控制谁能看到什么
约 20 分钟 · 一个安全组、已分配的成员、限定范围的访问权限
您刚刚成为 PlaidCloud 工作区的管理员，有人正等着加入，但并非每个人都应该看到所有内容。本教程完整走一遍流程：让合适的人进入工作区，把一组权限打包成安全组，为其分配成员，然后将该安全组可访问的范围逐步收窄到项目，以及在已配置的情况下收窄到具体的行。
您将接触到的各个部分（组织、工作区、成员、安全组）以固定方式相互关联。如果对这一模型还不熟悉，请先阅读身份与访问管理 (IAM)，其中有示意图。简而言之：组织包含工作区，工作区包含成员，而安全组是一个工作区内的一组权限，可以为其分配成员。这里的任何设置都不会跨工作区生效，每个工作区各自管理自己的访问权限。
以下大部分操作都在工作区左侧的身份选项卡中进行。您需要具备在其中管理安全的足够管理权限。
只能授予自己拥有的权限。 保存安全组的权限时，PlaidCloud 会自动忽略您自己不具备的任何权限，甚至不会向您显示。如果需要授予的某项功能不在权限矩阵中，请联系拥有该权限的人。权限矩阵只能编辑您能够控制的内容。
步骤 1：让合适的人进入工作区
Section titled “步骤 1：让合适的人进入工作区”安全组只能分配给已在工作区中的成员，因此先从这里开始。成员必须属于组织，并出现在成员管理表单中，才能被添加到工作区。
向工作区添加新成员：
- 打开身份，选择成员选项卡。
- 在下拉菜单中点击全部，列出当前成员。
- 点击添加工作区成员，填写必填字段，然后点击创建。
新成员会自动收到包含登录凭据的欢迎电子邮件。若要把已在组织中的人员添加到此工作区，请使用 Organization Settings（右上角菜单）→ 工作区 → 成员图标，然后将其拖入工作区并点击提交。如果此人尚未加入组织，请使用同一屏幕上的邀请图标，通过电子邮件向其发送邀请。
成员资格是外层的门槛，而不是细粒度的控制。 成为工作区成员，只意味着可以进入该工作区。进入之后能做什么，则由其所分配的安全组决定，这正是接下来三个步骤的内容。
有关完整的添加、邀请和移除流程，请参阅管理工作区成员和成员管理。
步骤 2：创建安全组
Section titled “步骤 2：创建安全组”安全组是一个具名的权限集合。与其逐个为人员授予功能，不如只定义一次权限集合，再将人员分配进去。
- 打开身份，选择安全选项卡。
- 在下拉菜单中点击安全组。现有安全组会显示在一个表单中。
- 点击创建安全组，并为其起一个清晰、基于角色的名称，例如
Analysts、Report Viewers、Workspace Admins。 - 若要设置该安全组的权限，请点击其旁边最左侧的图标打开权限矩阵，选择该安全组应具备的功能，然后保存。
权限矩阵中可用的权限来自工作区中的应用，每个应用会发布各自的一组权限。若要在创建安全组之前浏览某个应用提供的全部权限，请在安全下拉菜单中点击 Security Bins，再通过左侧的标签图标打开某个应用。该视图仅供参考，实际授予权限需在上述安全组权限矩阵中进行。
安全组宜少不宜多。 工作区允许创建不限数量的安全组，但每多一个安全组，审核时就多一份需要理清的内容。请按人员共有的实际角色来设计安全组，并在满足工作需要的前提下尽量减少数量。
步骤 3：将成员分配到安全组
Section titled “步骤 3：将成员分配到安全组”定义好安全组后，就可以把人员放进去。
- 在身份 → 安全 → 安全组中，点击该安全组旁边的成员图标。
- 将应拥有此安全组权限的人员从未分配的成员列拖到已分配的成员列。若要取消某人的安全组，将其反向拖回即可。
- 保存。
这就是完整的授权过程：位于已分配的成员列中的成员拥有该安全组包含的所有权限，不在其中的成员则没有。
空分配不会产生任何效果，这是有意为之。 在已分配的成员列为空时保存安全组，不会产生任何更改，系统也会告知您这一点。若要取消某个安全组对所有人的权限，请移除其权限或删除该安全组，不要试图通过清空成员列表来撤销。
可选：将安全组设为新成员的默认分配
Section titled “可选：将安全组设为新成员的默认分配”如果每位新成员都应从一个基线权限开始（例如对共享报表的读取权限），可以将某个安全组标记为默认。这样新成员会被自动分配到该安全组，您无需手动操作。创建或编辑安全组时，请勾选安全组窗口底部的默认分配给新用户。
步骤 4：限定安全组的可访问范围
Section titled “步骤 4：限定安全组的可访问范围”现在，成员已拥有一组明确定义的权限。PlaidCloud 通过逐层递进的方式限定访问范围，即组织 → 工作区 → 项目，因此您可以由外向内逐层收紧：
| 层级 | 控制内容 | 设置位置 |
|---|---|---|
| 工作区 | 成员是否能进入工作区 | 工作区成员资格（步骤 1） |
| 安全组 | 进入后拥有哪些功能 | 安全组权限（步骤 2） |
| 项目 | 架构师及其他项目级权限 | 安全组权限，按项目设置 |
| 行（可选） | 安全组能看到受控表的哪些行 | 行访问（见下文） |
对大多数团队而言，前三个层级已经足够：让人员加入工作区，只为每个安全组授予其角色所需的权限，并通过安全组权限限定项目级权限，例如项目上的架构师。对某个项目没有任何权限的安全组，根本无法对该项目执行操作。
需要按行控制时
Section titled “需要按行控制时”当两个人应查看同一张表但看到不同的行时（例如每位区域经理只能看到自己所在区域），请使用行访问。它允许您将项目上的某一列（例如 region）指定为决定安全组可见行的依据，然后将特定的值（East、Central）授予特定的安全组。这是粒度最细的层级，并且是可选的：如果不启用，安全组可以看到其其他权限允许的所有行。
项目架构师可以在表资源管理器中的表上、列的筛选器菜单中，或项目的安全选项卡中打开行访问，保存后立即生效，仪表板中约一分钟内生效，无需再应用任何其他操作。具体操作（限制某一列、授予值，以及跟踪仪表板中的变更）详见管理行访问，本教程有意只介绍到这里。
行访问权限跟随用户，在其读取数据的任何地方都有效。 保存后，安全组的行授权会筛选其成员在仪表板中以及在以查看者身份读取数据的应用中看到的内容，这与 Panel 应用以已登录用户身份进行身份验证时使用的按查看者模型相同。有关该路径，请参阅读取数据与已登录用户。
限制行还会收窄可更改项目的人员范围。 一旦项目限制了某一列，只有其架构师和租户管理员才能更改其工作流、步骤、用户定义函数、计划和变量，其他人仍可运行它们。请参阅谁可以更改限制行的项目。
步骤 5：检查您的工作
Section titled “步骤 5：检查您的工作”在宣告完成之前，请确认各项分配与您的预期一致。
- 打开身份 → 安全，在下拉菜单中点击安全组审核。
- 在同一处查看所有成员和安全组的分组成员关系。
- 若要保留记录，请点击表中用户名最右侧的图标，然后选择导出 CSV 或导出 XLSX。
每当角色发生变化时，请重新运行此审核，这是唯一能展示谁属于哪个安全组的完整全貌的屏幕。
设置完成。 现在，您已拥有一个安全组、分配给它的成员，以及从工作区一直限定到项目的访问权限，并且在需要时还可以细化到具体的行。
- 管理安全组和分配：安全组、行访问、默认安全组和安全审核的完整参考
- 身份与访问管理 (IAM)：访问模型、示意图，以及各类访问指南的位置
- 组织与工作区详解：您在步骤 4 中所限定的各层级之间的边界
- 管理工作区成员：邀请、添加和移除成员
- 读取数据与已登录用户：同样的按查看者访问模型如何延续到以当前查看者身份读取数据的应用中