Ролі, адабрэнні, мадэрацыя і аўдыт

Гэтая старонка аб'ядноўвае чатыры вэб-экранныя інтэрфейсы, якія прымаюць рашэнні **хто можа што рабіць** і як кантралююцца рызыкоўныя дзеянні: **Ролі**, **Зацверджанні**, **Умеранасць** і **Аўдыт**. ## З чаго пачаць: базавая налада бяспекі Калі вы толькі што пачалі, разумны мінімум — тры дзеянні: 1. **Прызначце ролі людзям** На **Ролі** экран дае кожнаму падыходзячы ролю: `owner` / `admin` / `operator` / `member`Роля кіруе абодвума дазволамі і [бачнасць укладкі](/be/v1.0/webui/overview#role-based-visibility)Убудаваны ролевыя функцыі нельга змяніць — пры неабходнасці стварыце свае ўласныя з адпаведным дазволам сетка 2. **Уключыць апавяшчэнне аб рызыкоўных дзеяннях.** Настройце, якія выклікі інструмента патрэбныя пацвярджэнне (глядзі [Зацверджанні](/be/v1.0/security/approvals)) — такія дзеянні тады зямля ў чарзе на **Зацвярджэнні** экран і не будзе працаваць без вашага Зацвердзіць 3. **Усталяваць забароненыя тэмы** На **Умеранасць** экран, пералічыце тэмы Агент павінен адмовіцца — па адной у радку. **Сеткаваны ўзаемазвяз, асобна.** Абмежаванне доступу да адміністравання праз інтэрфейс карыстальніка па IP (спіс дазволеных IP) і ізаляцыя сеткі настроены не тут, але апісаны ў [Сетка, аўдыт і ізаляваная](/be/v1.0/security/network-audit-airgapped); уключэнне аднаразовага ўваходу (SSO) для прадпрыемства дзеля абароны `/admin/*` ёсць у [Першы ўвод](/be/v1.0/getting-started/first-login#enable-enterprise-sso-production). ## Ролі Гэта **Ролі** экран кіруе ролямі RBAC. Убудаваныя ролі толькі для чытання (значок «убудаваны»); ролю, якая выкарыстоўваецца, нельга выдаліць. Ролі, якія могуць быць прызначаныя чалавеку, `owner`, `admin`, `operator`, `member`. Стварэнне/рэдагаванне ролі — гэта мадальнае акно з назвай, апісаннем і **сетка галачак дазволу**: **Чытаць** і **Напісаць** калёнкі на дамен. Write азначае read. Дазволы захоўваюцца як `domain:read` / `domain:write` / `domain:*` (альбо `*` для ўсяго). Кожная роля паказвае колькасць выкарыстанняў і папярэдні прагляд дамена. Роля — гэта тое, што кіруе [бачнасць укладкі](/be/v1.0/webui/overview#role-based-visibility). ## Зацверджанні Гэта **Зацвярджэнні** экран - гэта чарга чакання **рызыкоўныя выклікі інструмента**Кожны радок: шчыт-папярэджанне, назва інструмента, абрэзаныя аргументы (Падрабязнасці адкрываюць поўны JSON), і **Сцвердзіць** / **Адхіліць** кнопкі. Адхіленае выклік не выконваецца. Калі шлюз зацвярджэння адключаны, на экране адлюстроўваецца ўтульны пусты стан. Налада таго, якія інструменты патрабуюць зацвярджэння, апісана ў [Зацверджанні](/be/v1.0/security/approvals). ## Пасля скіду пароля адміністратара кіраванага воблачнага сэрвісу Скід воблака змяняе толькі загрузку `admin` пароль уліковага запісу і закрывае актыўныя сеансы гэтага ўліковага запісу. Гэта не змяняе іншых карыстальнікаў, ролі, налады SSO або ключы API. Увайдзіце зноў, выкарыстоўваючы аднаразовы пароль, паказаны [портал кліента](/be/v1.0/portal/instance#reset-the-managed-cloud-administrator-password). Для самастойна размешчанага выпадку выкарыстоўвайце лакальны [`aihummer set-password` працэдура](/be/v1.0/getting-started/first-login#change-the-password-immediately) замест гэтага; кліенцкі партал не абарачвае ўласныя ўліковыя дадзеныя. ## Абмежаванні ўмеранасці Гэта **Умеранасць** экран — гэта адзіны тэкставы блок для шаблонаў забароненых тэм, па адным на радок. Захаванне выдаляе пустыя радкі. Агент павінен **адмаўляць** пералічаныя тэмы. Гэта простая, жорсткая перашкода над паводзінамі агента; у адносінах да `refusal_style` глядзець на [профіль агента](/be/v1.0/webui/agents#behavior-sections). ## Аўдыт Гэта **Аўдыт** Экран — гэта старонкавы журнал дзеянняў (50 радкоў на старонку, «папярэдняя / наступная», лічыльнік «ад–да / усяго»). Гэта даказальная гісторыя змен і адчувальных аперацый. Для аўдыту патрэбны План бізнесу або вышэйшы ўзровень; у Community экран паказвае падказку аб абнаўленні, а не памылку. ## Далей - [RBAC](/be/v1.0/security/rbac) — поўная мадэль дазволаў - [Зацверджанні](/be/v1.0/security/approvals) — вароты з адабрэннем чалавека - [Бар'еры бяспекі](/be/v1.0/security/guardrails) і [Аўдыт](/be/v1.0/operations/observability).