32.2. 基于角色的访问控制

在编辑用户时，自动化控制器系统管理员可以将用户指定为 系统管理员 （也称超级用户）或 System Auditor ：

在编辑机构时，系统管理员可以指定以下角色：

作为机构成员的用户和团队可以查看其机构管理员。

作为机构管理员的用户隐式继承了该机构内所有对象的所有权限。

作为机构审核员的用户隐式继承了该机构内所有对象的只读权限。

在编辑机构中的项目时，系统管理员和机构管理员可指定：

作为项目成员的用户可以查看其项目管理员。

项目管理员隐式继承了从 SCM 更新项目的权限。

管理员也可以指定一个或多个可在作业模板中使用该项目的用户或团队（来自属于该项目成员的用户或团队）。

授予使用、读取或写入凭证的所有访问权限都通过角色处理，该角色使用自动化控制器的 RBAC 系统授予所有权、审核员或使用角色。

系统管理员和机构管理员可根据其管理功能在机构内创建清单和凭证。

无论是编辑清单还是凭证，系统管理员和机构管理员都可以指定一个或多个用户或团队（来自属于该机构成员的用户或团队）来授予该清单或凭证的用量权限。

系统管理员和机构管理员可以指定一个或多个用户或团队（来自属于该机构成员的用户或团队），以便具有（动态或手动）清单更新（动态或手动）。管理员也可以为清单执行临时命令。

系统管理员、机构管理员和项目管理员在其管理功能下的项目中可以创建和修改该项目的新作业模板。

在编辑作业模板时，管理员（自动化控制器、机构和项目）可以在他们具有使用权限的机构中选择清单和凭证，或者他们可以将这些字段留空以便在运行时选择。

另外，他们可以指定具有该作业模板的执行权限的一个或多个用户或团队（来自属于该项目成员的用户或团队）。无论用户或团队针对清单或作业模板中指定的凭证授予了任何显式功能，执行能力都是有效的。

用户可以：

如果赋予了执行功能的作业模板没有指定清单或凭证，则在运行时会提示用户在运行时选择他们拥有的机构中的清单和凭证，或被授予了使用能力。

作为作业模板管理员的用户可以对作业模板进行更改。但是，若要更改作业模板中使用的清单、项目、playbook、凭证或实例组，用户还必须具有当前使用或正在设置的项目和清单的"使用"角色。

下表列出了 RBAC 系统角色，它包括了如何根据自动化控制器中的权限定义角色的定义描述：

单例角色是授予系统范围权限的特殊角色。自动化控制器目前提供两个内置单例角色，但目前不支持创建或自定义单例角色。