团队与 RBAC

通过基于角色的访问控制、项目级权限和完整的操作审计追踪来组织你的团队。

创建团队

团队允许多个用户在同一 sh0 实例上协作。第一个用户（安装期间创建）自动成为拥有完全管理员权限的团队所有者。

1. 在控制台中导航到 设置 → 团队。
2. 你的默认团队已自动创建。你可以在此处重命名。
3. 添加团队描述和头像（可选）。

邀请成员

管理员通过邮箱地址邀请新成员。sh0 不会发送任何邮件：邀请会生成一个一次性链接，只向邀请人显示一次，需要你自行转交。被邀请人打开链接后自行设置密码，你永远不会知道该密码。团队成员和角色需要 Business 许可证。

1. 在侧边栏打开 Team。
2. 点击 Invite User。
3. 输入邮箱地址并选择角色（管理员、开发者或查看者）。
4. 确认后复制 Invitation link 并发送给对方。链接有效期 7 天，只能使用一次，之后不会再显示。

curl -X POST https://your-server:9000/api/team/invite \
  -H "Authorization: Bearer YOUR_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "email": "[email protected]",
    "role": "developer"
  }'

链接被使用前，成员显示为 Invitation pending（7 天后变为 Invitation expired）。Generate access link 会生成新链接，旧链接随即失效。使用 CLI 时，sh0 users invite <email> --role developer 同样会输出链接。

角色类型

sh0 提供三种内置角色，访问级别递增：

权限矩阵

以下是每个角色权限的完整说明：

项目级访问

除了全局角色外，你还可以将用户的访问限制在特定项目。当不同团队成员处理不同应用时，这非常有用。

1. 前往项目的 设置 → 访问 选项卡。
2. 点击 添加成员 并选择团队成员。
3. 为此项目选择访问级别（完全访问、仅部署、仅查看）。

审计日志

sh0 记录团队成员执行的每个重要操作。审计日志提供谁在何时做了什么的完整时间线。

跟踪的事件包括：

• 登录和登出事件
• 应用创建、部署和删除
• 环境变量更改
• 域名添加和移除
• 团队成员邀请和角色变更
• 设置修改
• 数据库操作（备份、恢复、删除）

curl https://your-server:9000/api/team/audit-log?page=1&per_page=50 \
  -H "Authorization: Bearer YOUR_TOKEN"

移除成员

管理员可以从 设置 → 团队 → 成员 中移除团队成员。移除成员会：

• 立即撤销其所有活跃会话。
• 移除其对所有项目和资源的访问权限。
• 不会删除他们创建的任何资源（应用、数据库等）。
• 在审计日志中保留其操作记录以便追责。

curl -X DELETE https://your-server:9000/api/team/members/usr_abc123 \
  -H "Authorization: Bearer YOUR_TOKEN"