---
title: 团队与企业设置
summary: 角色、单点登录、审计日志和使用限制：一旦有多个人使用同一实例后可用的内容。
date: 2026-09-09
---

# 团队与企业设置

角色、单点登录、审计日志和使用限制：一旦有多个人使用同一实例后可用的内容。

以下内容都位于**设置**下，适用于你的 HeartBeatAgents 实例被多人共享之后。单点登录和自定义角色仅限 Nexus 方案；账户、审计日志和使用限制在所有方案中都可用。

## 账户

管理员从**设置 → 账户**为员工创建账户，每个账户都有自己的工作区。账户可以用你设置的密码登录（临时的：他们会在首次登录时自行修改），也可以只通过 SSO 登录，完全没有密码。

停用账户有两种不同的范围，二者都很重要：

- **停用账户并暂停智能体**：同时停止该工作区的智能体、常驻指令和正在运行的任务。
- **仅停用账户**：其智能体和自动化流程会继续自主运行。

最后一位剩余的管理员不能被停用或降级，任何人都不能停用或降级自己的账户；必须由另一位管理员来操作。

## 角色

除了内置的“管理员”和“成员”区分之外，自定义角色（Nexus 方案）允许为某个账户授予更窄、更具体的一组权限。你只能授予自己拥有的权限，因此自定义角色无法用来让某人超越其创建者所被允许的范围。

工作区权限，可授予组织中的任何账户：

- **智能体**：创建、读取、更新、删除、执行
- **监视器**（常驻指令）：创建、读取、更新、删除、执行
- **对话**：创建、读取、删除
- **工具**：创建、读取、更新、删除
- **组织**：读取、更新、管理成员、管理角色
- **API 密钥**：创建、读取、吊销
- **审计日志**：读取
- **集成定义**：管理（定义或修改自定义集成；连接到已存在的集成不需要此权限）

另有一组独立的实例级权限（系统健康、许可证、SSO、公共隧道、用户配置，以及创建实例范围角色）管辖的是安装本身，而不是某个工作区。这些权限仅由实例管理员持有，永远不会通过工作区自己的自定义角色授予，因此工作区所有者不会仅凭所有者身份就能触及整个安装范围的设置。

## 单点登录

仅限 Nexus 方案。配置你的身份提供商的 OIDC 发行方 URL、客户端 ID 和客户端密钥，然后将登录限制到特定的邮箱域名。两种配置模式：

- **要求管理员预先配置**（推荐）：只有管理员已经添加过的账户才能通过 SSO 登录。其他任何人都会被拒绝。
- **首次登录时自动配置**：允许邮箱域名内的任何人在首次登录时自动获得账户。

## 审计日志

记录智能体运行的每一个工具、传给它的内容，以及它返回的内容，可按工具、智能体或状态筛选，并可导出为 CSV 或 JSONL。每次执行都被链接进一个防篡改的哈希日志：审计页面可以随时验证整条链条，并在某一行被篡改时准确指出断裂点，而不只是报告一个笼统的不匹配。

## 用量与限制

为整个组织的所有智能体设置每日支出上限。一旦达到，新的运行会暂停到第二天，而不是继续计费。你也可以覆盖用于成本跟踪的每个模型的价格：一个没有覆盖价格、也没有内置目录价格的模型累计的追踪成本为零，因此在你自己为其定价之前，预算无法对其设限。

## 许可证

方案（试用版、Core、Scale、Nexus）从**设置 → 许可证**管理。Nexus 许可证从许可证服务器同步而来，而不是在本地编辑：在那边更改智能体上限或其他权益，然后在这里点击**同步**以获取更新。

## 相关内容

- [安全](/zh/docs/guides/security)：这些设置各自运作所在的边界
- [配置](/zh/docs/getting-started/configuration)：第二个人加入之前的初始设置
- [价值跟踪](/zh/docs/features/value-tracking)：与此并列的另一个组织级设置——货币和小时费率，并非专门关于访问控制
- [自定义集成](/zh/docs/guides/custom-integrations)：定义你自己的集成，与账户和角色并列的另一项组织级能力