管理组织
组织上线清单
按角色列出一个组织开始使用 ZAI 前要做的事，以及组织资源的总览和管理原则。
适用于组织 Owner / Admin
一个组织开始使用 ZAI 前，需要 IM 平台的管理员、Z Tag 管理员和组织 Owner / Admin 各做一部分。下面按顺序列出每一步由谁来做。Z Tag 管理员是为你的组织运行和维护 Z Tag 服务的人或团队，不是控制台里的组织角色；组织 Owner / Admin 由 Z Tag 管理员设置，控制台里不能修改角色，见组织角色与权限。
上线清单
| 步骤 | 谁来做 | 做什么 | 详见 |
|---|---|---|---|
| 1. 创建应用 | 飞书企业管理员或开放平台的应用管理员 | 在飞书开放平台创建自建应用，按手册配置事件、回调和权限并发布，设置应用的可用范围；把应用凭证交给 Z Tag 管理员 | 应用配置、飞书企业管理员须知 |
| 2. 登记应用，设置角色 | Z Tag 管理员 | 把应用接入本组织，并设置组织 Owner / Admin | 组织角色与权限 |
| 3. 确认接入状态 | 组织 Owner 或 Admin | 在 组织管理 → IM 接入 确认安装状态和连接状态正常 | 查看 IM 接入 |
| 4. 确认模型 | 组织 Owner 或 Admin | 在 范围设置 → 整个组织 → Agent 设置 确认 当前生效 的 Engine 与模型；需要用自己的模型服务时，新建模型上游并应用到整个组织 | 配置模型路由与回复审阅 |
| 5. 设置语言与地区 | 组织 Owner 或 Admin | 在 范围设置 → 整个组织 → 语言与地区 设置回复语言、办公地区和时区 | 组织的语言、地区与时区 |
| 6. 准备第一个连接器 | 组织 Owner | 按用途新建连接器，添加凭证或域名，写好使用指令；Admin 可以协助维护其中的凭证和域名 | 连接器 |
| 7. 设置使用范围 | 组织 Owner | 在 范围设置 里把连接器加到要用它的 Channel（控制台对群的叫法）、Workspace 或整个组织，或授权给指定成员、全体成员 | 范围设置 |
| 8. 在聊天里验证 | 任一成员 | 在已有 ZAI 的群里 @ZAI 发起一个只读的小任务，确认它用上了这个连接器 | 5 分钟完成第一个任务 |
用商店版 ZAI 时，第 1、2 步换成安装商店版 ZAI；用配对码新建组织的人就是 Owner，从第 3 步继续。
第 7 步里的 使用范围 是 Z Tag 里的授权，决定 ZAI 在哪些群和私聊里能用这个连接器；它和第 1 步飞书应用的可用范围（企业里哪些人能看到并使用这个应用）不是一回事，见使用范围。
第 3 步看到异常状态时，按查看 IM 接入里的说明处理。之后每位成员都可以在控制台的 我的资源 里配置只供自己使用的资源，见在控制台管理自己的资源。
组织资源总览
控制台里的组织资源分五类。下表附上英文名，便于对照本机程序和英文资料；控制台和本手册其余页面只用中文名。
| 资源 | 英文名 | 解决什么问题 | 详见 |
|---|---|---|---|
| 连接器 | Access Bundle | 把一个用途所需的业务系统地址、凭证、Database、SSH、Git 仓库和 Kubernetes 放在一起 | 连接器 |
| 远程设备 | Device | 在已接入的电脑上执行命令、传输文件或操作桌面 | 远程设备与网络隧道 |
| 插件 | Plugin | 从 Git 仓库同步或上传团队维护的技能说明、脚本和参考资料 | 管理插件 |
| 沙箱配置 | Environment | 决定 ZAI 沙箱的出网级别和内网路由 | 沙箱配置与网络隧道 |
| 网络隧道 | Network Connector | 安装在企业网络里，让获得授权的请求到达内网目标 | 远程设备与网络隧道 |
网络隧道的本机程序叫 Z Tag Network Connector（命令 ztag-network-connector），它和控制台里的 连接器 是两种不同的资源。
五类资源在群里和私聊里怎样生效，见能力在哪里生效；成员看到的说明见ZAI 能用哪些团队资源。
需要开启的功能
插件和 Artifact 默认关闭，由 Z Tag 管理员为整套 Z Tag 服务开启，不能按组织、Workspace 或 Channel 单独开关。需要时请 Z Tag 管理员开启。
| 功能 | 开启后 | 没有开启时 | 详见 |
|---|---|---|---|
| 插件 | 组织和成员可以从 Git 仓库同步或上传团队维护的技能 | 控制台侧栏没有 插件 | 管理插件 |
| Artifact | ZAI 可以把网页和文档发布成组织成员登录后打开的链接 | 组织管理 的侧栏没有 Artifact；ZAI 改用附件交付 | 管理 Artifact |
管理原则
- 范围由所在的聊天决定。 ZAI 在一个群里、或在私聊里能用哪些资源，由资源的 使用范围 和成员授权决定。成员在消息里写其他资源的名称或 ID，不会扩大这个范围。
- 能看到不等于能用上。 ZAI 一开始看到的资源只是概览。每次真正使用前，Z Tag 还会重新确认：资源仍对当前的群（或私聊）生效，凭证有效，远程设备已启用且在线，网络隧道在线；任一项不满足，这次访问会被拒绝；需要经过网络隧道的请求也不会改走公网。业务系统自己的权限照常生效。
- 管理权和使用权分开。 能管理一个资源，不等于它已对某个群生效：还要在资源的 使用范围 里加上这个 Channel，或它所在的 Workspace、整个组织。反过来，授权成员使用也不会让他能管理这个资源。
- 凭证留在 Z Tag。 连接器里的令牌、密码和私钥不会交给 ZAI。不要把凭证写进连接器名称、使用指令或插件。