安全与合规

读这本之前先认一个贯穿全控制台的东西：判断区。安全与合规的每一页，正文列表之前都先给一段判断——现在能不能用、最大的风险是什么、下一步做什么。审计日志那页叫「审计可用性判断」，凭据保险箱那页叫「凭据试用准备度」，访问审批那页叫「审批前判断」，名字不同，结构是同一套：一枚结论徽章，旁边一个 ?，点开就是「能不能用 / 最大风险 / 下一步」这三段（本册部分截图拍于 界面精简之前，那时这三段收在一个折叠区里）。先读判断，再读列表——判断不成立的时候，下面的数字往往还没意义。

出问题时按症状查故障排查表，要确认上限与配额查限制与配额速查表，遇到不认识的词查全套共用的术语表——三张表都在首页「随时可查」里。

采购问询里最先问的一句通常是「你们的权限模型长什么样」。这一页把答案摆在明面上：一共几个角色、每个角色作用在哪一层、覆盖哪些资源、权限从哪来。

标签上的数字就是全局盘点：角色 5 个，其中内置 5 个、自定义 0 个、只读 1 个，可分配的权限项共 45 项。自定义是 0，说明这个组织还没建过自己的角色；要建就用右上角的新建角色。

表的每一行按「角色 / 类型 / 覆盖资源 / 权限来源 / 操作」排。角色名下面那行小字标的是它的作用层级——平台、组织、部门。审计员那一行在层级后面单独挂了一个「只读」徽章，对应「只读」标签上的那个数。

截图上可见的角色

台账上方的结论徽章是页面自己给的自检结论

图上标题下面并排三个徽章：可分配角色 · 已具备、资源边界 · 已具备、继承需确认 · 已具备。界面精简后它们合成一枚结论徽章，三项明细和下一步收在旁边的 ? 里；三项都具备时，结论写的是「可给第一个同事分配最小够用角色」，下一步是去「用户管理」分配。发第一份权限之前先看这一行，比直接翻台账快。

只读角色是给合规与审计岗位准备的：它在台账里覆盖的资源和组织管理员是同一批（数字员工、审计日志、身份源配置，另有 8 项），区别在于它带「只读」标记，看得到但不写入。组织里需要「能查但不能改」的人，用这个角色，不要给管理员角色再口头约定不许改。

顶部三个徽章就是当前的真实接入状态：「未接入」「本机试用登录」「已映射用户组 0 组」。往下身份源列表上方的标签给出计数——身份源 1、已启用 0，每一行的「授权规则」列写着规则条数。身份源存在不等于已启用：截图里那个身份源地址填了、密钥也配了，状态仍然是「已停用」。

一个身份源要过四关才算接上

1. 配置：填身份源地址与回调地址，展开「配置与授权规则」写授权规则。每次保存记一次修订；「历史修订与恢复」可以恢复旧修订，页面写明恢复会成为新的当前修订、历史记录不会覆盖或删除，不是抹掉历史。
2. 连接测试：点「测试连接」，确认这个地址真的通。
3. 授权复核：确认授权规则映射出来的角色和组织范围是你要的。右上角「更多」里的「身份映射试算」就是干这个的，它标着「不创建用户 · 不写正式授权」，算错了不会留下痕迹。
4. 启用：三步都过了再点「启用…」。没有已启用的身份源时，「成员生命周期同步」是空的，页面写得很直白：完成配置、连接测试和授权复核后启用身份源，才能预览成员同步。

还没接身份源的这段时间，谁在维护人

标题旁结论徽章的 ? 里写着当前使用本机试用登录，并且直说了后果：系统不会自动同步组织通讯录，新员工、离职员工都要管理员手动处理。也就是说这段时间入职离职要靠人工维护，判断里的下一步建议先到「用户管理」登记成员。这一条在合规评审里会被追问——如实的回答是：接入组织身份源之前，离职失权不是自动的。

紧急处置能做到哪一步

「会话与登录入口安全」里的「管理员会话」把能力边界写在了脸上：当前只支持退出你自己这一次的控制台会话，一次下线全组织会话需要先接入组织身份源，再到身份源侧统一注销。控制台上能点的只有退出当前控制台，退的是你自己这一个会话。要处置整个组织的会话，页面给的路径是先在页面上停用对应身份源阻止新的登录，再到身份源侧统一注销。被问到「能不能一键把所有人踢下线」，如实回答是：本版控制台不能，走停用身份源加身份源侧注销。

还没有身份源时，从哪里开始

页面右上角的「新增身份源」是这一整章的入口：组织身份源要先在这里建出来，才谈得上启用、配授权规则、做映射试算。图上这套环境只有一个身份源且处于「已停用」，所以下面的已启用与授权规则都是 0——这是「还没接」，不是「接坏了」。

这一章要回答的不是「有没有日志」，是能取证到什么、取不到什么。页面本身对这件事很坦白，读懂它比翻记录更重要。

顶部先给两个数：近 24h 共 44 条，其中「关键操作」1 条。下面那一块黄色的「审计可用性判断」才是这一页的入口——它把结论写成一句话（截图上是「可以抽查, 但总量还没读完」），后面挂着支撑这句话的徽章：已读 50 条、实际可能更多、暂无导出申请。

每一行按「谁 / 什么时候 / 做了什么 / 对什么做的」排。主体显示成身份——管理员、系统进程、系统自动记录——原始账号标识放在悬停提示里，不占正文；事件类型用中文写，后面跟着它的原始代码，方便和后端日志、工单对齐。

一行记录里有什么

能筛什么

筛选区四个入口同时生效：列表范围在操作事件与浏览/查看事件之间切换；事件类型按事件收窄，默认是「全部」；搜索事件内容 按操作、对象或关键字全文找；操作者按账号标识定位到人。时间窗可以手填「开始」「结束」，也可以点「近 1h」「24h」「7d」「30d」四个快捷档。

一次完整的取证：从抽查到拿到可归档的导出

1. 打开审计日志，先读顶部的「审计可用性判断」。它先告诉你现在能不能用；判断不成立时不要往下走，先按它写的「下一步」处理。
2. 把「列表范围」留在操作事件（默认）。查「谁改了什么」用它；查「谁看过什么」再切到浏览/查看事件。
3. 选时间窗。先点「24h」或「7d」这类快捷档定位大致区间，再用「开始」「结束」收到具体分钟。
4. 收窄对象。知道人就填「操作者」，知道动作就选「事件类型」，只知道关键字就用「搜索事件内容」。列表条数明显下降，说明筛进去了。
5. 逐行核对「时间 / 操作者 / 事件 / 摘要」。摘要只显示最关键的几项，怀疑哪一行就点行末的详情看完整载荷。
6. 要留档就导出。当前筛选时间范围 ≤ 7 天、预计条数 ≤ 200、且当前角色为管理员时可以直接导出 CSV / JSON；任一条不满足，页面会把它转成受控导出申请等待批准。顶部那个「暂无导出申请」徽章就是用来看有没有在途申请的。
7. 验收下载。导出包24 小时内有效，过期要重新发起；下载前会校验哈希，校验不过下载保持锁定——那是保护，不是故障。
8. 要把结论交给别人，用右上角的复制核查判断，把「能不能用 / 最大风险 / 下一步」连同当前筛选一起带走，不用自己转述。

门槛的具体取值见限制与配额速查表；导出环节的常见卡点见故障排查表。

可取证范围：这一页答得了什么

顶部的标签就是计数，回答「凭据这块现在什么状态」：全部 3、已配置 0、待补充 3，「未轮换」数的是从没轮换过的行（后端报出待轮换项时才另有一枚「后端标记待轮换」）。下面的「凭据试用准备度」把同一件事说得更细——已设置 0 / 3、待补充 3、停用 1，结论是缺凭据。

台账每一列的意思

轮换怎么走

轮换需要的四个信息页面全放在台账上了：状态说这条凭据现在有没有值、负责人说找谁、最近轮换说距离上次多久、顶部的未轮换标签说有几条从没轮换过。流程就围绕这四项转。

1. 从顶部的未轮换标签开始，点它只看从没轮换过的行；再按台账的「最近轮换」列从旧到新排出处理顺序，「未轮换」的排最前面。
2. 先处理未配置。「待补充 3」和「已设置 0 / 3」说的是同一件事：三条凭据都还没有值。没有值的凭据谈不上轮换，先补齐——页面给的判断就是「缺凭据」。
3. 按负责人列找人。台账把负责人写在每一行上，就是为了让轮换不用先花半天查谁管这个系统。
4. 换完回到本页点这一行的检查，核对这条凭据当前的状态。
5. 验收看两处：这一行的「状态」不再是「未配置」，「最近轮换」变成了刚才那个时间。两项一起对上，这一条才算轮换完。
6. 最后回顶部复核：「待补充」应当减少，「未轮换」应当减少，「凭据试用准备度」的结论应当不再是「缺凭据」。

「已停用」不等于「已删除」

截图里有一条状态是「已停用」，它的「最近轮换」有确切时间——说明这条凭据存在、也轮换过，只是当前不参与调用。准备度把它单独计成「停用 1」，没有算进「待补充 3」。做资产盘点时这两类要分开数，不然会把「停用但存在」的凭据漏掉。

安全限制收在「更多」里

右上角「更多」里有一项安全控制与当前限制，点开在侧边列出安全控制与当前限制。凭据相关的硬性边界写在那里。被问到「你们怎么保护密钥」时，请当场展开它逐条对着念，不要凭印象回答。

右上角那个未启用是全页结论，下面的标签计数是它的依据：检测规则 0、命中 0、记录 0。「保护规则」这一段的空态写的是未接入敏感识别规则源——也就是说，规则不是在产品里勾几个现成开关，而是要先接一个敏感识别规则源进来，接上之后这里才会展示生效的保护范围。

三态处置策略：命中之后只能做三件事

右上角「更多」里的「三态处置策略」把三种处置并排放着，这就是这套 DLP 的表达能力上限：阻断发送——这次不往外走；脱敏后发送——去掉敏感片段再走；放行并审计——照常走，但留一条记录。写规则之前先想清楚每一条落在哪一态，三选一，没有第四种。

示例配置：三条规则怎么分工

三条示例覆盖的正是页面自己点名的三个出口——出站对话、知识沉淀、模型调用。规则真的启用之后，员工侧会看到「本轮被组织安全策略拦截」这句话，对应的排查见故障排查表。

改规则之前先试算

右上角「更多」里的「策略试算」可以贴一段样例文本，点试算当前策略，右边给出这段文本会被怎么处置。它的说明写着成功后清空输入框，结果不回显样例原文——试算多少次都不会污染命中数据，可以放心用真实格式的样例去验。DLP 未启用时输入框里写的是「DLP 未启用，配置规则源后可试算。」，接入规则源之后才可用。

改规则要走申请

右上角的策略变更申请按钮打开申请表，标题旁标着生成治理任务：提交的是治理任务，不直接改生效规则。表单上可见「申请类型」和「期望处置」两个字段。也就是说这一页没有「顺手把规则改松一点」的入口，变更走治理任务、留申请记录。合规评审问到「谁能放宽 DLP、放宽了看得见吗」，这一段就是答案。

命中之后留下什么、不留什么

「命中统计」按今日 / 近 7 天 / 本月 / 全部四个窗口计数，页面标注它是持久记录。「命中记录」旁的 ? 写明只展示时间、处置动作、规则 ID、调用方和用途——只留命中的元信息，不留正文。这一条法务一定会问：被 DLP 拦下来的敏感内容本身，系统不会另存一份。

右上角「更多」里还有一个「复制交接摘要」。它把这一页当前的结论、计数与下一步打包成一段文字，供你贴进工单或交接记录。它只是把屏幕上已经有的内容抄走，不改任何策略、不产生新的命中记录。安全评审要留档时用它，比截图省事，也比转述准确。

顶部两个数就把在途情况说完了：待审批 0、生效中 0。截图上这个组织还没建过任何访问申请，列表区写的是「暂无访问申请。」。日常巡检就看这两个数：待审批长期不为 0 说明有人在等批，生效中长期不为 0 说明有临时权限还挂着没收回。

把这条链路验一遍

1. 点右上角新建申请。
2. 挑一个低风险的权限，把时长设成够用的最短。
3. 提交后回本页看待审批是不是从 0 变成 1。没变就是没提交上去。
4. 走完审批，再回本页：生效中应当变成 1，待审批回到 0。
5. 去第 3 章的审计日志里，按刚才那两步的时间找记录，确认申请和审批都留痕了。留不下痕的审批在合规上等于没审批。
6. 等时长到期，回本页确认生效中自己回到 0。这一步验的是自动回收，也是整条链路里最容易被跳过、最容易在审计时出事的一段。

时长与会话有效期的实际取值见限制与配额速查表。

审批控制与当前限制

右上角「更多」里有一项审批控制与当前限制，写的是审批本身的边界。本手册不转述具体条目，请以控制台当场展开的内容为准；采购问询问到审批规则时，展开这一段逐条给对方看，比口头描述可信。

这一页的判断区叫「审批前判断」——在你建第一条申请之前，先告诉你现在能不能建、边界在哪。点结论徽章旁的 ? 看的是「下一步 / 安全边界」两段。

按你在控制台上看到的原话找行。这本手册里的安全六页都会先给一句结论再给数据，所以「症状」一列基本就是那句结论。跨模块的症状见故障排查表。

凡是需要密钥的地方（同步资料、让助手使用一个软件、连接自然机器人、对象存储），用的都是同一个凭据选择器：从凭据保险箱里按名字挑一个，或当场新建。页面上只留下一张凭据卡片，密钥本身任何人都读不回来。

选一个已有的凭据

点 选择一个凭据（按连接的需要，也可能写成「选择一个某某类型的凭据」）。列表只列这里能用的类型，每一项写着名称、全组织、类型和最近使用时间；已停用的会标出来，不能选。凭据多于 6 个时，上方会出现 搜索凭据。

当场新建

1. 点列表最下面的 新建凭据，侧边打开 新建凭据 抽屉。
2. 类型 由这个连接决定，通常已经选好。
3. 名称 写一个以后认得出的名字，例如「自然机器人 · 组织账号」。
4. 按连接列出的字段填写（例如组织唯一 code、AccessKey、AccessSecret）。密钥字段以密码方式输入。
5. 点 保存。凭据存进组织的凭据保险箱，并自动选中。

谁可以使用 目前是 全组织：能用不等于能看，保存之后任何人都读不回密钥。

凭据卡片和更换密钥

选好后页面上显示一张卡片：名称、全组织 和类型。点开卡片能看到 范围、创建时间、最近使用、状态 和 在用它的工具；密钥 一栏只显示圆点，写着「任何人都不能查看」。要换成别的凭据点 更换。密钥到期或泄露时点 更换密钥，填入新的密钥后点 保存新密钥：新密钥放在同一个凭据后面，在用它的工具不用重新绑定。

所有凭据也都能在 凭据保险箱 里统一查看和轮换。