概述
工作流权限用于在项目内对编排空间的文件夹、工作流及其下任务进行细粒度授权：可以指定哪些用户或角色能查看、运行或管理某个文件夹或工作流，未被授权的用户看不到对应内容。
典型场景：一个项目下有多个小组，每个小组在编排空间中使用独立文件夹。组员对本组文件夹拥有管理权限；对其他小组的文件夹仅授予查看权限，可以了解其他小组的数据逻辑，但不能编辑、运行或删除其他小组的任务；对敏感代码所在文件夹不授予权限，其他成员不可见。
项目角色权限与工作流权限的关系：
项目角色权限是功能权限，决定产品功能是否可用。
工作流权限是实体权限，决定用户能否对某个具体的文件夹、工作流执行操作。
开启任务权限管控后，系统先校验项目角色权限，再校验工作流权限；未开启时只校验项目角色权限。
使用限制
限制项 | 说明 |
支持版本 | 专业版及以上 |
开通方式 | 需申请开通，开通后项目管理中才会展示「任务权限管控」开关 |
开关 | 项目级开关，开启后不可关闭 |
授权实体 | 编排空间文件夹、工作流；代码模板文件夹、代码模板 |
Git 托管内容 | Git 仓库托管的代码模板及文件夹不支持权限配置 |
工作流下子目录 | 不支持单独配置权限 |
权限说明
权限类型
权限由高到低为：管理 > 运行 > 查看 > 无权限。
权限类型 | 说明 |
管理 | 拥有实体的全部操作权限，包括编辑、删除、移动、修改负责人和权限配置 |
运行 | 在查看权限基础上，可测试运行、终止运行，以及在运维中心执行运行类操作；不可编辑 |
查看 | 可查看文件夹、工作流、任务的配置与代码；不可编辑、运行、删除 |
无权限 | 未被授予任何权限，对实体不可见 |
授权对象
授权对象 | 说明 |
用户 | 项目下的成员 |
角色 | 项目内置角色（项目管理员、数据工程师、运维工程师、访客）及项目自定义角色 |
项目所有成员 | 项目下的全部成员，新加入项目的成员自动包含在内 |
默认权限
默认权限 | 授权规则 | 能否删除或修改 |
项目管理员：管理 | 对项目下所有文件夹、工作流自动生效；新加入项目管理员角色的成员自动获得，移出该角色后失去 | 不可删除、不可修改 |
负责人：管理 | 工作流授予工作流负责人，文件夹授予文件夹创建人；变更负责人时权限随之变更 | 不可删除、不可修改 |
项目所有成员：管理 | 仅在开启开关时，为当时已存在的全部实体添加，用于保证开启前后权限不变；开启后新建的实体不再自动添加 | 可删除、可修改 |
权限计算规则
多来源取最高：同一用户通过用户授权、角色授权获得不同权限时，以最高权限为准。
层级取最高：文件夹、子文件夹、工作流配置了不同权限时，向上所有层级取最高权限。
任务继承所在工作流：任务的权限由其所在工作流及上级文件夹决定。
移动后按新位置计算：移动文件夹或工作流时，其自身的权限配置保留，其下任务按新位置的上级权限重新计算；移动任务时，任务按目标工作流的权限计算。
删除即清除：删除用户、角色、文件夹，或在回收站彻底删除工作流时，对应的权限配置一并删除。
操作步骤
步骤 1：开启任务权限管控
1. 进入 项目管理 > 基础信息配置 > 数据开发配置，找到 任务权限管控 开关。具备读写删权限的角色可操作。
2. 单击开启，在二次确认弹窗中阅读提示，勾选 我已确认开启后可能存在的风险，单击 确认。
3. 系统初始化默认权限：
初始化时间较短时，提示开启成功。
初始化时间较长时，开关后展示进度条，完成前不进行权限管控；完成后开关变为开启且不可修改。
初始化失败时，开关右侧展示失败图标，可重新开启。
注意：
开启后，系统默认为项目所有成员授予所有文件夹、工作流的管理权限，权限与开启前保持一致。如需限制访问，需在后续权限配置中删除或调整「项目所有成员」这一条权限。
步骤 2：配置文件夹或工作流权限
1. 进入编排空间，在目录树中找到目标文件夹或工作流，在操作菜单中选择 权限配置。仅对该实体拥有管理权限的用户可操作。
2. 在权限配置弹窗中查看已有权限。默认权限展示在最上方，不可删除和修改。
3. 单击 添加，新增一条权限配置：
配置方式：选择用户、角色或项目所有成员
授权对象：选择具体的用户或角色，支持多选；已配置过权限的对象不可重复选择
权限类型：选择查看、运行或管理
4. 单击 保存，提示「权限配置成功」即生效。
修改与删除：
修改：单击某条权限的 编辑，可修改权限类型，不可修改授权对象。
删除：单击 删除 并二次确认；默认权限不可删除。
筛选：支持按用户名筛选通过用户方式配置的权限。
各权限可执行的操作
无权限操作统一置灰禁用，鼠标悬停提示：无操作权限，请联系负责人或管理员授权。
编排空间
操作 | 无权限 | 查看 | 运行 | 管理 |
查看文件夹、工作流、任务；查看任务配置、代码、调度设置、依赖关系、版本及版本对比 | - | ✅ | ✅ | ✅ |
测试运行、高级运行、终止运行；查看与下载测试运行日志 | - | - | ✅ | ✅ |
编辑工作流（DAG 编辑、通用设置、统一调度）；编辑任务（内容、属性、调度设置）；版本回滚、保存、提交 | - | - | - | ✅ |
新建文件夹、工作流、任务；重命名、复制、移动、删除 | - | - | - | ✅ |
批量操作 | - | - | - | ✅ |
回收站还原、彻底删除 | - | - | - | ✅ |
权限配置 | - | - | - | ✅ |
运维中心
操作 | 无权限 | 查看 | 运行 | 管理 |
查看操作记录（单击操作对象时按权限校验） | ✅ | ✅ | ✅ | ✅ |
查看工作流、任务、实例的列表与详情；查看日志、血缘、DAG、甘特图、执行曲线；诊断 | - | ✅ | ✅ | ✅ |
告警设置 | - | ✅ | ✅ | ✅ |
运行、重跑、终止、置成功、补数据、紧急去除依赖 | - | - | ✅ | ✅ |
启动、暂停、下线（任务调度模式） | - | - | - | ✅ |
修改负责人、删除 | - | - | - | ✅ |
说明：
运维中心中的 工作流开发、任务开发 操作仅负责跳转，跳转到编排空间后按编排空间的权限校验。
无权限用户通过 URL 直接访问工作流详情页、运行详情页时，页面提示无权限。
实例血缘 DAG 展示所有相关上下游节点，不受权限限制；对节点的操作按权限校验。
批量操作时，若勾选的对象中包含无操作权限的对象，对应操作禁用，鼠标悬停提示：勾选实体存在无操作权限的实体，请联系负责人或管理员授权。
无权限时的展示规则
规则 | 适用位置举例 |
不展示 | 编排空间目录树、回收站、移动或复制时的可选目录、运维中心工作流列表与任务列表、告警与基线中选择任务的列表 |
展示，但进入后校验权限 | 工作流 DAG 中的跨工作流节点、全局搜索结果、任务与实例血缘、告警规则与告警信息 |
在目录树中，若用户对某个文件夹无权限、但对其下的工作流有权限，可看到该文件夹及其中有权限的工作流。
常见问题
开启任务权限管控后可以关闭吗？
不可以。开启后开关不可修改，请在开启前确认。
开启后为什么所有成员仍然能看到全部工作流？
开启时系统为项目所有成员授予了所有实体的管理权限，以保证开启前后权限不变。请在需要限制的文件夹或工作流上删除或调整「项目所有成员」这一条权限。
一个用户被配置了多条权限，以哪条为准？
以最高权限为准，包括通过用户、角色分别授予的权限，以及文件夹、工作流不同层级上配置的权限。
为什么无法删除某条权限？
项目管理员、负责人的默认管理权限不支持删除和修改。
