范围设置

侧栏的 范围设置 是控制台里管理资源授权、Agent 与语言地区设置的统一入口。它把同样的几个分区放在每个范围上，进入哪个范围，就改哪个范围自己的设置。

谁可以做：组织 Owner 可以修改所有范围；Admin 可以查看大多数分区，只有资源分区的 添加资源 和 移除直接授权 需要本范围的管理权限。成员在 我的资源 → 范围设置 里只看自己的页面。

选择范围

左栏是逐层进入的列表，像 IM 的会话列表一样：

• 顶层是 整个组织、各个 Workspace、成员 和 全体成员。成员 不是范围，点进去列出组织里的成员。
• 进入 Workspace 后列出其中的 Channel（控制台对群的叫法）；顶部的 返回上一级 回到顶层。
• 顶部可以按名称搜索。列表上方的 全部 / 只看有覆盖 切换只看自己设过值的 Workspace 或 Channel；有覆盖 是行尾的小圆点。

打开的 URL 会带上当前范围和分区，可以直接收藏或发给同事。地址的末段是 scopes，其后按范围接 ws/<范围 id>、ch/<范围 id>、member/<范围 id> 或 all-members，再接分区名（agent、regional、resources 等）。

从旧的 使用范围、模型路由、语言与地区 页面链接进来时，会自动落到对应的范围与分区。

分区

选中范围后，右侧按这个范围显示分区。组织、Workspace 和 Channel 有全部五个分区；成员和全体成员只有 资源。每个分区正文只有一行说明，更细的规则放在问号提示或各行的编辑对话框里。

概览

概览 不修改任何东西，只回答三件事：

• 与上级不同：这个范围自己设了哪几项（Engine 与模型、模型上游、回复审阅、语言、办公地区、时区），没列出的都沿用上级。组织根没有上级，没在这里设置的项目用系统默认值。
• 计数：在这里直接生效的资源数、订阅这个范围的 Webhook 数；组织根和全体成员另显示成员数，Workspace 另显示 Channel 数。从上级继承的部分不计入。
• 有覆盖的范围（只在组织根）：多少 Workspace 自己设过值、一共几处。按钮会把左栏的 只看有覆盖 滚到眼前并聚焦，由你自己决定是否切换。

继承与覆盖

设置按 Channel → Workspace → 整个组织 → 系统默认 从近到远取第一个已设置的值。资源授权同理：加到 Channel 的直接授权优先于加到 Workspace、整个组织的。

• 在组织根设置一项，所有没单独设置的 Workspace 和 Channel 都跟着变。
• 在某个范围设置一项，只影响这个范围和它下面没有另行设置的层。
• 选 继承上一级 会清除这个范围自己的值，改为使用上一层的值。

各分区的边界不同：

• Agent 设置 和 语言与地区 逐层继承，详见各自页面。
• 资源 是累加的：上层授权的资源在本范围仍然可用，标注 沿用上级；本范围自己的标注 直接授权，可以 移除直接授权。移除后如果上层还有授权，资源仍然可用。
• Webhook 分区的 Webhook 不继承：每个 Webhook 属于创建它的 Channel 或连接器，只在它自己的范围显示。

成员与全体成员

成员 范围只显示组织授给这位成员的资源，分区也只有 资源。全体成员 同理，分区也只有 资源。

成员自己的私人设置不在这里显示：他在 我的资源 里设置的连接器、模型路由、语言与地区都看不到。这里能看到的是组织为他做的安排，见授权给指定成员与全体成员。

资源分区

资源 列出在这里生效的全部资源，按类型分组：连接器、插件、沙箱配置、远程设备、网络隧道。Channel 的页面没有网络隧道一组，因为隧道只授权给成员和全体成员。

每行写明：

• 名称和状态，例如在线、离线、同步失败。
• 直接授权：这个范围自己加的，可以 移除直接授权。
• 沿用上级：从上层继承来的，只读；上面写着最近的来源。

点 添加资源… 选择资源和类型，只有当前范围支持的类型才会列出。加连接器时可以在 高级设置 里填 授权优先级（整数，默认 0）。

各类资源能加到哪一层：

把资源放在哪一层：

• 全组织共用：放在 整个组织。
• 一个 Workspace 共用：放在这个 Workspace。
• 只有一个 Channel 要用：放在这个 Channel。
• 只有一位成员在私聊里用：授权给这位成员，或请他在 我的资源 里自建。
• 每位成员都要用：授权给 全体成员，以后加入的成员自动获得。

授权给指定成员与审批的完整说明，见成员授权与审批；全体成员 与 授权优先级 见本页全体成员与授权优先级。匹配到多份凭证或域名时怎样选，见同一目标匹配到多份时。

授权优先级

只有连接器有 授权优先级。一个地址匹配到多份凭证或域名时，优先级是最后一项比较，数值大的优先；前面的来源、范围、目标精确程度怎样比较，见同一目标匹配到多份时。

所以不能靠优先级让上层的配置压过下层：在一个 Channel 里，直接加到它的连接器即使主机写得宽泛，也会胜过加到整个组织、主机写得更精确的连接器。

撤销直接授权后如果还有其他来源，资源仍然可用。撤销对之后的请求、新建的连接和新的隧道访问生效，已经打开的 Database、SSH 和 Git 连接也会断开，见限制。远程设备上已经开始的操作会执行到结束。

全体成员

全体成员 覆盖本组织每位有效成员的 个人范围（对应他们和 ZAI 的私聊），包括以后加入的成员。成员离开组织后授权失效，恢复成员资格后重新生效。

在 范围设置 → 全体成员 → 资源 点 添加资源…，或在资源的详情里加到 全体成员，两种做法效果相同。

应用通讯录权限范围内的同企业用户，以及 Bot 所在群中能确认属于同一企业的用户，会自动加入组织，不必先发消息或登录控制台，因此也会取得 全体成员 的授权。群成员来源不依赖通讯录权限；通讯录范围缩小、用户退群或 Bot 被移出，都不会取消已加入的成员资格。外部群里其他企业的成员不是本组织成员，不在 全体成员 之内。

在群里，ZAI 不经过 全体成员 取得资源，仍按整个组织、Workspace 和 Channel 的授权。

单独授权给成员和授权给全体成员可以同时存在，互不影响：撤销 全体成员 后，单独授权给成员的仍然有效；撤销某位成员的单独授权后，只要全员授权还在，他仍然可以使用。全体成员没有排除名单，需要排除个别成员时，改为逐个授权给指定成员。全员授权只给使用权，不给管理权。

连接器里的 Database、SSH 和随连接器启用的插件，也通过这条授权提供。网络隧道只提供引用权，成员要在自己的连接器里指定这条隧道，或在自己的沙箱配置、模型上游里引用它。

成员隐私

成员在 我的资源 里为自己建的连接器、远程设备、网络隧道，以及他给自己设的 Agent 设置、回复语言、地区与时区，都不在 范围设置 里显示。管理员看到的成员范围只有组织对他的授权。

这条边界对查看和使用都成立：组织看不到成员自己的资源，成员的资源也不会带进群，见能力在哪里生效。

成员在 我的资源 → 范围设置 里看到的是自己的页面：只有 资源 分区，列出他在私聊里可用的全部资源，组织提供的只能查看，见在控制台管理自己的资源。

核对来源与排查

资源行上标 沿用上级 时，先沿它写明的来源核对配置，不要在当前范围重复创建同名资源。

• 资源在聊天里用不上：先看它是否加到当前 Channel、所在 Workspace 或整个组织，凭证是否有效，远程设备是否在线。见能力在哪里生效。
• 改一项设置后没看到生效：Agent 设置在下一个 Session 开始时生效，语言、地区和时区从之后的消息开始生效，已保存的定时任务保留创建时的时区。
• 值来自意想不到的一层：在 概览 的 与上级不同 里看这个范围自己设了哪几项，再到上一层的同名分区核对。