> ## Documentation Index
> Fetch the complete documentation index at: https://docs.yahont.ai/llms.txt
> Use this file to discover all available pages before exploring further.

# Как устроены права

> Как работают права на основе групп, менеджеры групп и доступ к документам в Yahont

Права в Yahont основаны на группах. Доступ пользователя — это сочетание прав из всех групп, в которые он входит,
плюс любой ограниченный доступ, который он получает как **менеджер группы**.

Главное правило простое: **права складываются**. Если пользователь входит в несколько групп, Yahont суммирует их права.
Членство в одной группе не отнимает доступ, предоставленный другой группой.

## Уровни прав

Представьте права как слои. Каждый слой может добавлять пользователю доступ.

**Сервисный аккаунт без группы**
Только чат — без поиска и без доступа к администрированию

**Basic**
Основной доступ к чату, поиску и личному использованию

**Менеджер группы**
Ограниченное управление участниками и ресурсами одной группы

**Права группы**
Права на уровне организации, предоставленные каждому участнику группы

**Admin**
Полный доступ к рабочему пространству

Пирамида расширяется по мере роста доступа:

* **Сервисный аккаунт без группы** — самый узкий уровень. Сервисный аккаунт, не входящий
  ни в одну группу, может писать в чат, но не может искать и не имеет доступа ни к одной странице администрирования.
  Сюда попадают только сервисные аккаунты; обычные пользователи всегда начинают с группы.
* **Basic** даёт пользователям основной доступ к рабочему пространству: чат, поиск и личное использование.
* **Менеджер группы** добавляет доступ к управлению участниками и ресурсами одной конкретной группы.
* **Права группы** предоставляют права на уровне организации всем участникам этой группы.
* **Admin** имеет полный доступ ко всему рабочему пространству.

> [!NOTE]
>
> Слои показывают, **насколько далеко простирается доступ**, а не строгую иерархию.
> Менеджер группы и право группы — разные механизмы: доступ менеджера группы всегда ограничен группами,
> которыми он управляет, а право группы действует во всей организации. В зависимости от того, что вы предоставляете,
> одно не обязательно «больше» другого.

## Группы по умолчанию

В Yahont есть две группы по умолчанию:

| Группа | Назначение |
| - | - |
| Basic | Даёт пользователям основной доступ к платформе: чат, поиск и личное использование. |
| Admin | Даёт полный доступ к администрированию рабочего пространства. |

Обычные пользователи попадают в группы по умолчанию в зависимости от уровня доступа. Сервисные аккаунты,
например API-ключи, тоже можно назначать в группы при настройке.

Пользовательские группы позволяют предоставлять определённые права пользователям этой группы.

> [!NOTE]
>
> Пользовательские группы и настраиваемые права групп — функция Enterprise Edition.

> [!WARNING]
>
> Поскольку весь доступ идёт от групп, пользователь, который **не входит ни в одну группу**, не имеет никаких прав.

## Сервисные аккаунты и группы

Сервисный аккаунт получает доступ так же, как пользователь: из групп, в которые он входит.
Вы выбираете эти группы в селекторе **Группы** при создании API-ключа.

Сервисный аккаунт, который **не входит ни в одну группу**, может писать в чат,
но не может искать и не имеет доступа ни к одной странице администрирования. Это самый узкий уровень в слоях прав.

Чтобы дать сервисному аккаунту больше доступа, добавьте его в группу. Тогда он получит права этой группы точно так же,
как пользователь.

> [!TIP]
>
> Если API-ключ может писать в чат, но поиск ничего не возвращает, проверьте, входит ли его сервисный аккаунт в группу.

## Как Yahont вычисляет права пользователя

Yahont проверяет каждую группу, в которую входит пользователь, и объединяет права из этих групп.
Если этот же пользователь также назначен **менеджером группы** на странице группы,
Yahont добавляет и этот ограниченный доступ менеджера.

Например, у Прии следующие назначения:

| Назначение | Что даёт |
| - | - |
| Участник **Basic** | Основной доступ к платформе. |
| Участник **Analytics Viewers** | Любые права уровня организации, предоставленные группе Analytics Viewers. |
| Менеджер группы **Engineering** | Ограниченное управление участниками и ресурсами группы Engineering. |

Прия получает все три набора доступа. Группа Analytics Viewers не ограничивает её доступ менеджера Engineering,
а доступ менеджера Engineering ничего не отнимает у Basic.

## Права групп

Права группы предоставляются группе и действуют для каждого участника этой группы.

> [!WARNING]
>
> Права групп действуют на уровне организации.
> Если вы предоставите группе **Управление коннекторами и наборами документов**,
> каждый участник этой группы сможет управлять коннекторами и наборами документов во всём рабочем пространстве.

Используйте права групп, когда хотите, чтобы у команды была одна и та же возможность на уровне организации.

Типичные примеры:

* Дайте группе ИТ-администраторов **Управление коннекторами и наборами документов**,
  чтобы они управляли всеми коннекторами.
* Дайте группе, отвечающей за модели, **Управление LLM**, чтобы они настраивали языковые модели.
* Дайте группе аналитиков **Просмотр истории запросов**, чтобы они изучали активность запросов.
* Дайте группе платформы для разработчиков **Управление действиями**,
  чтобы они поддерживали действия рабочего пространства и MCP-серверы.

Эти права задаются на странице группы в панели администратора.
Обзор страниц пользователей и групп смотрите в разделе [Пользователи и
группы](/admins/user_management/users_and_groups).

![Панель прав группы с переключателем для каждого доступного права](https://mintcdn.com/yahont-ai/UKtfkv0aQHzrYqTA/assets/admins/user_management/group_permission_toggle.png?fit=max\&auto=format\&n=UKtfkv0aQHzrYqTA\&q=85\&s=106f1b0eda5031d570498f3a4c914f1f)

## Менеджеры групп

**Менеджер группы** — пользователь, который может управлять одной конкретной группой на странице этой группы.
Это модель ограниченных прав в Yahont.

Менеджеры групп полезны, когда руководитель команды должен управлять пользователями и ресурсами своей команды,
но не должен получать полномочия администратора на уровне организации.

В рамках группы, которой он управляет, менеджер группы может:

* Добавлять участников в эту группу и удалять их.
* Управлять коннекторами и наборами документов, доступными только этой группе.
* Управлять агентами, доступными только этой группе.
* Управлять действиями через агентов, доступных этой группе.

Менеджер группы не может:

* Управлять ресурсами, которые не доступны группе, которой он управляет.
* Делать ресурс публичным.
* Делиться ресурсом с группой, которой он не управляет.
* Предоставлять права на уровне организации.

Участника можно назначить менеджером группы из списка участников на странице этой группы. Участники,
управляющие группой, отмечены значком **Менеджер**.
Обзор этой страницы смотрите в разделе [Пользователи и группы](/admins/user_management/users_and_groups).

![Список участников группы при редактировании: один участник отмечен как менеджер](https://mintcdn.com/yahont-ai/UKtfkv0aQHzrYqTA/assets/admins/user_management/group_manager_row.png?fit=max\&auto=format\&n=UKtfkv0aQHzrYqTA\&q=85\&s=11964f6f0e1bd574c3a10459b8b1a302)

## Право группы и менеджер группы

Это самое важное различие:

| Механизм | Кто получает? | Область | Лучше всего подходит для |
| - | - | - | - |
| Право группы | Каждый участник группы | Вся организация | Команд, которым нужна одна и та же возможность во всём рабочем пространстве. |
| Менеджер группы | Один участник на странице одной группы | Только эта группа | Руководителей команд, которые должны управлять участниками и ресурсами одной группы. |

Если вы хотите, чтобы человек управлял ресурсами только одной группы,
сделайте его **менеджером группы** на странице этой группы.
Не предоставляйте право **Управление** на уровне всей группы, потому что права групп действуют во всей организации.

## Доступные права групп

Следующие права можно назначать пользовательским группам:

| Право | Что разрешает |
| - | - |
| Управление LLM | Добавлять и обновлять конфигурации языковых моделей. |
| Управление коннекторами и наборами документов | Добавлять и обновлять коннекторы и наборы документов во всём рабочем пространстве. |
| Управление действиями | Добавлять и обновлять пользовательские инструменты, MCP-серверы и OpenAPI-действия во всём рабочем пространстве. |
| Управление группами | Добавлять и обновлять группы пользователей во всём рабочем пространстве. |
| Управление сервисными аккаунтами | Добавлять и обновлять сервисные аккаунты и их API-ключи. |
| Управление ботами Slack и Discord | Добавлять и обновлять интеграции Yahont со Slack или Discord. |
| Создание агентов | Создавать и редактировать собственных агентов пользователя. |
| Управление агентами | Просматривать и обновлять публичных и общих агентов во всём рабочем пространстве. |
| Просмотр аналитики агентов | Просматривать аналитику агентов, которыми владеет пользователь. Пользователи с правом **Управление агентами** могут просматривать аналитику всех агентов. |
| Просмотр истории запросов | Просматривать историю запросов во всём рабочем пространстве. |
| Создание токена доступа пользователя | Добавлять и обновлять персональные токены доступа пользователя. |

> [!NOTE]
>
> Право **Просмотр аналитики агентов** не ограничивается доступом менеджера группы. Право можно предоставить группе,
> но для аналитики на уровне агента пользователь по-прежнему должен владеть агентом,
> если у него нет права **Управление агентами**.

> [!NOTE]
>
> В Community Edition нет настройки прав групп, поэтому право **Создание агентов** доступно всем.
> Права из этой таблицы настраиваются для каждой группы в Enterprise Edition.

## Доступ к документам определяется отдельно

Права определяют, что пользователь может делать в панели администратора и какими ресурсами он может управлять.
Видимость документов по-прежнему определяется настройками доступа коннекторов и ресурсов.

Коннекторы могут быть:

* **Приватные**: видны только создателю и пользователям или группам, которым явно предоставлен доступ.
* **Публичные**: видны всем пользователям Yahont.
* **Автосинхронизация прав**: доступ ограничен правами, синхронизированными из исходной системы.

Это значит, что у пользователя может быть право управления, при этом он не обязательно видит в поиске все документы.
Результаты поиска по-прежнему учитывают управление доступом к документам.

## Типичные настройки

| Цель | Рекомендуемая настройка |
| - | - |
| Дать всем обычный доступ к рабочему пространству | Оставьте пользователей в **Basic**. |
| Дать нескольким людям полный административный доступ | Добавьте их в **Admin**. |
| Дать ИТ управление всеми коннекторами | Создайте группу ИТ и предоставьте ей **Управление коннекторами и наборами документов**. |
| Позволить руководителю команды управлять только ресурсами Engineering | Сделайте пользователя **менеджером группы** на странице группы Engineering. |
| Позволить аналитикам просматривать историю запросов | Создайте группу Analytics и предоставьте ей **Просмотр истории запросов**. |

## Краткий чек-лист

* Помещайте обычных пользователей в **Basic**.
* Помещайте полных администраторов в **Admin**.
* Используйте **права групп**, только когда доступ должен действовать на уровне организации.
* Используйте **менеджера группы**, когда доступ должен оставаться ограниченным одной группой.
* Проверяйте настройки доступа коннекторов отдельно,
  потому что видимость документов обеспечивается вне списка прав групп.

## Часто задаваемые вопросы

> **Права складываются или переопределяют друг друга?**
>
> Права складываются. Если пользователь входит в несколько групп, Yahont объединяет права из всех этих групп.
> Членство в одной группе не отнимает доступ, предоставленный другой группой.

> **Ограничены ли права групп этой группой?**
>
> Нет. Права групп действуют на уровне организации. Только доступ **менеджера группы** ограничен конкретной группой.

> **Когда использовать менеджера группы вместо права группы?**
>
> Используйте **менеджера группы**, когда один человек должен управлять участниками и ресурсами только одной группы.
> Используйте право группы, когда каждый участник группы должен получить возможность на уровне организации.

> **Может ли менеджер группы сделать ресурс публичным?**
>
> Нет. Менеджеры групп не могут делать коннекторы,
> наборы документов или агентов публичными и не могут делиться ресурсами с группами, которыми не управляют.

> **Показывает ли «Просмотр аналитики агентов» аналитику всех агентов?**
>
> Нет. **Просмотр аналитики агентов** позволяет пользователям просматривать аналитику агентов, которыми они владеют.
> Пользователи с правом **Управление агентами** могут просматривать аналитику всех агентов.

> **Показывает ли право управления все документы в поиске?**
>
> Нет. Видимость документов определяется отдельно настройками доступа коннекторов: **Приватный**,
> **Публичный** и **Автосинхронизация прав**.

> **Какие группы есть по умолчанию?**
>
> Группы по умолчанию — **Basic** и **Admin**.

> **Используют ли сервисные аккаунты права групп?**
>
> Да. Сервисные аккаунты, например API-ключи, назначаются в группы и получают права из этих групп точно так же,
> как пользователь. Вы выбираете группы в селекторе **Группы** при создании ключа. Сервисный аккаунт,
> не входящий ни в одну группу, может писать в чат,
> но не может искать и не имеет доступа ни к одной странице администрирования. Аккаунты ботов,
> анонимные и внешние аккаунты-заполнители управляются системой, и ими не управляют как обычными пользователями.

> **Что будет, если пользователь не входит ни в одну группу?**
>
> У него нет никаких прав. Весь доступ в Yahont определяется членством в группах.

> **Как анонимные пользователи вписываются в права?**
>
> Анонимные пользователи существуют только при включённом анонимном доступе и могут попасть только в чат.
> У них нет аккаунта, и они не входят ни в одну группу, поэтому им нельзя выдать права,
> и они не отображаются в слоях прав как отдельный уровень.

> **Можно ли создавать пользовательские роли?**
>
> Да. Создайте пользовательскую группу и назначьте права, соответствующие нужной роли.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.