管理组织
组织上线清单
按角色列出一个组织开始使用 ZAI 前要做的事，以及组织资源的总览和管理原则。
适用于组织 Owner / Admin
一个组织开始使用 ZAI 前，需要 IM 平台的管理员、Z Tag 管理员和组织 Owner / Admin 各做一部分。下面按顺序列出每一步由谁来做。Z Tag 管理员是为你的组织运行和维护 Z Tag 服务的人或团队，不是控制台里的组织角色；组织 Owner / Admin 由 Z Tag 管理员设置，控制台里不能修改角色，见组织角色与权限。
上线清单
| 步骤 | 谁来做 | 做什么 | 详见 |
|---|---|---|---|
| 1. 创建应用 | Slack 应用管理者与 Slack 工作区管理员 | 按 Z Tag 管理员提供的应用配置创建 Slack 应用，并安装到你们的 Slack 工作区；把应用凭证交给 Z Tag 管理员 | 应用配置、Slack 工作区管理员须知 |
| 2. 登记应用，设置角色 | Z Tag 管理员 | 把应用接入本组织，并设置组织 Owner / Admin | 组织角色与权限 |
| 3. 确认接入状态 | 组织 Owner 或 Admin | 在 组织管理 → IM 接入 确认安装状态和连接状态正常 | 查看 IM 接入 |
| 4. 确认模型 | 组织 Owner 或 Admin | 在 范围设置 → 整个组织 → Agent 设置 确认 当前生效 的 Engine 与模型；需要用自己的模型服务时，新建模型上游并应用到整个组织 | 配置模型路由与回复审阅 |
| 5. 设置语言与地区 | 组织 Owner 或 Admin | 在 范围设置 → 整个组织 → 语言与地区 设置回复语言、办公地区和时区 | 组织的语言、地区与时区 |
| 6. 准备第一个连接器 | 组织 Owner | 按用途新建连接器，添加凭证或域名，写好使用指令；Admin 可以协助维护其中的凭证和域名 | 连接器 |
| 7. 设置使用范围 | 组织 Owner | 在 范围设置 里把连接器加到要用它的 Channel（控制台对频道或群聊的叫法）、Workspace 或整个组织，或授权给指定成员、全体成员 | 范围设置 |
| 8. 在聊天里验证 | 任一成员 | 在已有 ZAI 的频道或群聊里 @zai 发起一个只读的小任务，确认它用上了这个连接器 | 5 分钟完成第一个任务 |
用商店版 ZAI 时，第 1、2 步换成安装商店版 ZAI；用配对码新建组织的人就是 Owner，从第 3 步继续。
第 7 步里的 Workspace 是 Z Tag 控制台里的一层范围，对应第 1 步安装了 ZAI 的那个 Slack 工作区，其中的频道、群聊和私信都属于它，见Workspace。
第 3 步看到异常状态时，按查看 IM 接入里的说明处理。之后每位成员都可以在控制台的 我的资源 里配置只供自己使用的资源，见在控制台管理自己的资源。
组织资源总览
控制台里的组织资源分五类。下表附上英文名，便于对照本机程序和英文资料；控制台和本手册其余页面只用中文名。
| 资源 | 英文名 | 解决什么问题 | 详见 |
|---|---|---|---|
| 连接器 | Access Bundle | 把一个用途所需的业务系统地址、凭证、Database、SSH、Git 仓库和 Kubernetes 放在一起 | 连接器 |
| 远程设备 | Device | 在已接入的电脑上执行命令、传输文件或操作桌面 | 远程设备与网络隧道 |
| 插件 | Plugin | 从 Git 仓库同步或上传团队维护的技能说明、脚本和参考资料 | 管理插件 |
| 沙箱配置 | Environment | 决定 ZAI 沙箱的出网级别和内网路由 | 沙箱配置与网络隧道 |
| 网络隧道 | Network Connector | 安装在企业网络里，让获得授权的请求到达内网目标 | 远程设备与网络隧道 |
网络隧道的本机程序叫 Z Tag Network Connector（命令 ztag-network-connector），它和控制台里的 连接器 是两种不同的资源。
五类资源在频道或群聊里和私信里怎样生效，见能力在哪里生效；成员看到的说明见ZAI 能用哪些团队资源。
需要开启的功能
插件和 Artifact 默认关闭，由 Z Tag 管理员为整套 Z Tag 服务开启，不能按组织、Workspace 或 Channel 单独开关。需要时请 Z Tag 管理员开启。
| 功能 | 开启后 | 没有开启时 | 详见 |
|---|---|---|---|
| 插件 | 组织和成员可以从 Git 仓库同步或上传团队维护的技能 | 控制台侧栏没有 插件 | 管理插件 |
| Artifact | ZAI 可以把网页和文档发布成组织成员登录后打开的链接 | 组织管理 的侧栏没有 Artifact；ZAI 改用附件交付 | 管理 Artifact |
管理原则
- 范围由所在的聊天决定。 ZAI 在一个频道或群聊里、或在私信里能用哪些资源，由资源的 使用范围 和成员授权决定。成员在消息里写其他资源的名称或 ID，不会扩大这个范围。
- 能看到不等于能用上。 ZAI 一开始看到的资源只是概览。每次真正使用前，Z Tag 还会重新确认：资源仍对当前的频道或群聊（或私信）生效，凭证有效，远程设备已启用且在线，网络隧道在线；任一项不满足，这次访问会被拒绝；需要经过网络隧道的请求也不会改走公网。业务系统自己的权限照常生效。
- 管理权和使用权分开。 能管理一个资源，不等于它已对某个频道或群聊生效：还要在资源的 使用范围 里加上这个 Channel，或它所在的 Workspace、整个组织。反过来，授权成员使用也不会让他能管理这个资源。
- 凭证留在 Z Tag。 连接器里的令牌、密码和私钥不会交给 ZAI。不要把凭证写进连接器名称、使用指令或插件。