关于组织级群组用户因View instance-level information权限限制无法执行项目查询的解决方案咨询

核心问题是组织级的Deny权限优先级高于项目级的Allow权限，直接在组织群组上Deny「View instance-level information」会导致用户无法完成任何依赖基础实例访问的操作，包括项目内查询。要实现你的需求，需调整权限策略，避免直接使用组织级Deny，具体方案如下：

方案1：移除组织级Deny，仅授予项目级权限 #

• 删除组织级群组中「View instance-level information」的Deny设置
• 仅为目标用户分配特定项目的必要权限（如项目数据查看、查询执行权限），确保他们不加入任何拥有组织级查看权限的群组
• 这种方式下，用户因未被授予组织级查看权限，无法访问组织级设置，但能正常操作已分配的项目

方案2：创建自定义权限组（平台支持时） #

• 新建一个自定义权限组，仅包含项目内查询所需的具体权限（例如「View project data」「Run project queries」），不包含「View instance-level information」
• 将目标用户添加到该自定义组，同时排除他们在任何拥有组织级查看权限的群组中
• 此方式权限粒度更精准，避免不必要的权限授予

注意：部分平台中「View instance-level information」属于基础权限，直接Deny会阻断所有需要实例上下文的操作，因此必须通过不授予组织级权限的方式实现限制，而非直接Deny。

内容的提问来源于stack exchange，提问作者MadDeveloper