团队角色（RBAC）
通过内置角色和自定义角色，控制团队成员可以管理的内容。
Cliqer 通过团队角色控制团队中每位成员可以管理的内容。
角色功能包含在 Enterprise 套餐中，也可通过 Presenter、Studio HD、Studio 4K 和 Studio 8K 上的 Enterprise 附加组件获得，管理位置为
控制台 → 团队 → 安全（/dash/team/security）。
角色管控团队管理操作：邀请成员、编辑品牌、 管理安全设置、API 密钥和自定义域名。角色在服务器端强制执行： 每个管理端点在执行任何操作之前都会检查操作成员的权限， 因此未授予的权限无法使用，即使通过 API 也不行。
权限
每个角色可以授予以下权限的任意组合：
| 权限 | 允许的操作 |
|---|---|
| 管理成员 | 邀请、移除成员以及更改成员角色 |
| 管理品牌 | 编辑团队的白标品牌 |
| 管理安全 | SSO 提供商、SCIM 令牌、SSO 强制执行、自定义角色 |
| 管理 API 密钥 | 创建和撤销自助服务 API 密钥 |
| 管理自定义域名 | 添加、验证和移除自定义域名 |
内置角色
每个团队都有三个内置角色：
| 角色 | 权限 |
|---|---|
| 所有者 | 始终拥有全部权限。所有者同时也是 SSO 应急（break-glass）账户。 |
| 管理员 | 管理成员、品牌和安全 |
| 成员 | 无管理权限（可以使用产品，但不能管理团队） |
默认情况下，API 密钥和自定义域名仅限所有者或自定义角色管理：除非您通过自定义角色授予该权限， 否则管理员无法管理它们。
自定义角色
当内置角色无法满足需求时，可以创建一个自定义角色，精确配置您所需的 权限，然后将其分配给成员。自定义角色授予的权限永远不会超过所有者已有的权限。
- 在团队 → 安全 → 团队角色下创建、编辑和删除自定义角色。
- 为成员分配自定义角色后，该角色将覆盖其内置角色。
- 删除某个自定义角色后，使用该角色的所有成员 会自动恢复为其内置角色。
执行机制
团队管理端点会解析操作成员的有效权限：
所有者（全部权限）、自定义角色的明确权限列表，或内置角色的默认权限，
如果缺少所需权限，则拒绝该请求。这与整个控制台中使用的检查相同
（security.manage、members.manage 等），因此您在界面中
看到的内容与服务器允许的操作完全一致。
本文涉及的是团队管理。Cliqer 的内部
平台管理员控制功能是独立的，客户无法配置。