Mô hình quản trị
Bốn yếu tố tách biệt quyết định điều gì xảy ra khi ai đó dùng portal — ai chi trả, họ thuộc nhóm nào, vai trò cho phép họ làm gì, và mỗi tài nguyên được chia sẻ cho ai.
Bốn yếu tố tách biệt quyết định điều gì xảy ra khi ai đó dùng portal: ai chi trả, họ thuộc nhóm nào, vai trò cho phép họ làm gì, và mỗi tài nguyên được chia sẻ cho ai. Giữ chúng tách bạch giúp các quy tắc luôn dễ đoán. Nếu một trang khác có vẻ mâu thuẫn với trang này, hãy theo trang này.
Quy tắc chính
- Phòng ban chi trả — mỗi người một phòng: ngân sách, hạn mức và mô hình được phép.
- Nhóm cấp thêm vai trò và gom người để chia sẻ. Nhóm không bao giờ giữ tiền.
- Vai trò là nguồn quyền hạn duy nhất.
- Tài nguyên thuộc về tổ chức, mỗi tài nguyên có quy tắc chia sẻ riêng.
- Quy tắc chặn luôn thắng — kể cả với chính chủ sở hữu tài nguyên.
Toàn bộ mô hình trong một hình
Mọi yêu cầu đều trả lời cùng những câu hỏi, theo đúng thứ tự này. Hãy đi qua từng bước với một người cụ thể: Tran Mai, cộng tác viên làm việc cùng đội Sales.
Tran Mai được tính chi phí cho phòng Sales. Sales quyết định ngân sách, hạn mức và các mô hình cô được chọn. Mỗi người thuộc đúng một phòng ban — ai chưa được phân sẽ nằm ở General.
Tổ chức — mỗi bản triển khai có đúng một — gồm bốn thành phần:
| Thành phần | Mỗi người có | Quan hệ |
|---|---|---|
| Người dùng | — | Được cấp từ nhà cung cấp danh tính qua SCIMCấp tài khoản qua SCIMSCIM provisioningChuẩn mà nhà cung cấp danh tính dùng để tự động tạo, cập nhật và xoá tài khoản portal, để người nghỉ việc mất quyền truy cập.Mở trong Thuật ngữ |
| Phòng ban | Đúng một | Quyết định ngân sách, hạn mức và mô hình bị chặn của mỗi người; có thể được nêu tên trong quy tắc phạm vi hiển thị |
| Nhóm | Bao nhiêu cũng được | Cấp vai trò cho thành viên; có thể được nêu tên trong quy tắc phạm vi hiển thị |
| Tài nguyên | — | Sáu loại ở cấp tổ chức, mỗi loại có quy tắc phạm vi hiển thị riêng |
Năm câu hỏi
Mọi yêu cầu đi qua cùng các cửa kiểm tra. Trượt ở một cửa thì các cửa sau không chạy nữa.
| # | Câu hỏi | Được trả lời ở |
|---|---|---|
| 0 | Tài nguyên này có thuộc tổ chức không? | Mọi thao tác; không khớp thì trả về “không tìm thấy” |
| 1 | Người gọi là ai? | Danh tính |
| 2 | Họ được làm gì? | Vai trò và quyền hạn |
| 3 | Họ được làm điều đó với những gì? | Phạm vi hiển thị |
| 4 | Họ được làm bao nhiêu? | Ngân sách và chính sách |
Vai trò trả lời phần động từ, phạm vi hiển thị trả lời phần danh từ. Câu hỏi 4 trả về một con số — ngân sách, hạn mức — nên có quy tắc riêng thay vì dùng lại vai trò. Câu hỏi 0 vẫn chạy kể cả với Org Owner.
Ví dụ thực tế: quy tắc chặn thắng
Tran Mai hỏi vì sao cô không tìm thấy agent Pricing Assistant mà cả phòng Sales đều nhắc tới. Đây là những gì portal nhìn thấy.
| Người dùng | Tài nguyên (agent) |
|---|---|
| Tran Mai · mai.tran@ecloudvalley.com | Pricing Assistant |
| Phòng ban: Sales | Chủ sở hữu: Le Minh · Restricted |
| Nhóm: Contractors, Sales Research | Cho phép: Sales |
| Vai trò: Org User | Chặn: Contractors |
-
Tài khoản đang hoạt động và agent có tồn tại — tiếp tục
Người gọi được xác định và tài nguyên thuộc về tổ chức.
-
Khớp một quy tắc chặn — cô thuộc nhóm Contractors → bị ẩn
Quy tắc chặn được xét đầu tiên và kết thúc việc kiểm tra.
-
Quy tắc cho phép phòng Sales không bao giờ được xét tới — bỏ qua
Thuộc phòng Sales không cứu được cô, và kể cả là chủ sở hữu agent cũng vậy.
Muốn cấp quyền cho cô, hãy đưa cô ra khỏi nhóm Contractors hoặc gỡ quy tắc chặn — thêm một quy tắc cho phép khác không thay đổi gì. Xem đầy đủ thứ tự quy tắc tại Phạm vi hiển thị.
Phòng ban và nhóm: so sánh nhanh
Trong danh sách người dùng, hai khái niệm này trông khá giống nhau nên rất hay bị nhầm. Thực ra chúng trả lời hai câu hỏi khác nhau.
| Phòng banPhòng banDepartmentĐơn vị chi trả: sở hữu ngân sách, hạn mức và các mô hình mà thành viên được dùng. Mỗi người thuộc đúng một phòng ban.Mở trong Thuật ngữ | NhómNhómGroupTập hợp người dùng để cấp vai trò và nêu tên trong quy tắc chia sẻ. Một người có thể thuộc nhiều nhóm; nhóm không bao giờ giữ tiền.Mở trong Thuật ngữ | |
|---|---|---|
| Trả lời câu hỏi | Ai chi trả, và bao nhiêu? | Được làm và được thấy thêm gì? |
| Mỗi người có | Đúng một — General nếu chưa được phân | Bao nhiêu cũng được |
| Nắm giữ | Ngân sách, hạn mức, mô hình bị chặn | Vai trò tùy chỉnh |
| Trong quy tắc chia sẻ | Có | Có |
| Không bao giờ | Cấp quyền hạn hay sở hữu tài nguyên | Giữ tiền hay được tính là phòng ban |
Phòng ban nắm hạn mức, ngân sách, các mô hình chat bị chặn, việc phân bổ chi phí và chính sách mặc định, đồng thời tương ứng với một LiteLLM team mang ngân sách đó. Thành viên phòng ban là danh sách người dùng được gán trực tiếp. General là phòng ban hệ thống được tạo sẵn: ai chưa được phân vào đâu sẽ nằm ở đây, nên mọi yêu cầu đều có đúng một nơi chịu chi phí. Một người có thể được đặt hạn mức riêng, thay thế hạn mức của phòng ban cho riêng người đó — chi tiêu của họ vẫn tính vào phòng ban, và các mô hình phòng ban chặn vẫn bị chặn với họ. Xem Ngân sách và chính sách và Phòng ban.
Nhóm gom các vai trò tùy chỉnh và được quy tắc phạm vi hiển thị tham chiếu. Người dùng cũng có thể giữ vai trò tùy chỉnh trực tiếp; quyền hạn của họ được gộp từ vai trò tổ chức và quyền từ mọi nhóm họ thuộc. Xem Nhóm.
Tài nguyên
Có sáu loại tài nguyên cấp tổ chức: agent, skill, prompt, application (chính là Connected apps mà người dùng sử dụng), artifact và kho tri thức. Không loại nào thuộc sở hữu của phòng ban. Chủ sở hữu là hệ thống hoặc một người dùng, và quyền truy cập đến từ quy tắc riêng của từng tài nguyên: mở cho toàn tổ chức hay không, cộng với danh sách cho phép và chặn nêu tên phòng ban, nhóm hoặc người dùng. Thứ tự xét quy tắc chính xác nằm ở Phạm vi hiển thị.
- Phạm vi hiển thị không bao giờ cấp quyền hạn, mô hình, hạn mức hay quyền dùng application.
- Mọi thứ nằm trong một kho tri thức — từng ghi nhớ và đoạn trích tài liệu — đều thừa hưởng câu trả lời của kho tri thức đó.
- Ghi nhớ của riêng bạn nằm trong kho tri thức do bạn sở hữu, không có quy tắc và không xuất hiện trong danh sách nào.
Cấp quản trị
Không có cấp vai trò theo nhóm làm việc: không có TEAM_OWNER, không có TEAM_ADMIN. Org Admin quản lý các phòng ban.
Lời mời hỏi phòng ban và vai trò trên cùng một biểu mẫu, nhưng hai trường mang nghĩa khác nhau:
- Phòng ban là ngân sách mà người đó được tính phí vào. Trường này ghi rõ: nó không mang lại quyền quản trị nào.
- Vai trò là thẩm quyền trên toàn tổ chức. Giao diện luôn gọi vai trò quản trị là Organisation admin.
Bốn quyền hạn không thể ủy quyền: chúng chỉ nằm trên vai trò có sẵn và không bao giờ được đưa vào vai trò tùy chỉnh.
| Quyền hạn | Ai giữ | Ủy quyền được? |
|---|---|---|
org.settings.manage | Org Owner, Org Admin | Không |
billing.manage | Chỉ Org Owner | Không |
user.impersonate | Org Owner, Org Admin | Không |
impersonation.approve | Org Owner, Org Admin | Không |
Mức trần này được thực thi thế nào: Vai trò và quyền hạn › Giới hạn cấp quyền. Cách View as (đăng nhập thay) hoạt động: Phê duyệt truy cập › Đăng nhập thay.
Chế độ thư mục
Mỗi tổ chức chọn chế độ thư mục một lần, khi được tạo:
PORTAL— portal quản lý ai tồn tại, họ thuộc nhóm nào và phòng ban nào.IDP— một nhà cung cấp danh tính bên ngoài quản lý những điều đó, còn quyền dùng các tính năng AI vẫn do portal quyết định.
Mỗi chế độ khóa những thao tác ghi nào, và tổ chức ở chế độ IDP lấp đầy phòng ban từ nhóm của nhà cung cấp ra sao: Phòng ban › Chế độ thư mục.
Vì sao lại thiết kế như vậy
Vì sao phòng ban và nhóm không phải là một?
Tiền cần một câu trả lời duy nhất; quyền thì không. Nếu nhóm mang ngân sách, người thuộc ba nhóm sẽ có ba ngân sách và không ai biết khoản nào chi trả. Mỗi người một phòng ban giúp mọi lượt gọi mô hình chỉ có đúng một hóa đơn, còn nhóm thì vẫn tự do chồng lên nhau.
Vì sao phòng ban không thể sở hữu agent?
Phòng ban chỉ trả lời một câu hỏi — ai chi trả — và mỗi người thuộc đúng một phòng ban. Nếu phòng ban sở hữu agent, việc chuyển một người sang ngân sách khác sẽ âm thầm thay đổi những agent họ được dùng. Vì vậy agent thuộc về tổ chức, còn quy tắc chia sẻ của từng agent vẫn có thể cho phép hoặc chặn cả một phòng ban.
Vì sao quy tắc chặn thắng cả chủ sở hữu?
Để chỉ một quy tắc là đủ thu hồi quyền truy cập, bất kể ai đã tạo tài nguyên. Người rà soát tuân thủ có thể chặn một nhóm mà không phải đổi chủ sở hữu, và không quy tắc cho phép, công tắc toàn tổ chức hay quyền sở hữu nào âm thầm gỡ được điều đó.
Vì sao tài nguyên bị ẩn trông như không tồn tại?
Báo “không có quyền” tức là xác nhận tài nguyên có tồn tại. Portal trả lời “không tìm thấy” cho cả tài nguyên không tồn tại lẫn tài nguyên bị ẩn, nên danh sách, đường link hay địa chỉ đoán thử đều không làm lộ những gì bạn không được xem.
Bên dưới hệ thống
Mã tổ chức và mã trạng thái
Mọi bảng gốc đều mang mã của tổ chức. Bước kiểm tra tổ chức (câu hỏi 0) chạy trước mọi thứ khác, kể cả với Org Owner. Người ngoài nhận 404 thay vì 403, vì 403 xác nhận rằng mã đó tồn tại. 403 nghĩa là “có tồn tại nhưng bạn không được phép”; 404 nghĩa là “bạn không có quyền biết”.
Áp dụng vào thực tế
Phân phòng ban Tính chi phí vào đúng ngân sách. 
Tạo nhóm Gom người để cấp vai trò và chia sẻ. 
Cấp vai trò tùy chỉnh Trao một nhóm quyền hạn hẹp. 
Chia sẻ agent Cho phép hoặc ẩn với người và nhóm. 
Đặt ngân sách và hạn mức Quyết định mức chi của từng phòng. 
Duyệt yêu cầu truy cập Duyệt ngân sách và quyền đọc hội thoại.