权限管理#

Skylab 使用基于角色的权限管理（RBAC，Role-Based Access Control）的设计思路，权限赋予角色，角色赋予用户或者用户组，方便批量权限管理。在此基础上，为了更加灵活，同时开放了将权限赋予具体用户的赋权方式，适合简单的场景。遵循最佳实践，建议使用角色来组织、管理权限：

将角色赋给用户，用户即拥有这个角色所拥有的权限。
将角色赋给用户组，用户组内所有用户即拥有这个角色所拥有的权限。

所以，给某用户授权有三种方式：直接给用户授权、把有相应权限的角色赋予给该用户、把该用户加入某具有权限（被赋予某角色）的用户组。

限制与约束#

如下图所示，OushuDB 的系统权限不能通过角色继承，数据对象的权限是可以继承的，详见 OushuDB 用户手册。

例如某用户 A 被赋予了某角色 A，角色 A 具有 OushuDB 中“创建数据库”的权限，该权限无法继承到用户 A，如果需要用户 A 具备“创建数据库”的权限，需要单独给用户 A 赋予该权限。

支持层级多租户之后，租户的子租户、租户用户、租户内的角色等可以被赋予的权限只能是其父租户权限的子集。

租户权限管理#

引入层级租户之后，除了给租户用户、租户的角色赋权之外，您还可以给租户赋权。父租户管理员登录之后，在用户管理页面，鼠标悬浮到某子租户上，点击“权限管理”图标（钥匙的图标）即可打开子租户权限管理页面。该页面与用户、角色的权限管理页面相同，在此您可管理机器、集群、数据库的数据、数据库的计算资源（VC）与其他产品的权限。

为用户/角色赋权#

您可以为用户或者角色赋权，需要在不同的功能中操作。为用户授权需要从“个人中心”的“用户管理”页面的“用户”标签进入，选中某子用户，点击“权限”。给角色授权需要从“个人中心”的“用户管理”页面的“角色”标签进入，选中某角色，点击“权限”，即可打开如图所示权限管理窗口。
最佳实践：角色是权限的集合，规划您的角色，为角色授权，然后将角色赋予用户、用户组。

最左侧，是权限的分类，产品为第一级分类，产品下面还可以分二级分类，例如 OushuDB 可以分为数据、计算集群（实例）、工作簿三种权限。在右侧最上部分可以选择具体的 OushuDB 集群（有的分类/子分类并没有集群，如工作簿）来进行权限管理。再往下是系统权限，右下主要内容是对象的权限管理。在对象权限管理部分，左侧是对象的列表，右侧是具体的操作权限的选择。选择或者反选您需要调整的权限，点击“提交“即可保存调整后的权限。