> ## Documentation Index
> Fetch the complete documentation index at: https://www.krea.ai/docs/llms.txt
> Use this file to discover all available pages before exploring further.

# 访问控制

> 设置您的 Krea 组织、工作区和成员可以使用哪些 AI 模型，以及谁可以使用 Agent。

> [!NOTE]
>
> 设置规则需要商业版或企业版计划。如需升级，请[联系销售团队](mailto:sales@krea.ai)。在任何计划中，成员都可以打开访问控制页面，查看哪些内容对自己被阻止。如果您以前使用过模型访问或工作区设置中的控制项，请参阅[变更内容](#what-changed)。

访问控制让管理员选择用户可以在 Krea 中使用哪些 AI 模型和功能。目前 Agent 是唯一的功能。组织管理员可以为整个组织、每个工作区以及单个成员设置规则。独立工作区则为自身及其成员设置规则。

## 打开访问控制

打开 [Manage ↗](https://www.krea.ai/manage/access-controls)，然后点击侧边栏中的**访问控制**。组织所有者和管理员可以在组织部分找到它，其他人则在工作区部分找到它。

该页面有两个标签页。**模型**包含模型规则，**功能**包含 [Agent 规则](#agent)。每个标签页都有各自的草稿，并单独保存。

![组织的访问控制编辑器，已打开模型标签页，显示三个被阻止的模型](https://s.krea.ai/docs/access-controls/editor.webp)

您的角色决定了您可以查看和编辑的内容：

| 角色 | 您可以查看和编辑的内容 |
| - | - |
| 组织所有者或管理员 | 组织及其中每个工作区的规则。您可以编辑所有这些规则。 |
| 工作区所有者或管理员 | 当前工作区的规则，您可以编辑。在组织中，只读的**组织**列会显示组织允许的内容。 |
| 成员 | 当前工作区中对您阻止的模型和功能的只读列表，包括每项由谁阻止，以及可以联系哪些管理员。 |

## 访问权限如何确定

一个组织有一项策略，每个工作区也可以有自己的策略。组织策略适用于组织中的每个工作区。只有当所有适用的策略都允许某个模型时，该模型才对相应用户可用。在组织工作区中，这意味着组织策略和工作区策略都必须允许。

### 默认访问

每项策略都有一个**默认访问**设置：

![默认访问菜单，包含无限制、仅限已批准模型和除已阻止外的所有模型](https://s.krea.ai/docs/model-access/default-access.webp)

| 设置 | 作用 | Krea 新增的模型 |
| - | - | - |
| **遵循组织访问** | 工作区没有自己的规则，使用组织的规则。在组织之外，此设置称为**无限制**。 | 遵循组织 |
| **除已阻止外的所有模型** | 除非您将其阻止，否则每个模型都可用。 | 立即可用 |
| **仅限已批准模型** | 只有您批准的模型可用。 | 在您批准之前被阻止 |

> [!WARNING]
>
> 将策略切换为**仅限已批准模型**不会自动为您批准任何模型。在您批准模型之前，该策略覆盖的所有人都无法使用任何模型。请在保存之前批准您需要的模型。请参阅[批准某一公司的所有模型](#approve-every-model-from-one-company)。

### 规则

一条规则会为策略覆盖的所有人或某一位成员批准或阻止一个模型。每条规则都指定一个确切的模型，因此 Krea 之后新增的模型一开始没有任何规则。

结果由两点决定：

* **阻止优先。** 在同一策略中，面向所有人的阻止会覆盖任何成员批准。
* **每项策略都必须允许该模型。** 组织阻止或缺少组织批准，都会覆盖工作区批准。编辑器会禁用这些批准，并显示**请先为组织批准**。

```text theme={"theme":{"light":"github-light-default","dark":"vesper"}}
组织策略允许该模型？  ──否──▶  已阻止
          │ 是
          ▼
工作区策略允许该模型？──否──▶  已阻止
          │ 是
          ▼
        可用
```

## 编辑规则

更改在保存之前一直处于草稿状态。**放弃更改**会恢复已保存的规则。

**1. 选择要编辑谁的规则**

打开表格顶部的**规则对象**。组织管理员可以选择**组织**、**工作区**或**成员**。工作区管理员可以选择该工作区或**成员**。

**2. 设置默认访问**

选择一个**默认访问**设置。对话框会说明此更改对现有规则的影响。切换到**除已阻止外的所有模型**会移除该策略的批准，并保留其阻止。

**3. 批准或阻止模型**

勾选每个模型旁边的**批准**或**阻止**。**批准**列仅在**默认访问**为**仅限已批准模型**时显示。

要缩小列表范围，可以搜索，或使用**筛选**选择公司、提供商或工具。要一次性更改所有列出的模型，请点击搜索框旁边的**编辑全部 N 个模型**，然后选择**全部批准**、**全部阻止**或**清除所有规则**。

**4. 检查并保存**

点击**检查更改**，查看每条已更改的规则，以及它覆盖的用户的访问权限如何变化。然后点击**全部保存**。Krea 会分别保存每项策略。

![检查更改对话框，显示一条新的组织阻止及其对访问权限的影响](https://s.krea.ai/docs/access-controls/review.webp)

要查看谁可以使用某个模型，请点击该模型所在的行。展开的行会列出每个工作区和成员的结果，以及决定该结果的规则。您可以在这里添加工作区规则或成员规则。

![展开的模型行，列出每个工作区和成员、其结果以及决定结果的规则](https://s.krea.ai/docs/model-access/model-row.webp)

### 组织中的工作区规则

组织管理员可以为工作区设置其自己的规则。选择**规则对象** > **工作区**，然后选择该工作区。如果该工作区遵循组织访问，**为其添加规则**会询问其规则应如何运作：

* **除已阻止外的所有模型**：成员可以使用组织允许的所有模型，但为此工作区阻止的模型除外。
* **仅限已批准模型**：成员只能使用组织允许且此工作区已批准的模型。

工作区规则只能缩小组织允许的范围。

### 成员规则

选择**规则对象** > **成员**，选择相应人员，然后为其批准或阻止模型。在组织中，由组织管理员设置的成员规则适用于组织的每个工作区。由工作区管理员设置的成员规则仅适用于该工作区。

您也可以在**成员**页面上，从成员的 **⋯** 菜单中打开访问控制。

## 示例

### 批准某一公司的所有模型

**1. 切换为仅限已批准模型**

选择**规则对象** > **组织**，然后将**默认访问**设置为**仅限已批准模型**。

**2. 按公司筛选**

点击**筛选** > **公司**，然后选择该公司。

**3. 全部批准**

点击搜索框旁边的**编辑全部 N 个模型**，然后选择**全部批准**。接着点击**检查更改**和**全部保存**。

![筛选为某一公司的模型，编辑全部菜单已打开并定位在全部批准](https://s.krea.ai/docs/model-access/approve-company.webp)

该公司之后发布的模型仍需要您批准。

### 在某个工作区中阻止一个模型

选择**规则对象** > **工作区**，选择该工作区，然后勾选该模型的**阻止**。如果该工作区原本遵循组织访问，它会切换为**除已阻止外的所有模型**，并带有这一条阻止。

### 让少数人试用某个模型

将**默认访问**设置为**仅限已批准模型**，并保持该模型未批准。然后选择**规则对象** > **成员**，为每位测试人员批准该模型。面向所有人的阻止也会阻止您的测试人员，因此这种做法只适用于**仅限已批准模型**。

### 为某个人阻止一个模型

选择**规则对象** > **成员**，选择相应人员，然后勾选该模型的**阻止**。

## Agent

**功能**标签页控制谁可以使用 [Krea Agent](https://www.krea.ai/docs/cn/user-guide/agent/overview.md)。Agent 规则的运作方式与模型规则相同，只是用**允许**代替**批准**。在**规则对象**下选择要编辑谁的规则，设置**默认访问**，然后允许或阻止 Agent。组织阻止会覆盖工作区允许。

![功能标签页，Agent 已展开，允许一位成员并阻止其他所有人](https://s.krea.ai/docs/access-controls/agent-editor.webp)

| 默认访问 | 作用 |
| - | - |
| **遵循组织访问** | 工作区使用组织的 Agent 规则。在组织之外，此设置称为**无限制**。 |
| **除已阻止外的所有人** | 除非您将其阻止，否则所有人都可以使用 Agent。 |
| **仅限已允许成员** | 只有您允许的成员可以使用 Agent。 |

> [!WARNING]
>
> 在**仅限已允许成员**下，所有未被您允许的人都无法使用 Agent，包括您自己。请在保存之前允许您自己以及其他需要使用 Agent 的成员。

### Agent 规则的适用范围

阻止会覆盖网页版、iOS 应用、Slack 中的 Agent，以及通过 [Krea API](https://www.krea.ai/docs/api-reference/introduction.md) 和 Krea MCP 服务器使用的 Agent。Ad Studio 聊天、3D Studio 和 Nodes Agent 都基于 Agent 运行，因此阻止同样覆盖它们。

每个会话都遵循其所属工作区的规则。切换到另一个工作区不会重新打开您被阻止的工作区中的会话。

当某人的 Agent 被阻止时：

* Agent 页面会显示 **Agent 不可用**，并列出可发送电子邮件的管理员。
* API 和 MCP 请求会返回 HTTP 403。
* 在 Slack 中，Agent 会在话题串中回复说管理员已将其关闭。
* 其例行任务会在下一次计划运行时关闭，并保持关闭，直到他们重新开启。
* 其过往会话会被保留。管理员允许 Agent 后，他们可以再次打开这些会话。

![被阻止的成员看到的 Agent 不可用卡片，列出可发送电子邮件的组织管理员](https://s.krea.ai/docs/access-controls/agent-blocked.webp)

### 让少数人使用 Agent

选择**规则对象** > **组织**，然后将**默认访问**设置为**仅限已允许成员**。接着展开 **Agent** 行，为每个人点击**添加成员规则**，并勾选**允许**。然后点击**检查更改**和**全部保存**。

### 在某个工作区中关闭 Agent

选择**规则对象** > **工作区**，选择该工作区，然后勾选 **Agent** 旁边的**阻止**。

## 成员看到的内容

模型选择器会将被阻止的模型显示为灰色，紧凑型选择器会将它们归入带锁形图标的**已被管理员限制**分组下。**Auto** 会跳过这些模型。

选择被阻止的模型时，会打开一个对话框，列出最多三位可联系的管理员，并在有替代模型时给出建议。能够更改该规则的管理员会看到**管理访问控制**按钮，而不是联系人列表。

![成员在选择被阻止的模型时看到的对话框，列出可联系的组织管理员](https://s.krea.ai/docs/model-access/denied-dialog.webp)

成员的访问控制页面只会列出当前工作区中对其阻止的内容。每个被阻止的模型或功能都会注明是由组织还是工作区阻止的。\*\*需要访问权限？\*\*卡片会列出可以更改这些规则的管理员，并提供一个向他们发送电子邮件的按钮。

![成员的访问控制页面，显示需要访问权限卡片以及三个被组织阻止的模型](https://s.krea.ai/docs/access-controls/member-view.webp)

## 规则的适用范围

Krea 会在每次生成开始时检查模型访问权限，适用于所有工具，以及 [Krea API](https://www.krea.ai/docs/api-reference/introduction.md) 和 Krea MCP 服务器。被阻止的 API 和 MCP 请求会返回 HTTP 403 和 `FEATURE_RESTRICTED`。Realtime 会在连接时检查，之后大约每分钟检查一次。有关 Agent，请参阅 [Agent 规则的适用范围](#where-agent-rules-apply)。

## 计划变更

降级到不包含访问控制的计划会暂停规则执行。Krea 会保留这些规则，并在您升级后重新应用。

## 变更内容

模型访问现已更名为访问控制，其页面已移至 **Manage** > **访问控制**。旧的模型访问链接仍然有效，并会打开新页面。模型规则没有变化。

在模型访问推出之前，模型规则位于工作区设置中。每个工作区的规则都已从那里迁移，每个被阻止的模型仍保持阻止状态。

| | 以前 | 现在 |
| - | - | - |
| 编辑位置 | 工作区设置中的**模型访问**卡片 | **Manage** > **访问控制** |
| 成员规则 | 成员页面上的 **⋯** > **管理模型访问** | **规则对象** > **成员** |
| 默认允许所有模型 | 全部允许（阻止列表） | **除已阻止外的所有模型** |
| 需要批准 | 全部阻止（允许列表） | **仅限已批准模型** |
| 成员例外 | 成员批准可以解除工作区阻止 | 阻止优先于成员批准 |
| 更改默认访问 | 清除所有成员规则 | 保留成员规则 |
| 切换到批准模式 | 批准所有可用模型 | 从零批准开始 |
| 计划降级 | 删除规则 | 暂停执行，直到您升级 |

> [!WARNING]
>
> 部分工作区曾为所有人阻止某个模型，同时允许特定成员使用它。Krea 已将这些工作区切换为**仅限已批准模型**，并批准了其他所有模型，因此访问权限保持不变。现在，这些工作区中的新模型需要批准。如果要将其切换回**除已阻止外的所有模型**，请先阻止它以前阻止的模型。否则，这些模型将对所有人开放。

## 故障排除

> [accordion] 为什么这个模型被阻止了？
>
> 在编辑器中点击该模型所在的行。展开的行会显示每个工作区和成员的结果，以及决定该结果的规则。成员可以在自己的访问控制页面上查看是谁阻止了它。

> [accordion] 我批准了一个模型，但成员仍然无法使用
>
> 有另一条规则阻止了它。阻止优先于批准，因此请查找适用于所有人或该成员的阻止规则。在组织中，还要检查组织是否允许该模型。

> [accordion] 批准复选框缺失或被禁用
>
> **批准**列仅在策略使用**仅限已批准模型**时显示。当组织阻止了该模型或尚未批准它时，工作区批准会被禁用。请先为组织批准该模型。

> [accordion] 我切换到仅限已批准模型后，所有模型都被阻止了
>
> 该策略还没有任何批准。请批准您需要的模型；如果尚未保存，也可以点击**放弃更改**。请参阅[批准某一公司的所有模型](#approve-every-model-from-one-company)。

> [accordion] 新模型总是显示为可用
>
> 该策略使用**除已阻止外的所有模型**，这会让新模型立即可用。如果您希望先批准每个新模型，请切换到**仅限已批准模型**。

> [accordion] 我看到的是升级按钮，而不是编辑器
>
> 设置规则需要商业版或企业版计划。如需升级，请[联系销售团队](mailto:sales@krea.ai)。

> [accordion] 我无法更改组织列
>
> 只有组织所有者和管理员可以编辑组织规则。请让他们中的一位进行更改。

> [accordion] 编辑器提示某项策略在我加载后已被更改
>
> 在您编辑期间，另一位管理员保存了该策略，Krea 已加载其版本。请重新进行更改并保存。

> [accordion] Auto 没有可用的模型
>
> Auto 可以使用的所有模型都已对您阻止。请自行选择一个模型，或向管理员申请访问权限。

> [accordion] 我将 Agent 切换为仅限已允许成员后，自己也失去了访问权限
>
> **仅限已允许成员**会阻止所有没有允许规则的人，包括管理员。请打开**访问控制** > **功能**，展开 **Agent**，然后允许您自己。即使 Agent 对管理员被阻止，管理员也始终可以打开访问控制。

> [accordion] 模型访问去哪儿了？
>
> 它现在称为访问控制。您的模型规则位于其**模型**标签页中，旧的模型访问链接会打开新页面。请参阅[变更内容](#what-changed)。

> [accordion] 工作区设置中的控制项去哪儿了？
>
> 它们已移至访问控制。请参阅[变更内容](#what-changed)。

## 需要帮助？

> [card] [企业支持](mailto:support@krea.ai)
>
> 发送电子邮件至 [support@krea.ai](mailto:support@krea.ai) 联系我们的企业支持团队。

> [card] [销售团队](mailto:sales@krea.ai)
>
> 发送电子邮件至 [sales@krea.ai](mailto:sales@krea.ai) 咨询商业版或企业版计划。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.