# 组织、成员与角色

来源: https://platform.lyrouter.com/ai_gateway/docs/organization
更新日期: 2026-10-22

团队版和企业版的组织由当前账号管理员负责管理：在 **组织管理** 页搭建部门、用邮箱邀请或邀请链接招募成员，并决定每位成员能进入哪些工作空间、以什么角色使用。组织层面只有账号管理员和普通成员两种角色；每个工作空间里另有查看者、编辑者、管理员三种角色，决定成员在该空间内能做什么。成员人数受订阅席位数限制，账号管理员身份暂不支持转让。

## 个人版、团队版与企业版

| 版本 | 开通条件 | 成员 |
| --- | --- | --- |
| 个人版 | 注册后即可使用，不需要实名认证 | 只有本人，不能邀请成员；**组织管理** 页只有「概览」 |
| 团队版 | 账号管理员完成个人实名认证 | 可以邀请成员、搭建部门 |
| 企业版 | 账号管理员先完成个人实名认证，再完成本企业的企业实名认证 | 同团队版 |

- **创建组织**：在「选择组织」页或顶栏的「切换组织」窗口点「创建组织」，选择团队或企业并填写名称。账号管理员尚未完成所需认证时，组织状态为「待认证」；团队版在账号管理员完成个人实名后自动变为「正常」，企业版在企业实名认证通过后变为「正常」。
- **受邀成员不需要认证**：实名认证只针对账号管理员，成员加入组织不需要做个人或企业实名。
- **多个组织**：一个登录账号可以同时属于多个组织（个人版只能有一个）。每个浏览器标签页单独选择当前组织；在控制台内用「切换组织」换到另一个组织时，需要先用登录手机号接收短信验证码。
- **功能差异**：团队版起可以使用安全围栏的配额、模型和客户端访问控制，企业版另有敏感信息、提示词注入和意图安全检测，见[安全围栏与语义审计](https://platform.lyrouter.com/ai_gateway/docs/guardrails)。

（截图：组织管理的「概览」显示名称、版本、状态、我的角色与企业实名认证状态。）

## 组织角色与工作空间角色

组织角色决定成员能进入控制台的哪些页面：

| 组织角色 | 说明 |
| --- | --- |
| 当前账号管理员（成员列表显示为「所有者」） | 创建组织的人，每个组织只有一位。管理部门、成员、邀请与审批，在组织内所有工作空间中都是「所有者」，负责 BYOK、智能路由、虚拟模型、安全围栏和订阅充值 |
| 普通成员 | 通过邮箱邀请或邀请链接加入，只能进入获得授权的工作空间 |

普通成员的侧栏只有「概览」「工作空间」「模型广场」「API 密钥」「用量分析」「多媒体生成」「日志分析」。「自带密钥（BYOK）」「智能路由」「虚拟模型」「安全围栏」「安全事件」「订阅充值」「组织管理」只对账号管理员显示；普通成员直接打开这些页面的链接，会提示「当前组织角色无权访问该页面」并回到概览。获得工作空间管理员角色也不会开放这些页面。

工作空间角色决定成员在某个工作空间里能做什么：

| 工作空间角色 | 能做什么 |
| --- | --- |
| 查看者 | 查看空间内已授权的资源，不能创建 API Key |
| 编辑者 | 创建和编辑资源，例如创建、编辑自己的 API Key，不包含成员管理 |
| 管理员 | 在编辑者的基础上，可以在模型广场开通或停用模型，并在日志分析中查看本空间所有 API Key 的调用记录 |

通过邀请或审批加入的人一律是普通成员。账号管理员身份暂不支持转让，成员列表中没有转让入口。

## 搭建部门

账号管理员在 **组织管理** 的「部门」页签维护部门树：点「新建顶级部门」创建一级部门；选中部门后可以「新建子部门」「编辑」（改名或移动到其他上级部门）、「删除」和「添加成员」。

- **一人多部门，一个主部门**：同一成员可以属于多个部门，但只有一个主部门。添加成员时打开「设为这些成员的主部门」，或在部门成员列表的「主部门」列切换。
- **主部门的作用**：安全围栏中以「部门」为生效对象的策略，按 API Key 创建人的主部门匹配，不包含子部门。
- **删除部门**：部门下还有子部门或成员时不能删除，会提示「该部门下还有子部门或成员，请先清空后再删除」。

（截图：部门页左侧是部门树，右侧是所选部门的成员和主部门开关。）

## 邀请成员

**组织管理** 的「邀请」页签提供两种方式：

| | 邮箱邀请 | 邀请链接 |
| --- | --- | --- |
| 发给谁 | 每个邮箱一份邀请，一次可以填多个邮箱 | 一条链接可以分享给多人 |
| 是否审批 | 不需要，对方接受即加入 | 需要，账号管理员在「审批队列」点「通过」后才加入 |
| 有效期 | 7 天 | 「有效天数（可选）」，留空为永不过期；还可设「最大注册数（可选）」 |
| 部门 | 「默认部门（可选）」，接受后自动加入 | 链接可设默认部门，审批时确认「主部门」 |
| 工作空间权限 | 发送时确认，单独授权可选查看者或编辑者 | 审批时确认，单独授权可选查看者或编辑者 |
| 占用席位 | 发出后即占一个席位，直到被接受、撤销或过期 | 申请不占席位，通过审批时才占 |

### 邮箱邀请

点「邮箱邀请」，填写邮箱（逐个回车，或用逗号、空格、分号分隔粘贴），按需选择「默认部门（可选）」，在「工作空间权限」中确认对方加入后能进入的空间，再点「邮箱邀请」。

- **邮件在后台发送**：提示「已发送 N 封邀请邮件」表示邀请已创建，邮件可能稍后才到达。邀请列表的「邮件发送」列显示「待发送」「已发送」或「发送失败」；控制台不显示邮件里的邀请链接。对方迟迟收不到或显示「发送失败」时，请先检查垃圾邮件箱和邮箱拼写，再在列表中点「吊销」后重新邀请，或改用邀请链接。
- **对方如何加入**：打开邮件中的链接后，已登录且账号邮箱与受邀邮箱一致时点「确认加入」；账号还没绑定邮箱时，验证当前手机号后绑定受邀邮箱并加入；未登录时先验证手机号，已注册的直接加入，未注册的设置密码后点「创建账号并加入」。页面提示「当前账号绑定的邮箱与受邀邮箱不一致」时，需要退出后用受邀邮箱对应的账号登录。
- **发送失败**：同一邮箱已有待接受的邀请时返回 `a pending invitation already exists for this email`；该邮箱已是组织成员时返回 `invitation email already belongs to an active member`。

（截图：邮箱邀请中填写邮箱、选择默认部门，并核对共享授权、单独授权与生效权限。）

### 邀请链接

在「邀请链接」区块点「创建链接」，按需填写「默认部门（可选）」「最大注册数（可选）」「有效天数（可选）」后点「创建」。完整链接只在创建成功的弹窗中显示一次，请点「复制链接并关闭」保存；之后列表只显示「完整链接仅在创建时显示」，遗失后只能「吊销」并重新创建。

申请人打开链接后，已登录的点「申请加入」；未登录的先验证手机号，未注册的设置密码后点「创建账号并提交申请」。页面显示「申请已提交，等待管理员审批」，此时申请人还不是成员。账号管理员在「审批队列」中点「通过」，在「审批通过并分配部门」窗口确认「主部门」和工作空间权限后再点「通过」；也可以点「拒绝」。链接被吊销、过期或达到最大注册数后，其下尚未处理的申请也不能再通过，会提示「邀请链接无效、已过期或已用尽」。

## 席位上限

团队版和企业版的成员数受订阅席位数限制。已占用席位等于现有成员（含账号管理员）加上「待接受」的邮箱邀请；待审批的加入申请不占席位，通过时才计入。达到上限后，发送邮箱邀请或通过加入申请都会失败，提示原文：

```text
当前订阅共 N 个席位，已占用 M 个（含待接受的邀请），请先增购席位后再邀请成员
```

- 没有有效订阅的组织按 1 个席位计算，由账号管理员占用，因此无法邀请成员。
- 吊销「待接受」的邀请或移除不再需要的成员可以腾出席位；过期的邀请不再占用席位。
- 需要更多席位时，在 **订阅充值** 页点「增购席位」，见[购买、账单与发票](https://platform.lyrouter.com/ai_gateway/docs/orders)。
- 组织有订阅时，「审批队列」标题旁显示「剩余席位 2 / 共 5 席」，满额时显示「席位已满（共 5 席），请先增购席位」。

## 工作空间授权

普通成员能进入哪些工作空间，来自以下三种授权：

| 来源 | 谁获得 | 角色 |
| --- | --- | --- |
| 组织共享 | 工作空间「访问范围」为「组织共享」时，组织的全部有效成员 | 该空间的「共享成员角色」：新设置的共享为编辑者，较早设为查看者的保持不变 |
| 部门共享 | 「访问范围」为「指定部门」时，所选部门的成员；勾选「同时包含所选部门的子部门」时含子部门。属于其中任一部门即可，不要求是主部门 | 同上 |
| 单独授权 | 邀请或审批时选择的空间，以及在「成员」页签点「编辑」后添加的空间 | 邀请和审批时不选角色，一律为编辑者；「编辑」时可选编辑者或管理员，已有的查看者保持不变 |

- **单独授权优先**：成员有单独授权时，按单独授权的角色生效，即使它比共享角色低；移除单独授权后，成员跟随空间的共享角色。
- **访问范围由账号管理员设置**：新建或编辑工作空间时设置「访问范围」和「共享成员角色」。新建的工作空间默认「组织共享」和「编辑者」；「仅自己/指定成员」的空间只有账号管理员和单独授权的成员能进入。
- **查看生效权限**：「成员」页签的「授权空间」列显示每个空间的生效角色，悬停可以看到授权来源。
- **需要账号管理员实名**：编辑或移除成员要求账号管理员已完成个人实名认证，未完成时提示「当前操作需要 Owner 完成个人实名认证」，点「去认证」完成即可。

（截图：新建工作空间时设置访问范围和共享成员角色，图示为按部门共享并包含子部门。）

（截图：成员页签显示姓名、归属部门、授权空间与组织角色，账号管理员所在行没有操作按钮。）

## 移除成员

在「成员」页签点「删除」并确认「确定从组织移除此成员？」后：

- 该成员立即失去组织内所有工作空间的访问，部门归属和单独授权一并清除。
- 该成员创建的 API Key 随之失效，调用返回 401 `invalid api key`。已产生的用量和日志保留，用量分析中标注「已移出」；需要继续调用的应用请换用其他成员创建的 Key。
- 账号管理员不能被移除，所在行没有操作按钮。

只收回某个工作空间的单独授权时：成员仍有组织或部门共享授权的，照常进入该空间，Key 不受影响；不再有任何授权的，成员在该空间创建的 API Key 会被停用。

## 常见问题

### 成员在「工作空间」中找不到某个空间，应该检查什么？

**答：** 请账号管理员在「成员」页签查看该成员的「授权空间」。没有这个空间时，检查空间的「访问范围」：「仅自己/指定成员」需要单独授权；「指定部门」要求成员属于所选部门（或在勾选了子部门时属于其子部门）。也可以直接点「编辑」，为该成员添加单独授权。

### 用量应该按谁的 Key 统计？

**答：** 调用的用量和日志都记在 API Key 的创建人名下，不区分实际是谁在使用这把 Key。需要按人统计时，请每位成员用自己的账号创建 Key，不要由账号管理员统一创建后分发，见[用量归因与分析](https://platform.lyrouter.com/ai_gateway/docs/analytics)。