飞书企业管理员须知

本页面向审核和管理 ZAI 所在飞书应用的飞书企业管理员。创建应用、订阅事件与开通权限的操作步骤见配置飞书应用。

谁可以使用 ZAI

• ZAI 接入飞书用的是你们企业的一个自建应用，由 Z Tag 管理员接入本组织。
• 应用的“可用范围”决定企业里谁能使用 ZAI：可用范围内的成员可以私聊 ZAI、从 ZAI 打开控制台并登录、收到 ZAI 私聊发来的审批通知。不在可用范围内的人登录控制台时会看到 无法使用这个飞书应用；审批人不在可用范围内时，审批详情会在他旁边标注 通知未送达。
• 可用范围由开放平台上这个应用的管理员在创建版本时设置，经企业管理员审核发布后生效；企业管理员也可以在管理后台“工作台 → 应用管理”里直接修改。
• 可用范围和控制台里的 使用范围 不是一回事：使用范围决定 Z Tag 的资源可以在哪些群和私聊里使用，由组织 Owner 在控制台设置，见范围设置。
• 应用开启对外共享后，ZAI 可以被拉进外部群，但不在外部群里工作，其他企业的成员（外部联系人）也不会因此成为本组织成员，规则见其他组织的成员。
• 控制台只接受安装了这个应用的企业里的成员登录。其他企业的成员即使能完成飞书授权，也会看到 这个飞书应用属于其他企业，不能进入本组织的控制台；他们要从自己企业的 ZAI 打开自己组织的控制台。
• 在管理后台停用应用后，ZAI 在所有群和私聊里都停止工作，组织 Owner / Admin 在控制台 IM 接入 里会看到连接状态 被平台拒绝 · 应用已被停用或卸载；重新启用后 ZAI 自动恢复连接，见常见故障。应用被删除时，要请 Z Tag 管理员接入新应用代替它，见新增或更换应用。

通讯录与组织成员

应用通讯录权限范围内的同企业用户，以及 Bot 所在群中能确认属于同一企业的用户，都会自动成为 Z Tag 普通成员，已有角色不变。他们无需先发消息或登录，也会获得组织已配置的 全体成员 资源授权；首次登录使用同一个成员身份。群成员来源不受通讯录授权范围限制。

两条同步独立运行。未开通通讯录权限时，ZAI 仍可通过群信息和群成员权限发现同事；首次扫描、群成员变动事件和定期校准共同更新成员。Bot 不在的群、其他企业的成员，以及无法确认企业归属的用户，不会通过这条来源自动加入组织。

通讯录权限范围与应用可用范围分别配置：能同步到的人，未必能收到 Bot 私聊。通讯录范围缩小、用户退群或 Bot 被移出，只停止从对应来源更新资料，不取消已加入的成员资格。人员离职、账号冻结的自动停用不在本功能内；需要停止 Z Tag 访问时另行处理成员权限。

应用能读取什么

• 读取它所在的群里的全部消息（不只是 @ 它的消息）和与它的私聊消息，包括其中的图片和文件，以及消息下表情回复的种类和人数，用于回答请求、跟进它参与的话题、读取历史，以及运行群里开启的后台能力（免确认介入、主动协助和 Dream）。它不读取自己没有加入的群。
• 其他机器人发的群消息，飞书默认不推送，ZAI 回答前补读（见能读到哪些消息）；自建应用开通可选权限 im:message.group_msg.include_bot:read 后飞书也推送它们，ZAI 只记录它们的时间和话题关系，不因此回复，见应用权限。
• 在用户与 Bot 的私聊里，可以按请求读取双方仍在的共同群历史。范围以 Bot 能查看的历史为准，包含用户本人入群前的消息；用户退出群或 Bot 被移出后，停止新的读取。外部群和开启保密模式、禁止复制转发或下载的群不读，暂时确认不了的同样不读。
• 从应用授权通讯录和 Bot 所在群读取同企业用户的身份和名称，用于成员建档与查找私聊收件人。
• 读取群信息与群成员：群名、群头像、群的发言设置和保密模式设置，以及成员的名称和头像。
• 有人在消息里分享群名片或个人名片时，读取名片上的群名或人名，随这条消息交给 ZAI；群名片包括 Bot 不在的本企业群。
• 发送和回复消息、更新自己发出的进度卡和 Artifact 卡片、在消息上添加处理状态表情、上传图片和文件。Artifact 卡片的预览图会上传到飞书；Artifact 被移除后卡片不再显示这张图，但已经上传到飞书的图片不能由 Z Tag 删除。
• 控制台登录经过应用的网页授权，只用来确认登录者的飞书身份；飞书在登录时返回的用户令牌不保存。

完整的权限清单见权限。这里列的是应用在飞书侧已获准的权限；在 ZAI 的沙箱里，任务可以直接调用开放平台，能调用的接口范围仍受应用已发布的权限约束。ZAI 用组织在模型路由中配置的模型生成回复；每次任务发给模型的内容，是完成这项任务所需的消息、文件与记忆。

保存哪些数据