的权限。
- Standard User Profile：运行态权限，开通AstroZero服务时自带的权限，拥有这个权限可以运行系统中的流程、对系统已有对象进行记录的增删改查操作，但没有开发权限，如新增一个对象或新增一个流程等。
- NoCode Developer Profile：只有运行环境才会预置该权限，零代码应用开发权限。
- NoCode Manager Profile：只有运行环境才会预置该权限，零代码应用数据管理权限。
一种权限配置可以分配给多个用户，但每个用户只能属于某一个权限配置。权限配置（Profile）中，各权限项详细介绍，请参见[表1]。
除了默认的权限配置外，用户还可以在默认权限配置的基础上，自定义权限配置，具体操作请参见[新建扩展权限集](https://support.huaweicloud.com/usermanual-astrozero/astrozero_06_0011.html#astrozero_06_0011__zh-cn_topic_0000001428937084_section1722718146488)。
图3用户开发者权限   
![](https://support.huaweicloud.com/usermanual-astrozero/zh-cn_image_0000001960286805.gif "点击放大")
图4业务用户权限   
![](https://support.huaweicloud.com/usermanual-astrozero/zh-cn_image_0000001933047656.gif "点击放大")
图5游客用户访问权限   
![](https://support.huaweicloud.com/usermanual-astrozero/zh-cn_image_0000001932888268.gif "点击放大")
 表1权限项说明 
| 权限项      | 权限项说明                                        |
|:---|:---|
| 查看系统元数据  | 用户访问元数据的必要权限，仅用于界面提示作用，无法取消。                 |
| 开发应用     | 系统最高的权限，拥有此权限可定制系统所有可定制的地方，默认拥有其他权限。         |
| 查看所有用户   | 查看用户列表和用户详情的权限。                              |
| 查看角色     | 查看角色列表和角色详情的权限。                              |
| 查看权限管理   | 查看权限配置列表和权限配置详情的权限。                          |
| 查看扩展权限集  | 查看扩展权限集列表和扩展权限集详情的权限。                        |
| 查看组      | 查看组列表和查看组详情的权限。                              |
| 查看队列     | 查看队列列表和查看队列详情的权限。                            |
| 查看业务用户   | 查看业务用户列表和查看业务用户详情的权限。                        |
| 查看业务权限凭证 | 查看业务权限凭证列表和查看业务权限凭证详情的权限。                    |
| 查看告警     | 查看告警列表和告警详情的权限。                              |
| 管理告警     | 新增、修改告警定义的权限。                                |
| 查看BPM    | 查看BPM定义列表和详情的权限，包括BPM关联的决策表、触发器等。            |
| 管理BPM实例  | 修改BPM实例详情的权限。                                |
| 查看服务编排   | 查看服务编排定义列表和详情的权限。                            |
| 查看脚本     | 查看脚本列表和详情的权限。                                |
| 查看定时任务   | 查看定时任务列表和详情的权限。                              |
| 查看报表     | 查看报表列表和详情的权限。                                |
| 运行报表     | 查看报表运行实例的权限。                                 |
| 查看仪表板    | 查看仪表板列表和详情的权限。                               |
| 运行仪表板    | 查看仪表板运行实例的权限。                                |
| 查看所有数据   | 查看所有数据的权限，勾选此选项后，会忽略单个对象的权限。                 |
| 运行SQL    | 执行SQL的权限。                                    |
| 查看加密数据   | 查看加密数据明文的权限。                                 |
| 查看租户跟踪日志 | 查看租户跟踪日志的权限。                                 |
| 查看敏感隐私数据 | 控制是否允许，以数据对象的形式，查看部分敏感数据对象的权限，例如权限配置、连接器定义等。 |
| 管理数据     | 在数据控制台操作任意对象的权限。                             |
| 管理公告     | 控制开发者在工作台页面，是否有管理公告（新增、删除和编辑）的权限。            |
   
#### 工作队列
工作队列是用来记录一类具有相同权限和任务对象的成员集。当需要批量处理同一类用户权限时，可以通过创建工作队列来实现，即通过工作队列给业务用户在业务流转过程中，区分不同的权限。
工作队列支持以下功能：
- 绑定一个或多个对象。 若工作队列绑定了对象，涉及这些对象的用户任务（例如审批流）将会投递到该队列成员进行处理。
  
- 可以给工作队列配置一个公共邮箱，用于接收公共通知邮件。
- 可以给队列成员发送邮件。
- 在BPM中为泳道指定某个工作队列，此工作队列中全部用户都可以操作此泳道的流程。
图6新建队列   
![](https://support.huaweicloud.com/usermanual-astrozero/zh-cn_image_0000001960126985.png "点击放大")
#### 业务权限凭证
业务权限凭证用于控制接口的访问权限，AstroZero提供了配置权限脚本和配置API接口两种方式来控制API接口的访问权限。建议优先通过权限脚本进行权限验证，根据脚本的返回值判断下一步的操作。
- 对于配置了业务权限凭证的接口，需要在权限的"业务权限凭证"页签中接入相应的业务权限凭证，才可调用API接口。
  - 若用户（User）没有配置业务权限凭证，则继续校验Profile权限中的数据权限（例如执行服务编排、执行脚本、对象的增删改查、API读、API写权限）。
  
  - 若业务用户（PortalUser）没有配置业务权限凭证，调用接口直接报错，不会继续校验Profile权限中的数据权限。
   
- 对于未配置业务权限凭证的接口，则需要查看内置系统参数"bingo.permission.customapi.check"取值，该参数控制公共接口未绑定业务权限凭证时的逻辑。
  - 若该参数取值为"是"，公共接口未绑定业务权限凭证时，业务用户（PortalUser）无法访问该接口；对于用户（User），则继续校验Profile权限中的数据权限。
  
  - 若该参数取值为"否"，公共接口未绑定业务权限凭证时，业务用户（PortalUser）可直接访问该接口，无需鉴权；对于用户（User），则继续校验Profile权限中的数据权限。
  
  
  例如：内置参数bingo.permission.customapi.check配置为"是"，接口未绑定业务权限凭证，即使在权限设置中勾选"API读"与"API写"权限，业务用户也无法操作对象数据。若业务用户需要操作对象数据，请将该内置参数配置为"否"。
  查看和配置该系统参数的方法为：在AstroZero管理中心选择"系统管理 \> 系统参数"，在"内置系统参数"查看和配置该参数。
  图7内置系统参数   
  ![](https://support.huaweicloud.com/usermanual-astrozero/zh-cn_image_0000001960126989.png "点击放大") 
 
#### 角色（Role）
角色是某类用户的集合，更多场景指向部门组织结构，如CEO、经理、员工等，角色之间可以有上下级关系。
图8新建角色   
![](https://support.huaweicloud.com/usermanual-astrozero/zh-cn_image_0000001960286801.png "点击放大")
#### 扩展权限集
扩展权限集可以指派给用户或者权限Profile，在权限Profile详情页的"扩展权限集"页签中可添加扩展权限集。
例如，用户A和用户B拥有一样的权限Profile时，若需要给A和B设置不同的权限，又不希望更改权限Profile，可通过设置扩展权限集来区分用户A和用户B的权限。
#### 公共组
公共组是用户的集合，当这个集合中涉及不止一个用户、一种角色时，需要创建公共组。公共组内可以包含用户、业务用户、其他公共组、角色或带有下属的角色。一个用户可以加入多个公共组中。
图9添加成员   
![](https://support.huaweicloud.com/usermanual-astrozero/zh-cn_image_0000001933047692.png "点击放大")