一、概述
DataBuddy 的权限管理分为 控制台级 与 工作空间级 两层，与 CAM 策略相互独立。DataBuddy 内的角色与 CAM 策略不直接绑定。
权限模型由两部分组成：
·功能权限（RBAC） ：通过角色封装的功能使用权限，例如"是否可以创建工作流"、"是否可以管理通知渠道"。功能权限通过为用户/用户组分配 控制台角色 或 空间角色 实现。
·实体对象访问权限（ACL） ：直接绑定到具体实体对象（工作流、Notebook、SQL 文件、计算资源、Dashboard、模型实验、模型服务等）的访问权限，例如"user A 对 Workflow1 拥有 可编辑 权限"。空间管理员和实体的 owner 默认拥有该实体的所有权限，其他用户根据 ACL 配置访问。
注意：用户实际拥有的权限是 直接授权 + 通过用户组继承的权限 的并集。
三、控制台角色
| 控制台角色 | 权限范围 |
| 控制台管理员 | 拥有 DataBuddy 控制台的全部功能权限，包括工作空间管理、用户/用户组管理、平台设置等。具有 AdministratorAccess 策略的子账号默认是控制台管理员，且无法修改其控制台角色。 |
| 控制台成员 | 拥有控制台普通访问权限，仅可进入自己被加入的工作空间，不能创建工作空间或管理用户。 |
四、空间角色
| 空间角色 | 权限范围 |
| 空间管理员 | 对工作空间内所有功能板块拥有完整的读写删权限，可以管理空间用户、角色、通知、Git 连接等。 |
| 空间成员 | 对工作空间内除空间管理（用户管理、角色权限、通知管理、Git 连接）以外的功能板块拥有读写删权限。 |
| 自定义角色 | 你可以按需创建自定义空间角色，并按菜单页面为该角色分配读 / 写 / 删除权限。 |
注意：主账号默认是 DataBuddy 控制台管理员，并默认成为所有工作空间的空间管理员。
五、在控制台管理用户
控制台用户管理面向 整个 DataBuddy 实例 ，决定哪些 CAM 子账号可以登录 DataBuddy 以及他们的控制台角色。
六、添加控制台用户
1. 登录 DataBuddy 控制台，在左侧导航栏选择 用户管理 > 用户 。
2. 单击 添加用户 。
3. 选择需要引入的 CAM 子账号（支持多选）。
注意：仅 CAM 子账号可以被添加为 DataBuddy 用户。如果列表中没有合适的子账号，请前往 CAM 控制台 创建。
1. 选择 控制台角色 ：控制台管理员 或 控制台成员。
2. 单击 确定 完成添加。
七、修改控制台用户角色
1. 在 用户管理 > 用户 列表中，单击目标用户所在行的角色编辑图标。
2. 在弹出窗口中选择新的控制台角色，单击 确定 。
注意：主账号、以及具有 AdministratorAccess 策略的子账号默认是控制台管理员，不支持修改 控制台角色，对应的编辑图标会置灰。
八、移除控制台用户
1. 在 用户管理 > 用户 列表中，单击目标用户所在行的移除 。
2. 在确认窗口中阅读影响说明：
·以该用户身份运行的作业将失败；
·以该用户身份发布的仪表盘将不可访问。
1. 单击 确认 完成移除。
注意：警告
注意：移除控制台用户是不可撤销 的操作，移除后该用户将无法再使用 DataBuddy。
九、管理控制台用户组
控制台用户组用于批量管理用户的工作空间访问。常用操作包括：
·在 用户管理 > 用户组 中单击 添加 创建用户组（名称限制 128 字符）；
·进入用户组的成员 Tab 添加 / 移除成员；
·修改用户组名称、删除用户组（删除后该组的所有授权会从其成员中一并移除）。
十、在工作空间管理成员
工作空间成员管理面向 当前工作空间 ，决定哪些控制台用户/用户组可以进入该空间，以及他们在空间内的角色。
十一、添加空间成员
1. 进入目标工作空间，在左侧导航栏选择 工作空间设置 > 用户管理 > 用户 。
2. 单击 添加用户 ，从控制台用户列表中选择一到多名用户。
3. 为新成员分配 空间角色 （空间管理员、空间成员或自定义角色）。
4. 单击 确定 完成添加。
十二、通过用户组添加成员
在 用户管理 > 用户组 标签页单击 添加用户组 ，将控制台用户组整体引入空间并赋予空间角色。用户组中包含的用户会同步出现在用户列表中（通过用户组进来的成员，在用户列表中显示但不能单独移除 ，需要从用户组整体移除）。
注意：鼠标 hover 用户组的 成员数量 可以快速查看该组当前包含的全部成员。
十三、修改成员的空间角色
支持单个修改和批量修改两种方式：
·单个修改 ：单击用户行的角色编辑图标，在弹窗中选择新角色。
·批量修改 ：勾选多名用户，单击列表上方的 批量修改角色 ，统一指定新的空间角色。
十四、移除空间成员
1. 在 工作空间设置 > 用户管理 > 用户 列表中，找到目标用户。
2. 单击该用户所在行的 移除 。
3. DataBuddy 会列出"将以该用户身份运行的作业"清单。请先确认这些作业的影响，并在必要时调整作业的"运行身份"配置后，再单击 确认 。
注意：通过用户组进入空间的成员无法单独移除，你需要在 用户组 标签页移除整个用户组，或在控制台层面将该用户从用户组中移除。
十五、自定义角色管理
如果预设的"空间管理员"和"空间成员"无法满足细分场景，你可以创建自定义空间角色。
1. 进入 工作空间设置 > 用户管理 > 角色 。
2. 单击 新建自定义角色 。
3. 输入角色名称和描述。
4. 按菜单（数据接入、Studio、Catalog、工作流、数据探索、仪表盘、ChatBI、模型实验、模型管理、模型服务、智能体、应用、计算资源 等）为该角色分配 读 / 写 / 删 权限点。
5. 单击 保存 完成创建。
自定义角色支持复制、编辑、删除操作。
十六、实体对象访问权限（ACL）
ACL 用于限定 谁可以操作某个具体的实体对象 。DataBuddy 中常用的实体对象与权限类型：
| 实体对象 | 支持的权限类型 |
| 计算资源 | 可管理、可编辑、可查看、可使用 |
| 文件夹 / 文件 | 可管理、可编辑、可运行、可查看 |
| 工作流 | 可管理、可运行、可查看 |
| Notebook 文件 | 可管理、可编辑、可运行、可查看 |
| SQL 文件 | 可管理、可编辑、可运行、可查看 |
| 数据接入任务 | 可管理、可编辑、可运行、可查看 |
| 数据接入数据源 | 可管理、可编辑、可查看、可使用 |
| Dashboard | 可管理、可编辑、可运行、可查看 |
| ChatBI 空间 | 可管理、可编辑、可运行、可查看 |
| 模型实验 | 可管理、可编辑、可查看 |
| 模型服务 | 可管理、可编辑、可查看、可使用 |
注意：Catalog、Schema、表、视图、卷、函数、模型等数据资产的权限属于 Catalog 权限模型 ，由数据目录章节统一介绍，不在工作空间 ACL 中管理。
十七、权限语义
| 权限 | 含义 |
| 可管理 | 拥有对象的全部控制权：编辑、运行、删除、修改 ACL、转交 owner 等 |
| 可编辑 | 可编辑对象内容（如修改 Notebook 单元格、修改 SQL 代码、修改字段映射），但不能修改 ACL 或删除对象 |
| 可运行 | 可运行对象（如运行 Notebook、运行工作流、查询 Dashboard），但不能编辑代码或配置 |
| 可查看 | 仅可查看对象内容（详情、参数、运行历史），不能运行、编辑或修改 |
| 可使用 | 可在使用方场景中引用对象（如在任务中选择某个数据源 / 计算资源），但不能修改对象配置 |
注意：如果用户对某个实体没有任何权限（含 可查看），则该实体在列表中不可见 。如果用户对功能按钮没有权限，按钮置灰，hover 提示“你没有访问此功能的权限，请联系负责人授权”。
十八、配置实体对象的 ACL
不同模块的 ACL 入口不同（详细配置请参考各模块文档），通用入口为：
1. 进入实体对象的列表页或详情页。
2. 单击操作列的权限管理或详情页右上角的权限。
3. 在权限管理弹窗中，选择需要授权的用户或用户组。
4. 为每个用户 / 用户组分配上述权限类型之一。
5. 单击保存 。
十九、权限继承（文件夹）
DataBuddy Studio 中的文件夹支持权限继承：
·文件夹中的对象继承父文件夹的所有权限设置 ；
·当你修改一个父文件夹的权限时，其下所有对象的权限会同步更新；
·即使用户没有父文件夹的权限，只要拥有子对象的权限，他们仍然可以看到父文件夹的名称 （用于路径定位），但无法访问其他兄弟对象。
20、使用限制
·CAM 子账号前置 ：DataBuddy 用户必须是已存在的 CAM 子账号，主账号无法被作为普通用户添加。
·超管不可修改角色 ：主账号、具有 AdministratorAccess 策略的子账号控制台角色固定为控制台管理员。
·用户组成员的移除 ：通过用户组进入工作空间的成员不能单独从空间移除，必须从用户组整体移除。
·owner 默认权限 ：实体对象的创建者（owner）默认拥有 可管理 权限，无法被取消。
22、用户在控制台中已被引入，为什么在工作空间内仍看不到？
控制台用户和空间成员是两层独立管理。控制台用户需要在 工作空间设置 > 用户管理 中再次添加，并赋予空间角色，才能进入工作空间使用功能。
23、用户对自己创建的 Notebook 提示"无操作权限"如何排查？
通常是因为该 Notebook 所在的父文件夹被设置了限制性权限。检查 Studio 文件夹 的 ACL 配置，确认用户对父文件夹有 可查看 以上权限。
24、如何把一个用户的工作空间所有权（owner）转交给其他人？
实体对象的 owner 转交需要在对应实体的 权限管理弹窗 或详情页中操作。语义模型、指标等部分实体目前暂不支持转交 owner ，详见各模块的 ACL 表格。