《账号角色与权限说明》

本节面向系统管理员，讲清楚一件事：为什么不同的人登录系统后，看到的菜单和按钮不一样？ 答案就是"角色"和"权限"。读完本节，您就能理解三类账号各自能做什么，以及如何通过"管理员分组"为运营人员精细地分配权限。

名词速记：本节会反复出现"角色"和"权限"两个词。

• 角色（Role）：账号的大类身份，决定了你登录哪一套界面。系统只有三种角色：管理员、用户、服务器。
• 权限（Permission）：在同一套界面里，能看到哪些菜单、能点哪些按钮的细分控制。权限是"按功能"逐项授予的。

打个比方：角色像"是医生还是病人"（决定你进哪个区），权限像"医生里谁能开药、谁只能看病历"（决定你在区里能做什么）。

---

一、系统的三类角色

DCIM 系统在登录时就把账号分成三种角色。角色是由账号的类型决定的，普通使用者无法自己切换。

角色代号	中文称呼	谁在用	登录后进入的界面
admin	管理员（运营端）	机房 / IDC 的运营、运维、客服人员	完整的后台管理系统：首页、设备管理、网络管理、用户管理、工单、设置等
user	用户（客户端）	购买/租用了服务器的客户	精简的自助界面：只能看到自己名下的服务器、提交工单、查看个人资料等
server	服务器（单机视图）	通过单台服务器的专属链接登录	直接进入"这一台服务器"的详情页，看不到其他服务器和菜单

小白提示：

• IDC 是"互联网数据中心"的简称，也就是俗称的"机房"——一栋专门放服务器、空调、电力设备的大楼。
• DCIM 是"数据中心基础设施管理系统"，也就是您正在使用的这套软件，用来统一管理机房里的机柜、服务器、网络等设备。
• 运营端 / 客户端：同一套系统对外有两副"面孔"。机房的工作人员登录的叫"运营端"（功能最全）；客户登录的叫"客户端"（只管自己的东西）。它们入口地址不同，账号也分开管理。

这三种角色的账号是分开存放、分开管理的：

• 管理员账号在「设置 > 管理员管理」里维护（详见后文）。
• 用户（客户）账号在「用户管理 > 用户列表」里维护。
• 服务器视图不是一个独立账号，而是某台服务器对应的专属访问方式。

系统内部约定：server（服务器视图）在判断"能做什么"时会被当作 user（客户）来处理，所以它的可操作范围不会超出一个普通客户。

---

二、三类角色各自能看到什么

1. 管理员（admin）——运营端，功能最全

管理员登录后，左侧菜单会出现系统的全部功能模块（具体出现哪些，还要看下文讲的"细粒度权限"）。常见的菜单包括：

• 首页：系统总览大盘。
• 统计报表：IP 统计、用户统计、服务器统计、销售统计。
• 服务器管理：所有服务器的台账与操作。
• 设备管理：机柜管理、交换机管理、PDU 管理、硬件型号、操作审计、故障。
• 网络管理：IPv4 管理、IPv6、网络安全、内网、流量、交换路由。
• 部件管理：批次管理、部件列表、批次类型、返修列表。
• 用户管理：用户列表、用户分组、规格管理、用户 API、当前用户。
• 工单管理：工单、预设回复、工单状态、部门管理。
• 任务队列、设置、运维审计、检测工具。

注意：管理员能看到"哪些菜单"不是固定的。系统会根据该管理员所在分组被授予的权限，自动只显示有权访问的菜单——没授权的模块根本不会出现在左侧导航里。这就是很多人疑惑"为什么我的菜单比同事少"的根本原因，详见第三节。

2. 用户（user）——客户端，只看自己的东西

客户登录后只有很少几个入口，主要围绕"我租的服务器"：

客户能看到的功能	说明
服务器管理（仅自己的）	只列出分配给当前客户的服务器，可进入单台服务器详情进行允许的操作。
工单管理	提交工单、查看与回复自己的工单。
任务队列	查看自己发起的操作任务（如重装系统、电源操作）的执行进度。
当前用户	查看和修改自己的个人资料、密码。

客户看不到机柜、交换机、PDU、IP 资源池、其他客户、系统设置等运营级内容。

小白提示：这里的"我的服务器"指机房分配/出租给这位客户使用的物理服务器。客户能对它做的操作（如重启、重装系统）由后台管理员预先设定。

3. 服务器（server）——只看一台机器

通过某台服务器的专属链接进入时，系统直接跳到这一台服务器的详情页，左侧没有完整菜单，也无法切换到别的服务器。这种方式适合"只想给某人看/操作某一台机器"的临时场景。

如前所述，系统把 server 角色当作 user（客户）的一种特例来对待，所以它的可操作范围不会超出普通客户。

📷 （界面截图待补充：客户端登录后的左侧导航，仅有服务器、工单、任务、当前用户等少量入口，与运营端形成对比）

---

三、运营端的"细粒度权限"——基于管理员分组按功能授权

这是本节的重点。管理员（运营端）的权限不是直接挂在每个人身上，而是挂在"管理员分组"上。 一个管理员属于哪个分组，就拥有这个分组被勾选的所有功能权限。

1. 工作原理（先理解再动手）

可以用"门禁卡分组"来类比：

1. 系统里有若干个管理员分组（例如"超级管理员""客服组""网络运维组"）。
2. 每个分组配有一张"权限清单"——清单上逐条列出系统的功能（如"服务器列表""删除机柜""修改 VLAN""重装系统"等），勾上的就是该分组能用的功能。
3. 创建每个管理员账号时，必须把他指定到某一个分组（"分组"是新建管理员时的必填项）。
4. 该管理员登录后，系统读取他所在分组的权限清单：
   • 有权限的功能 → 对应的菜单、页面、按钮才会出现；
   • 没权限的功能 → 菜单不显示、按钮被隐藏或不可点，即使手动猜地址访问也会被拦下。

关键结论：权限是按分组、按功能逐项授予的。改一个分组的权限，会同时影响这个分组里的所有管理员。

2. 在哪里管理管理员分组

导航路径：设置 > 管理员管理。该页面顶部有两个标签页：

• 管理员列表：维护一个个管理员账号（增删改、启用/禁用）。
• 管理员分组：维护分组本身，以及每个分组的"权限清单"。

您能否看到这两个标签页，本身也受权限控制：只有被授予"管理员列表"相关权限才会出现「管理员列表」标签；只有被授予"管理员分组"相关权限才会出现「管理员分组」标签。如果两个都没授权，整个"管理员管理"也不会出现在设置里。

📷 （界面截图待补充：管理员管理页面，顶部显示"管理员列表"和"管理员分组"两个标签页）

3. 新建管理员账号并指定分组

在「管理员列表」标签里：

1. 点击右上角「添加」按钮，弹出"添加 管理员"窗口。
2. 填写以下字段：

字段	是否必填	说明
用户名	必填	登录账号，只允许字母、数字和下划线。创建后不可修改。
昵称	必填	显示用的名字。
密码 / 确认密码	新建时必填	长度 8~20 位；两次必须输入一致。可点输入框里的小图标随机生成强密码。
邮箱	必填	需是有效邮箱，且不能与已有管理员重复（用于接收通知）。
电话号码	选填	需选择国家/地区区号并填写号码。
分组	必填	从下拉里选择该管理员所属的"管理员分组"，决定它的全部权限。

3. 点击「立即添加」保存。修改已有管理员时按钮显示为「立即修改」。

提示：下拉里能选到的就是已启用的管理员分组；被禁用的分组不会出现在这里，也就无法再被指派给新管理员。

📷 （界面截图待补充：新建管理员的弹窗，展示用户名/昵称/密码/确认密码/邮箱/电话号码/分组等字段，重点突出"分组"下拉选择）

4. 管理员分组列表

进入「管理员分组」标签后，可以看到所有分组。列表与可用操作如下：

字段 / 操作	含义	说明
启用	该分组是否启用	列表里的开关。关闭后该分组被禁用；新建管理员时也无法再选到被禁用的分组。
名称	分组名称	点击分组名即可进入该分组的详情，去配置权限。
添加	新建一个管理员分组	点击「添加」后，列表里会出现一行可编辑的新分组，输入名称后点「提交」即可保存（中途可「取消」）。
修改（操作列）	进入分组详情	等同于点击分组名，进入详情后可改名、改权限、改通知。
删除（操作列）	删除分组	仅当分组下没有任何管理员时才能删除；若组内还有人，系统会提示"存在用户，无法删除"。

安全约束（系统强制）：

• 超级管理员账号（系统内置的第一个管理员）不可被删除。 这是为了防止误删后无人可登录；尝试删除会被系统拒绝。
• 删除分组前，请先把组内的管理员转移到别的分组，否则无法删除。

📷 （界面截图待补充：管理员分组列表页，展示"启用"开关、"名称"列以及操作列的"修改/删除"，右上角有"添加"按钮）

5. 给分组分配权限（核心操作）

操作步骤：

1. 进入「设置 > 管理员管理 > 管理员分组」。
2. 点击某个分组的名称（或该行操作列的「修改」），进入分组详情页。
3. 详情页顶部有三个标签：基础设置 / 权限设置 / 通知设置。切换到「权限设置」。
4. 权限设置里是一棵可勾选的权限树：树的层级与系统菜单一一对应——一级是模块（如"用户管理""设备管理"），下面展开是页面（如"服务器列表"），再下面是该页面上的具体操作（如"添加""删除""修改""锁定""重装系统""修改 VLAN"等）。
5. 勾选要授予的功能。勾选父节点会自动级联其子项；也可以只勾选某几个具体操作。
6. 树的上方有一个搜索输入框，可以按名称快速过滤想找的功能项。
7. 勾选完成后，点击右上角「保存」。保存成功后页面会自动刷新使新权限生效。

小白提示：

• 权限树里"列表/查看类"的项（如"服务器列表""机柜管理"）控制的是能否看到/打开这个页面；"操作类"的项（如"删除""锁定""重装系统"）控制的是能否点这个按钮。
• 想让某人"只能看不能改"，就只勾列表/查看类、不勾操作类即可。
• VLAN（虚拟局域网）、ARP 绑定、源地址校验、修改上下行带宽、救援模式、重置 BMC、电源控制 等都是具体的操作权限，可逐项授予（这些专业名词详见各自章节与《IDC 术语速查表》）。

📷 （界面截图待补充：分组详情的"权限设置"标签，展示树形权限清单（模块-页面-操作三级），带复选框、上方搜索框和右上角"保存"按钮）

6. 分组详情里的另外两个标签

标签	作用
基础设置	修改分组名称；设置该组的通知范围：全站 / 仅发起人 / 仅管理组内（决定该组成员能收到哪些范围的系统通知）。改完点「确认保存」，点「重置」可放弃改动。
通知设置	逐项设置该分组成员的消息通知方式（站内 / 邮件 / 短信），如"电源操作成功""系统重装失败""SSL 到期提醒"等事件分别用什么渠道提醒。

这两个标签不影响"能不能用某功能"，只影响分组的名字、通知范围和通知行为，配权限时知道有它们即可，详细用法见通知/消息相关章节。

---

四、为什么有些菜单我看不到？——权限不足时的表现

理解了上面的机制，下面这些常见现象就好解释了：

1. 左侧菜单比别人少。
   你所在的分组没有被勾选这些模块/页面的查看权限，系统就不会把它们渲染到导航里。这不是系统出故障，而是按设计隐藏了。

2. 能看到列表，但某些按钮（如"删除""重装系统""修改 VLAN"）是灰的、点不动或干脆不见。
   说明该页面的查看权限有，但对应的"操作权限"没被授予。前端会把这些按钮隐藏或置为不可点。

3. 直接复制别人的页面链接打开，结果跳到"404"或被退回登录页。
   没有该页面权限的路由根本不会加载，访问就会被导向 404 页面；若是登录态失效，则会退回登录页。

4. 页面能打开，但一执行操作就弹出"当前账户无权限, 拒绝访问"。
   这是后台的最后一道防线。即便前端没拦住，服务端在执行每个操作前都会再次核对你所在分组是否拥有该功能权限；没有就直接拒绝并返回提示"当前账户无权限, 拒绝访问"。也就是说，权限校验是前端隐藏 + 后端拦截"双保险"，绕不过去。

5. 整个分组被"禁用"后，组内管理员受影响。
   分组的"启用"开关一旦关闭，该组就被停用。请改用启用状态的分组，或重新启用。

还有两条隐含规则（系统自动判断，无需你操作）：

• 管理员账号必须属于"管理员类"的分组才能进入运营端；如果一个账号被错误地放进了"用户类"分组，运营端在执行操作时会判定为"当前账户无权限, 拒绝访问"。不过新建管理员时，下拉里能选到的本就是管理员分组，一般不会选错。
• 反过来，用户（客户）账号也不能用运营端的权限，两套体系互不串用。

📷 （界面截图待补充：执行无权限操作时弹出的"当前账户无权限, 拒绝访问"提示，演示后端拦截效果）

---

五、给管理员的实操建议

1. 按岗位建分组，不要给每个人单独配权限。 例如建"客服组（只看工单和服务器）""网络组（管 IP、交换机、VLAN）""超级管理员（全开）"等，把人放进对应组即可，管理省心。
2. 遵循最小权限原则。 只勾岗位真正需要的功能，尤其是"删除""重装系统""锁定/解锁""电源控制"等高风险操作，谨慎授予。
3. 调整权限后让对方重新登录。 权限随分组生效，保存后系统会刷新；如对方已登录，建议其退出后重新登录以确保拿到最新权限。
4. 保留好超级管理员账号。 它不可删除，是系统的"总钥匙"，请妥善保管其密码。
5. 新人入职/离职。 入职时在「管理员列表」新建账号并指定分组；离职时禁用或删除其账号（删除分组前需先清空组内成员）。

---

相关阅读：

• 新建/编辑管理员账号、启用禁用账号 → 见《设置 / 管理员管理》章节。
• 新建/编辑客户账号、用户分组 → 见《用户管理》章节。
• 专业名词（BMC、IPMI、VLAN、ARP、源地址校验、救援模式、带宽限速、PDU、U 位等） → 见《IDC 术语速查表》。