概述

集团管理员

单集团管理员为Admin账号（不支持灵活配置），具有集团最高权限，可管理、编辑、查看集团下所有项目的功能、资源、数据行权限。

Id-mapping 配置为集团管理员专享，仅集团管理员可对该项进行配置。集团管理员可配置项目管理员和资源管理者。

资源管理者

资源管理者，在各个业务模块（ 标签模块、分群模块），为其他用户授予资源权限，资源管理者可以灵活设置。

可在其拥有的资源权限范围内进行资源权限配置。

主账号

主账号是集团账号，具有集团最高权限，可管理、编辑、查看集团下所有项目的功能、资源、数据行权限。

数据规则

资源下某一行的权限，如售卖渠道标签，有些用户只能查看“渠道=抖音”的标签、有些用户只能查看“渠道=京东、天猫”的标签，

Part 1

火山引擎-访问控制

用于创建项目、用户账号、角色等。
CDP可直接关联并使用创建后的用户、角色。

访问控制文档

Part 2

VeCDP-项目中心

用于管理用户、用户组，授权CDP的各类权限等。

按用户管理
按内容管理

确定管理员

根据集团与项目的划分逻辑，确定集团与项目管理员，集团管理员默认有该集团下全部项目的权限，项目管理员需要项目创建者手动授予”项目管理权限点”。

单集团的集团管理员为admin，不支持设置其他人，多集团的管理员可灵活设置多个人。

集团管理员设置：
项目管理员设置：

集团管理员配置入口：
项目管理员配置入口

完成配置之前，需要先在火山引擎控制台创建项目、角色账号和角色等。操作文档参考：身份配置

确定授权对象

不建议为单个用户一个个授权，效率低，且后续维护成本高，建议：

1. 如果权限体系要对接组织架构，那建议将组织架构作为主授权对象，辅以用户组可以做一些灵活变更。

2. 如果权限体系不对接组织架构，建议用“角色”或“用户组”作为主授权对象。

• 什么时候用“角色”

角色是集团粒度的，跨项目。创建一个角色后，会在该集团下的各个项目中可见，各个项目无需重复创建。如果各个项目的角色一致，都存在数据开发、运营人员、营销人员等角色，便适合用“角色”概念。

• 什么时候用“用户组”

用户组是项目粒度的，创建的一个用户组只在该项目可用。如果只需要在项目粒度使用，比如某项目数据开发A组、运营B组等，便适合用“用户组”概念。

完成授权之前，需要先添加用户后方可按角色或角色组进行授权，用户添加可参考文档：添加用户

授予功能模块权限

为部门/角色/用户组批量授予功能权限。

按用户管理：

按内容管理：

按用户管理参考文档：按用户管理
按内容管理：
按内容管理

授予资源权限

为部门/角色/用户组批量授予可视化建模任务、数据集、标签、分群等批量授予资源权限。资源支持全局授权，可将全部标签、分群、洞察报告的查看、编辑、管理权限授予对应对象。

按用户管理：
按内容管理：

参考文档： 全局资源授权
按用户管理：
按用户管理
按内容管理：按内容管理

授予数据规则权限

目前只支持“标签”进行行权限控制，比如A用户在VeCDP只能查看“来源渠道=微信“的用户，B用户在VeCDP只能查看“来源渠道=抖音”的用户。

举例：银行建设了客户标签体系，可查看各个客户的标签及标签值。但存在银行每个客户经理管理的客户不一样，每个客户经理只能查看自己客户的标签值，则需要对客户进行行级权限管控。

解决方案（动态行级权限）：

1. 新加工一列标签，叫“客户所属客户经理”

2. 在VeCDP的“用户管理”中（客户经理是VeCDP的登录用户），用户属性列中，有一列可以与上述“所属客户经理”的值是同样的，如果没有的话，可以通过“扩展用户标识”功能增加一列。

3. 在VeCDP的行级权限中配置“动态行级权限”

规则：标签（所属客户经理）= 用户姓名 或 标签（所属营业部）=客户经理所属营业部
后续去查询时，SQL语句中会根据当前登录用户动态替换用户姓名，实现数据的权限控制。

数据权限配置入口：

参考文档：数据授权
数据授权