团队与 RBAC

通过基于角色的访问控制、项目级权限和完整的操作审计追踪来组织你的团队。

创建团队

团队允许多个用户在同一 sh0 实例上协作。第一个用户（安装期间创建）自动成为拥有完全管理员权限的团队所有者。

1. 在控制台中导航到 设置 → 团队。
2. 你的默认团队已自动创建。你可以在此处重命名。
3. 添加团队描述和头像（可选）。

邀请成员

管理员可以通过邮箱邀请新成员加入团队。被邀请的用户将收到一封包含账户设置链接的邮件。

1. 前往 设置 → 团队 → 成员。
2. 点击 邀请成员。
3. 输入邮箱地址并选择角色（管理员、开发者或查看者）。
4. 点击 发送邀请。

curl -X POST https://your-server:9000/api/team/invite \
  -H "Authorization: Bearer YOUR_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "email": "[email protected]",
    "role": "developer"
  }'

待处理的邀请在成员列表中显示 已邀请 标记。你可以随时重新发送或撤销邀请。

角色类型

sh0 提供三种内置角色，访问级别递增：

权限矩阵

以下是每个角色权限的完整说明：

项目级访问

除了全局角色外，你还可以将用户的访问限制在特定项目。当不同团队成员处理不同应用时，这非常有用。

1. 前往项目的 设置 → 访问 选项卡。
2. 点击 添加成员 并选择团队成员。
3. 为此项目选择访问级别（完全访问、仅部署、仅查看）。

审计日志

sh0 记录团队成员执行的每个重要操作。审计日志提供谁在何时做了什么的完整时间线。

跟踪的事件包括：

• 登录和登出事件
• 应用创建、部署和删除
• 环境变量更改
• 域名添加和移除
• 团队成员邀请和角色变更
• 设置修改
• 数据库操作（备份、恢复、删除）

curl https://your-server:9000/api/team/audit-log?page=1&per_page=50 \
  -H "Authorization: Bearer YOUR_TOKEN"

移除成员

管理员可以从 设置 → 团队 → 成员 中移除团队成员。移除成员会：

• 立即撤销其所有活跃会话。
• 移除其对所有项目和资源的访问权限。
• 不会删除他们创建的任何资源（应用、数据库等）。
• 在审计日志中保留其操作记录以便追责。

curl -X DELETE https://your-server:9000/api/team/members/usr_abc123 \
  -H "Authorization: Bearer YOUR_TOKEN"