一、背景

👤 适用对象：刚接手有数BI / 指标平台 / 知数Agent 运维或管理的同学。
🎯 文档目标：用 10 分钟搞懂「谁能看、看什么、谁能改、改什么」，并照着步骤把权限配起来。

权限管理是所有 BI 产品都会涉及的重要部分，目的是对不同的人访问资源进行权限控制，避免因权限缺失或操作不当引发隐私数据泄露等风险。

有数BI 的权限体系设计初衷是：既能满足企业里复杂的业务场景，又尽量简洁易用。分三层协同工作：

• 平台级（企业域管理）：管「企业里有哪些人、有哪些模块、整体安全策略」。
• 项目级（项目中心-权限管理）：管「某个项目内有谁、谁能操作哪些模块/资源、能看到多少数据」。

二、权限体系总览

2.1 平台级

进入方式：右上角头像 → 企业域管理（或平台管理）。私有化版本入口名可能是「平台管理」。

平台级的关键配置项（均在 域配置 下）：

• 组织架构：建立多级部门，按需「引用」到项目中。
• 人员信息：统一用户管理入口，可单个/批量导入用户，按需「引用」到项目中。
• 模块权限配置：控制全局的可见模块，系统预设「全部模块权限」授予全体用户。⚠️如需划分不同业务部门的模块可见权限时，务必在「全部模块权限 → 成员」取消全体用户选项，模块控制才会真正生效。
• 项目信息：管理域内项目，需域主/域管理员创建项目即可使用，支持「引用」组织架构、人员信息到项目中。⚠️用户必须进入项目才能正常使用功能模块，仅在域内不可用。
• 平台权限配置（选配）：配置「域管理员」，把部分域管理菜单权限下放，释放域主工作量。
• 系统自定义角色配置（选配）：建立平台级角色，对所有项目生效，可在项目内快速引用系统角色，不同项目中无需重复创建角色。
• 资源交接：离职场景下，把离职人创建的报告/模型等资源一键转交给接收人。

2.2 项目级

用户最终的权限=角色权限 ∪ 资源权限∪ 数据权限∪ 资源创建者权限（全部取并集）

⚠️ 唯一例外：资源的创建者，对该资源的权限与角色无关、直接与用户绑定。例如某用户只有「阅览者」角色，但他创建了报告 A，则他对 A 拥有完整权限，不受阅览者角色限制。

资源类型：数据连接、数据准备、数据模型、报告、大屏PRO、数据表格、数据门户、数据填报、指标平台。知数模块的管理权限独立，下文单独讲解。

用户分类（2类）

权限分类（3类）

角色分类（4类）：

分级授权（适合多业务线的大企业）：把角色进一步分为 一级角色（可编辑） 与 二级角色（仅阅览），并设二级管理员——项目管理员把部分资源的授权权下放给二级管理员，由他管对应资源，避免一个管理员管所有。

2.3 知数（业务助手）权限

知数Agent 的权限在「业务助手-权限管理」中配置，叠加在项目级之上：

用户可见范围（三选一）：

管理员：

资源权限范围：

三、案例分享

新客户刚接入有数 BI，问得最多的其实是同一类问题：
"我的组织架构和人员怎么快速搬进来？"
"权限要怎么分才不乱？"
本章用 3 个真实客户场景，带你把权限体系从 0 搭到 1。先对号入座，再照步骤操作。

场景选择指引（先看这里）

场景一：通过接口自动同步组织架构和人员信息

适用客户：内部已有 OA / HR 系统，希望把组织架构和人员自动同步到有数 BI，避免重复手工录入。

你能完成两件事

1. 同步组织架构
2. 同步人员信息

跟着下面两个步骤操作，新用户即可搭起一套完整可用的权限体系。

步骤一：对接组织架构

用 API 把已有组织架构同步到有数 BI。

基本信息:

请求参数:

注意事项：

• 如果部门已经被删除了，被删除部门的修改，不要放到 updatedOrgs 发给有数。可以放到 deletedOrgs 发过来重复删除
• 部门负责人列表，目前只取第一个负责人，最好第一个元素是部门的主要负责人
• 如果部门或子部门下还有直属员工，或者部门下还有子部门，均无法删除部门
• deletedOrgCodes 中的部门，如果不传 forceDeleteOrg: false ，会递归的删除该部门下的所有部门，并冻结所有人员。
• deletedOrgCodes 被删除的部门的应用项目，如果在 updatedOrgs 中有同样的 orgCode，会在添加的时候被恢复

输入样例:

{
    "companyName": "xxx公司", // 可选字段，如果传了会更改公司名
    "updatedOrgs": [{ // 新增或更新的部门
        "orgCode": "xxx", // 部门编码，要保证全局唯一
        "name": "部门名称",
        "parentOrgCode": "上级部门编码", // 可选，如果不传，说明是一级部门
        "orgAdminUniqueIds": ["account1", "account2"], // 部门负责人列表，目前只取第一个负责人
        "description": "部门描述"
    }],
    "forceDeleteOrg": false,  // 是否强制删除部门
    "deletedOrgCodes": ["code1", "code2", "code3"] // 必传，需要删除的部门的编码，可以重复删除，如果不删除可以传一个空数组
}

步骤二：对接人员信息

用 API 把人员批量导入，一并同步其所属部门。

基本信息:

接口说明:

使用对外接口文档中的/api/dash/user/batchImport接口 ，在导入用户的过程中，会一并同步组织架构的关系（非组织架构）

该接口的 users 字段新增 userOrgs 字段，表示用户当前直属于哪些部门，以及在这些部门里的角色

请求参数:

users[ ].userOrgs 单项结构：

注意事项：

1. 第一次调用 [(部门A, leader)] ，会把这个用户加入部门A，且作为负责人
2. 第二次调用 [(部门A, normal)]，这个用户仍然在A，但不是负责人了
3. 第一次调用 userOrgs 说这个用户在A部门
4. 第二次调用 userOrgs 说这个用户在B,C部门
5. 第三次调用 userOrgs 说这个用户在 E,F,G 部门
6. 最终这个用户在 EFG 部门

输入样例:

{
    "token": "167817564178376dcd64c0bebedc9b161bb8a",
    "users": [{
        "uniqueId": "wanglibing6@admin.com",
        "userOrgs": [{
            "orgCode": "4BnnSF6KcKnY",
            "orgRole": "normal"
        }],
    }],
    "returnOrgFailedUsers": true //如果有用户的 org 没同步成功，返回报错信息
}

返回样例:

{
    "code": 200,
    "result": [ // 如果设置了 returnOrgFailedUsers
      {
        "uniqueId": "maomao",
        "message": "code1 dosen't exist!"
      }
    ]
}

场景二：人工导入组织架构和人员信息

适用客户：原组织架构和人员都靠表格手工维护，本次采购 BI 希望把已有用户先建进系统。

你能完成三件事

1. 搭建组织架构
2. 导入人员信息
3. 维护人员与组织的关系

步骤一：搭建组织架构

入口：企业域管理-组织架构

目前组织架构只能手动建层级，不支持导入快速搭建。

操作	步骤	图例
创建一级部门	点击加号、右击企业层级添加子部门即可
创建子部门	右击部门名称选择添加子部门
修改部门	右击部门名称，选择编辑部门应用项目：部门会被引导到某些项目中，可在项目内根据组织架构划分权限
删除部门	右击部门名称，选择删除。当前部门下存在直属成员，或部门下存在子部门时无法被删除

步骤二：导入人员信息

入口：企业域管理-人员信息

操作	步骤	图例
单个/多个新建用户	点击新增后出现弹窗，默认显示一个用户配置框，点击添加按钮，可添加多个用户配置框
批量导入用户	点击新增后出现弹窗，点击批量添加，点击下载模板，按照模板的字段填写对应信息即可。文件上传后会在页面呈现用户信息
编辑用户	点击右侧编辑，可调整基础用户信息

步骤三：维护人员与组织架构的关系

入口1：企业域管理-组织架构

入口2：企业域管理-人员信息

操作	步骤	图例
对组织绑定人员	选择某个组织，添加成员。支持单个账号添加，输入@唤起人员列表；支持批量添加，弹窗呈现人员列表，批量勾选即可。
对人员绑定组织	选择某个组人员，编辑所属部门，选择组织即可。一个账号支持加入多个组织

场景三：系统内各类权限配置

适用客户：新域已就绪，需配置平台、项目、模块权限及角色定义。

你能完成三件事

1. 配置平台权限
2. 配置项目权限
3. 配置知数（业务助手）权限

步骤一：配置平台权限

前置条件：域主或域管理员账号。

模块权限：进入「企业域管理-域配置-模块权限配置」，检查模块是否全部开启，成员是否配置全体。

项目管理：进入「企业域管理-项目信息」，新建项目并分配项目管理员。

将组织架构引入项目：进入「企业域管理-组织架构」，编辑部门选择应用到哪个项目。

域管理员配置（选配）：进入「企业域管理-域配置-平台权限配置」，可添加多个域管理员，协助域主管理。

系统自定义角色配置（选配）：进入「企业域管理-域配置-系统自定义角色配置」，域级别定义角色，各类项目均可使用。

资源交接：人员离职后，可将资源和所属权一并交接给其他人。

步骤二：配置项目权限

前置：项目管理员账号。

检查组织架构：上一步骤完成组织架构引入项目，在项目中检查组织架构是否正确。红色感叹号表示该组织成员未加入当前项目，下面讲述如何添加。

拉人进项目：进入「项目中心-权限管理-用户管理」，添加已在域内的用户，支持按组织架构选择。

建角色并分配：进入「项目中心-权限管理-角色管理」，可以使用系统内置角色或新建角色，配置模块与操作权限；在用户管理里把角色赋给成员。⚠️注意：一个用户含多个角色时，权限取并集。

详细配置参考：https://study.sf.163.com/documents/read/manual/3role_manage.md

配资源权限（选配）：进入「项目中心-权限管理-资源权限管理」，可根据单个资源，对用户配置独立权限。⚠️注意：用户同时存在角色权限和资源权限时，所有权限取并集。

详细配置参考：https://study.sf.163.com/documents/read/manual/resource_manage.md

配数据权限（选配）：进入「项目中心-权限管理-数据权限管理」，对标数据的行/列权限进行细节配置；对大区等场景，选「动态值」把用户属性与字段匹配。⚠️注意：用户含多个数据权限时，权限取并集。

• 详细配置参考：
  • BI模块：https://study.sf.163.com/documents/read/manual/data_role.md
  • 指标模块：https://study.sf.163.com/documents/read/manual/date20260420151507.md

权限申请（选配）：在角色/资源权限内，可对所有用户赋予无权限仍可见能力，意为用户仅可查看资源名称，无法查看资源详情。可进入「项目中心-审批管理-资源权限审批」，开启权限申请审批流，让用户自助申请、审批人线上审批。⚠️注意：不同模块的审批流需要独立配置，可在上方切换模块。

详细配置参考：https://study.sf.163.com/documents/read/manual/approval.md#2.%20%E8%B5%84%E6%BA%90%E6%9D%83%E9%99%90%E5%AE%A1%E6%89%B9

步骤三：配置知数（业务助手）权限

前置：域内含知数模块；项目管理员及以上权限的账号。

详细配置参考：https://study.sf.163.com/documents/read/manual/date20260811111231.md

定可见范围：进入「知数-管理后台-业务助手管理-权限管理」，在「用户列表」定义当前助手能被多少人看到。

配二级助手管理员：在「管理员列表」按需添加二级管理员，辅助项目管理员完成业务助手管理工作。

• 助手管理员：等于项目管理员，能够操作业务助手内的所有配置项。
• 二级管理员：不支持配置二级管理员，不支持配置资源权限；其他权限和管理员一致。

定资源权限：在「资源权限管理」定义用户在当前助手内问答输出的结果展示是否受项目权限约束。

四、常见问题（FAQ）

Q1：看不到某张报告，怎么排查？

A：用户最终权限是「角色 ∪ 用户组 ∪ 部门 ∪ 创建者」的并集。先到「用户管理-权限详情」看他的实际权限，再确认他是否拥有含该报告查看权的角色，以及报告本身的资源授权是否包含他。

Q2：为什么某用户能改他没配权限的报告？

A：他很可能是该报告的创建者。创建者权限与角色无关，优先于角色生效。

Q3：知数助手里，不同用户看到的资源不同？

A：同时受「项目内角色/资源/数据权限」和「助手资源权限范围」双重约束。若助手设为「仅可查看本人有权限资源」，用户在该项目本就无权限的资源，在助手里也看不到。

Q4：二级管理员能删除项目成员吗？

A：不能。二级管理员只能增删当前助手内的用户，无法管理项目级的用户。

Q5：配置了自定义模块，但不生效？

A：检查「全部模块权限」的成员里是否还挂着「全体用户」——首次启用模块权限时，必须取消它，控制才会生效。