Nhóm

NhómNhómGroupTập hợp người dùng để cấp vai trò và nêu tên trong quy tắc chia sẻ. Một người có thể thuộc nhiều nhóm; nhóm không bao giờ giữ tiền.Mở trong Thuật ngữ gom người lại cho hai việc: cấp thêm vai trò tùy chỉnh cho thành viên, và được nêu tên trong danh sách cho phép hoặc chặn của một tài nguyên. Ngoài ra nhóm không làm gì khác — không bao giờ giữ ngân sách và không bao giờ được tính là phòng ban.

Quy tắc chính

1. Mỗi người nhiều nhóm. Ai cũng có thể thuộc bao nhiêu nhóm tùy ý.
2. Nhóm cấp thêm vai trò tùy chỉnh. Quyền hạn từ nhóm được gộp với vai trò có sẵn của người đó, các vai trò tùy chỉnh gán trực tiếp và vai trò từ mọi nhóm khác.
3. Nhóm có thể được nêu tên trong quy tắc chia sẻ — trong danh sách cho phép lẫn danh sách chặn, và quy tắc chặn luôn thắng.
4. Nhóm không bao giờ giữ tiền và không bao giờ là thành viên phòng ban.
5. Với phòng ban, nhóm chỉ là công cụ chọn hàng loạt. Nhóm được mở rộng thành danh sách người đúng một lần; không còn liên kết nào sau đó.

Nhóm làm gì — và không làm gì

Nhóm có thể	Nhóm không bao giờ
Gom vai trò tùy chỉnh cho thành viên	Giữ ngân sách, hạn mức hay danh sách mô hình
Xuất hiện trong quy tắc cho phép hoặc chặn của tài nguyên	Được tính là phòng ban hay quyết định ai chi trả
Giúp bạn chọn nhiều người cùng lúc khi thêm vào phòng ban	Sở hữu tài nguyên
Chồng lên các nhóm khác thoải mái	Cấp quyền hạn chỉ vì có thành viên — chỉ vai trò của nhóm mới cấp quyền

Trong danh sách người dùng, nhóm và phòng ban trông khá giống nhau. Bảng so sánh nằm ở Mô hình quản trị › Phòng ban và nhóm: so sánh nhanh.

Vai trò qua nhóm

Vai tròVai tròRoleGói các quyền hạn. Mỗi người có một vai trò có sẵn — Org Owner, Org Admin hoặc Org User — và nhóm có thể cấp thêm vai trò tùy chỉnh.Mở trong Thuật ngữ là nguồn quyền hạn duy nhất. Tập quyền hạn hiệu lực của một người gộp từ ba nguồn:

1. Một vai trò có sẵn theo cấp trong tổ chức — Org Owner, Org Admin hoặc Org User.
2. Các vai trò tùy chỉnh gán trực tiếp.
3. Các vai trò tùy chỉnh từ mọi nhóm mà họ thuộc về.

Một bộ phân giải duy nhất tính tập này cho mọi bên gọi, không lưu cache giữa các yêu cầu, nên thay đổi vai trò của nhóm có hiệu lực ngay ở yêu cầu kế tiếp. Bộ phân giải giữ nguồn gốc của từng quyền: một quyền hạn có được trực tiếp và qua hai nhóm sẽ hiện đủ cả ba đường khi quản trị viên hỏi “vì sao người này có quyền này?” (Effective permissions — quyền hiệu lực — trong hồ sơ người dùng).

Bản thân việc là thành viên không cấp gì. Một vai trò tùy chỉnh không ai giữ và không nhóm nào gom cũng không cấp gì. Năm vai trò tùy chỉnh được tạo sẵn cùng tổ chức — Department Lead, Cost Analyst, Compliance Reviewer, Knowledge Curator và Agent Curator — không gắn với nhóm nào cho đến khi bạn gắn.

Có những quyền hạn nào, và quyền nào không bao giờ được đưa vào vai trò tùy chỉnh: Vai trò và quyền hạn.

Nhóm trong quy tắc chia sẻ

Mọi tài nguyên — agent, skill, prompt, application, artifact, kho tri thức — đều mang quy tắc phạm vi hiển thị riêng. Mỗi quy tắc gồm một hiệu lực (cho phép hoặc chặn) cùng đúng một phòng ban, nhóm hoặc người dùng. Quy tắc khớp với một người khi nó nêu tên người đó, phòng ban của họ, hoặc một trong các nhóm của họ.

• Cho phép một nhóm để chia sẻ tài nguyên với mọi người trong nhóm.
• Chặn một nhóm để thu hồi tài nguyên khỏi mọi người trong nhóm. Quy tắc chặn được xét trước và thắng mọi quy tắc cho phép, công tắc toàn tổ chức, kể cả quyền sở hữu.

Một cộng tác viên trong phòng Sales vẫn bị chặn khỏi agent của Sales khi có quy tắc chặn nêu tên nhóm Contractors của họ — xem ví dụ ở Mô hình quản trị. Thứ tự quy tắc đầy đủ nằm ở Phạm vi hiển thị.

Chia sẻ với một nhóm không ghi dòng nào cho từng người. Thư viện chỉ có một dòng khi ai đó chọn khác với mặc định, nên chia sẻ với một nhóm hai trăm người không ghi gì cả.

Nhóm và phòng ban

Thành viên phòng ban là danh sách người dùng được gán trực tiếp, không bao giờ là một nhóm. Khi thêm người vào phòng ban, nhóm chỉ là công cụ chọn người hàng loạt:

Nhóm chỉ được mở rộng một lần. Không lưu liên kết nào với nhóm, nên thêm hay bớt thành viên nhóm về sau không chuyển ngân sách của ai. Hướng dẫn từng bước: Quản lý phòng ban.

Nhóm từ nhà cung cấp danh tính

Nhóm đến từ một trong hai nguồn, hiển thị ở cột Source (nguồn) trên màn hình Groups:

	Đồng bộ từ nhà cung cấp danh tính	Quản lý trong portal
Tên, mã ngoài và thành viên	Do nhà cung cấp sở hữu, đến qua SCIM; chỉ đọc trong portal	Sửa trong portal
Vai trò nhóm cấp	Sửa trong portal	Sửa trong portal
Quy tắc phạm vi hiển thị nêu tên nhóm	Sửa trong portal	Sửa trong portal

Không có gì được ghi ngược về Keycloak hay Entra ID: SCIM chỉ chạy một chiều.

Chế độ thư mục của tổ chức quyết định thêm:

• Chế độ PORTAL — portal quản lý ai tồn tại và nhóm của họ. Bạn có thể tạo nhóm, thêm và bớt thành viên, và gán phòng ban hàng loạt từ một nhóm.
• Chế độ IDP — nhà cung cấp quản lý thư mục. Tạo nhóm, thêm hoặc bớt thành viên và gán hàng loạt từ nhóm đều bị từ chối. Những gì nhóm cấp — vai trò của nhóm — và quy tắc phạm vi hiển thị nêu tên nhóm vẫn sửa được.

Ở chế độ IDP, phòng ban được lấp từ nhóm của nhà cung cấp thay vì gán tay. Bạn gắn một danh sách nhóm của nhà cung cấp vào phòng ban (phòng Sales thường là Sales-VN + Sales-KH + một nhóm trưởng nhóm), và mỗi nhóm chỉ tính phí cho tối đa một phòng ban. Lựa chọn nào khiến một người nằm trong nhóm của hai phòng ban đang hoạt động sẽ bị từ chối. Khi thành viên thay đổi ở phía nhà cung cấp, người dùng được chuyển tự động: phòng ban có độ ưu tiên thấp nhất thắng, phòng ban đã lưu trữ không nhận ai, và ai không thuộc nhóm nào được tính phí sẽ về General. Nếu nhà cung cấp xóa một nhóm đang được tính phí, phòng ban vẫn giữ tên, ngân sách, trung tâm chi phí và lịch sử. Quy tắc đầy đủ: Phòng ban › Chế độ thư mục và Phòng ban từ nhóm.

Vì sao lại thiết kế như vậy

Bên dưới hệ thống

Liên quan