跳到主要内容

成员、角色与客户用户

本章面向租户管理员，介绍属于你租户的人员、他们持有的角色，以及你为自己的客户提供的登录账号，让客户可以查看自己的设备，而看不到其他任何人的设备。

侧边栏 Settings（设置）下的两个页面负责这些工作：Members（成员）和 Roles（角色）。每个页面都需要各自的权限。Members 需要 member:read 才能列出人员，需要 member:write 才能修改；Roles 需要 role:read 才能列出角色，需要 role:write 才能修改。内置的租户管理员角色拥有全部四项权限。没有相应权限时，该页面不会出现在你的侧边栏中。

成员​

Members 按电子邮件地址排序，列出属于本租户的所有人。对每个人显示：

  • 其姓名（如果已设置）和电子邮件地址，
  • 其持有的 Roles（角色），
  • 其 Can see（可见范围）：Whole tenant（整个租户），或其所限定的客户，
  • 其状态：Enabled（已启用）、Disabled（已禁用），或在邀请等待接受期间显示 Invited（已邀请）。来自租户身份提供商的成员关系还会标记为 Identity provider（身份提供商）。

每行末尾的菜单包含针对该人员的操作。你自己的那一行没有操作：没有人能在这里修改自己的成员关系，必须由另一位管理员来修改。标记为 Identity provider 的成员关系同样没有操作，因为它由身份提供商管理，需要在那里修改。

邀请成员​

选择 Invite member（邀请成员）并填写：

  • Email（电子邮件）：此人登录所用的地址。
  • Roles（角色）：此人可以做什么。你只能授予自己也持有其全部权限项的角色。
  • Can see（可见范围）：Whole tenant（整个租户），或 Specific customers（指定客户）后再选择最多 16 个客户。仅限客户的成员就是客户用户，见下文。

再次选择 Invite member 以创建邀请。控制台随后会显示 Invitation link（邀请链接）。请复制它并自行发送给对方：DeviceChain 不会通过电子邮件发送它。

该链接只显示一次。服务器不保留可再次显示给你的副本，因此如果链接丢失，请重新签发邀请（见下文），这会使旧链接失效。链接有效期为 7 天。在对方接受之前，其成员关系保持禁用状态，并标记为 Invited。

无论对方是否已有 DeviceChain 账号，返回的结果都相同，因此邀请某人并不会让你得知对方是否已有账号。

接受邀请​

邀请链接会打开 Join a tenant（加入租户）页面。对方可以：

  • 选择 New account（新账号）并设置密码，或
  • 选择 I have an account（我已有账号），使用邀请所发送到的账号登录，可以用其密码，也可以用单点登录。

如果你的租户要求单点登录，密码方式会被拒绝，页面会要求对方改用 SSO 登录。接受后，对方会进入该租户。如果对方属于多个租户，则由其选择要打开哪一个。

无法使用的链接（已过期、已撤销、已被使用，或发送给了另一个账号）无论原因如何，都只会得到同一个回答：“This invitation cannot be used”（此邀请无法使用）。请索取新的邀请。

修改成员的访问权限​

在某一行的菜单中：

  • Edit access（编辑访问权限）修改成员的 Roles 及其 Can see。
  • Disable（禁用）让成员无法进入本租户，但不将其移除；Enable（启用）让其重新进入。
  • Remove（移除）将成员移出本租户。其账号会保留，之后可以再次邀请。
  • 对于仍标记为 Invited 的成员，Reissue invitation（重新签发邀请）会显示新链接并使旧链接失效，Revoke invitation（撤销邀请）则使链接失效而不签发新链接。

变更会在成员的会话下次刷新时生效：15 分钟之内，客户用户则为 5 分钟之内。收回访问权限同样如此。成员无需退出登录，其在其他租户中的会话也不受影响。

有些变更会被拒绝，并附带说明原因的消息：

  • 你不能授予自己未持有的权限项，也不能修改持有你所没有的权限项的成员。
  • 你不能修改自己的成员关系。
  • 你不能让租户中不再有任何一个已启用、可见整个租户且能管理成员的成员。
  • 由身份提供商管理的成员关系不能在这里修改。

邀请​

在成员列表下方，Invitations（邀请）按从新到旧的顺序列出本租户签发的每一份邀请，包括其状态（Waiting（等待中）、Accepted（已接受）、Expired（已过期）或 Revoked（已撤销））、签发时间和过期时间。

角色​

Roles 列出你可以授予成员的角色。Defined by（定义方）说明每个角色的来源：

  • Platform（平台）角色由你的实例运维人员定义，例如内置的查看者和租户管理员角色。你可以分配它们，也可以打开查看其权限项，但只有运维人员才能修改。
  • This tenant（本租户）角色是你自己的角色，只有你的租户拥有。

选择 New role（新建角色）来定义一个角色。为它设置令牌（之后不可更改）、名称和描述，然后从清单中选择其 Authorities（权限项）。清单按权限项作用的领域分组，因此 device:read 和 device:write 一起位于 device 之下。* 授予全部租户权限项，包括后续版本中新增的权限项。

你自己未持有的权限项显示为灰色：任何人都不能授予超出自己所拥有的权限。角色只能携带租户权限项，因此实例级权限从不会出现在可选项中。

修改角色后，所有持有该角色的人会在下次会话刷新时获得变更，如修改成员的访问权限中所述。只要还有成员持有该角色，Delete role（删除角色）就会被拒绝；请先从这些成员身上移除该角色。

客户用户​

客户用户是访问权限仅限于你的一个或多个客户的成员。用它为你的客户提供专属登录账号：他们能看到自己的设备，而看不到其他任何人的设备。

客户用户能看到什么​

客户用户的侧边栏只有 Dashboard（主页）、Dashboards（仪表板）、Alarms（告警）和 Devices（设备），其中：

  • Devices 列出当前分配给其客户的设备。设备被移交给其他客户后，会立即从其列表中消失，无需任何人编辑该用户。
  • 设备页面显示其实时状态、最新读数、事件、命令，以及（在你的安装环境运行更新服务时）其更新。事件和告警是设备属于其某个客户期间记录的那些：接收设备的客户看不到此前的历史，而移交设备的客户保留其拥有该设备期间的历史。
  • Alarms 列出这些设备在其客户拥有期间产生的告警。如果角色允许，客户用户可以确认和清除这些告警。
  • Dashboards 列出共享给其客户的已发布仪表板，并打开其已发布版本。他们永远看不到草稿。

其他一切，从设备配置文件和规则到连接器、审计和设置，都不在他们的侧边栏中；通过地址直接打开此类页面会把他们带回主页。无论其角色如何，服务器都会拒绝他们执行这些操作，因此即使角色对员工而言允许修改配置，客户用户也无法修改你的配置。他们也看不到设备的分配、分面或存储的配置。

右上角的租户标识显示他们所限定的范围及其角色，例如 Acme · viewer（先是客户名称，然后是角色的令牌）。

要允许客户用户发送命令，请授予其包含 command:write 的角色。之后他们可以向自己客户的设备发送命令，向其他任何设备发送都会被拒绝。

在客户页面上​

控制台中客户的页面有两个与此相关的选项卡：

  • Devices（设备）列出分配给该客户的设备，即其用户能看到的设备。请在设备自己的 Assignment（分配）选项卡中分配设备。
  • Users（用户）列出仅限于该客户的成员。Invite user（邀请用户）打开邀请时，Can see 已设置为该客户。只有能读取成员的管理员才能看到此选项卡。

与客户共享仪表板​

只有在仪表板共享给客户用户的某个客户并且已发布之后，客户用户才能看到它。在 Dashboards 列表中，对某个仪表板选择 Share（共享）并选择客户。参见与客户共享。

共享的仪表板只向每个客户用户显示其自己的数据。请把它的组件绑定到设备：绑定到客户、资产或区域的组件需要读取关系图来查找其设备，而客户用户没有这项权限，因此该组件不会向他们显示任何内容。

尚未支持的内容​

  • 尚不支持将成员限定于一组设备（而不是客户）。
  • 分配给客户的资产和区域不会显示给其用户。
  • 客户不能管理自己的用户，由你的管理员邀请和修改他们。

相关内容​