> ## Documentation Index > Fetch the complete documentation index at: https://docs.hybridbox.io/llms.txt > Use this file to discover all available pages before exploring further. # 权限 > 使用角色和范围控制对 Hybridbox 账户、工作区、域名、邮箱、主密码、专用 IP 和账单的访问。 权限定义谁可以查看或管理 Hybridbox 中的资源。访问权限通过在某个范围内向用户或组分配角色来授予。 ## 什么是权限？ 一次权限授予由两部分组成：**角色**和**范围**。角色定义允许执行哪些操作。范围定义这些操作适用于哪里。 例如，在某个域名上拥有 **DNS 管理员** 角色的用户可以管理该域名的 DNS 记录，但不能管理账户中的所有域名。同一角色如果授予在工作区或账户上，则适用范围更广。 请使用能让相关人员完成工作的最小范围。 ## 范围 范围可将访问限制在账户中的正确部分。 | 范围 | 适用于 | | ------- | -------------------------- | | **账户** | 整个账户及其中的资源，受所选角色限制。 | | **工作区** | 一个工作区及该工作区内的资源。 | | **域名** | 一个域名及附加到该域名的资源，例如 DNS 和邮箱。 | 范围越小通常越安全。日常运维工作优先使用域名或工作区范围，将账户范围保留给需要广泛访问权限的用户。 ## 角色 角色是可复用的访问权限集合。同一个角色可以授予在不同范围上。 | 角色 | 可以执行的操作 | | ----------- | ---------------------------------------------------------------------------------------------------------- | | **账户所有者** | 完全控制账户，包括角色、用户、组、账单敏感操作以及账户级管理。 | | **管理员** | 包含 **域名管理员** 访问权限。可以管理工作区、连接或购买域名、在工作区之间移动域名以及删除域名。不管理 DNS 记录、主密码、专用 IP 生命周期或账单。 | | **域名管理员** | 包含 **编辑者** 访问权限。还可以创建和删除邮箱。不管理 DNS 记录或主密码。 | | **编辑者** | 可以更新和验证域名、管理转发规则和标签、将域名分配给专用 IP、更新邮箱、管理邮箱别名、运行邮箱备份/恢复/导出，以及显示邮箱凭据。不能创建/删除邮箱、购买/连接/删除/移动域名、管理 DNS 记录或管理主密码。 | | **查看者** | 对范围内的域名、DNS 记录、邮箱、转发规则、专用 IP 详情和标签拥有只读访问权限。 | | **DNS 管理员** | 可以查看域名并管理 DNS 记录。不管理 DNS 之外的邮箱或域名。 | | **凭据管理员** | 可以在范围内创建和管理主密码。不管理域名、邮箱、DNS、专用 IP 或账单。 | | **IP 管理员** | 可以查看、申领、授权和移除专用 IP。不将域名分配给专用 IP。 | | **账单管理员** | 可以查看和管理账单。 | | **账单查看者** | 只能查看账单。 | ## 用户和组 当访问权限是个人专属时，直接向用户分配角色。当多人需要相同访问权限时，请使用组。 组适用于支持、运维、账单或 DNS 管理员等团队。与其向每个人分配相同角色，不如将角色分配给组，并单独管理成员。 ## 服务账号 服务账号让自动化可以使用公共 API，而无需共享个人用户登录信息。创建服务账号，复制只显示一次的令牌，并仅授予集成所需的角色和范围。轮换已暴露的令牌，并撤销不再使用的服务账号。 ## 邀请 使用邀请向尚未加入账户的人员授予访问权限。 邀请可以包含用户接受后应获得的角色和范围。邀请被接受后，用户会成为拥有所分配访问权限的活跃账户成员。 定期检查待处理邀请，并移除不再需要的邀请。 ## 主密码 主密码允许授权操作员登录某个范围内的 SMTP 邮箱，而无需逐个获取每个邮箱的密码。 主密码可以限定到账户、工作区或域名范围。它对该范围内的 SMTP 邮箱有效。当团队需要排查或管理多个邮箱，而不想处理每个邮箱的单独密码时，可将其用于运维访问。 请谨慎授予此访问权限。如果主密码授予在较大范围内，它可以访问许多邮箱。 ## 角色/操作矩阵 范围仍然重要。标记为**是**的角色仅在该角色被授予的范围内适用。 | 操作 | 账户所有者 | 管理员 | 域名管理员 | 编辑者 | 查看者 | DNS 管理员 | 凭据管理员 | IP 管理员 | 账单管理员 | 账单查看者 | | ----------- | ----- | ------------- | ----- | --- | --- | ------- | ----- | ------ | ----- | ----- | | 查看运维资源 | 是 | 是 | 是 | 是 | 是 | 仅 DNS | 否 | 仅专用 IP | 否 | 否 | | 创建/管理工作区 | 是 | 是 | 否 | 否 | 否 | 否 | 否 | 否 | 否 | 否 | | 更新并验证域名 | 是 | 是 | 是 | 是 | 否 | 否 | 否 | 否 | 否 | 否 | | 购买/连接域名 | 是 | 是 | 否 | 否 | 否 | 否 | 否 | 否 | 否 | 否 | | 在工作区之间移动域名 | 是 | 是，且两个工作区都在范围内 | 否 | 否 | 否 | 否 | 否 | 否 | 否 | 否 | | 删除域名 | 是 | 是 | 否 | 否 | 否 | 否 | 否 | 否 | 否 | 否 | | 管理 DNS 记录 | 是 | 否 | 否 | 否 | 否 | 是 | 否 | 否 | 否 | 否 | | 更新邮箱和别名 | 是 | 是 | 是 | 是 | 否 | 否 | 否 | 否 | 否 | 否 | | 创建/删除邮箱 | 是 | 是 | 是 | 否 | 否 | 否 | 否 | 否 | 否 | 否 | | 备份/恢复/导出邮箱 | 是 | 是 | 是 | 是 | 否 | 否 | 否 | 否 | 否 | 否 | | 显示邮箱凭据 | 是 | 是 | 是 | 是 | 否 | 否 | 否 | 否 | 否 | 否 | | 管理主密码 | 是 | 否 | 否 | 否 | 否 | 否 | 是 | 否 | 否 | 否 | | 管理转发规则 | 是 | 是 | 是 | 是 | 否 | 否 | 否 | 否 | 否 | 否 | | 管理标签 | 是 | 是 | 是 | 是 | 否 | 否 | 否 | 否 | 否 | 否 | | 申领/移除专用 IP | 是 | 否 | 否 | 否 | 否 | 否 | 否 | 是 | 否 | 否 | | 将域名分配给专用 IP | 是 | 是 | 是 | 是 | 否 | 否 | 否 | 否 | 否 | 否 | | 查看账单 | 是 | 否 | 否 | 否 | 否 | 否 | 否 | 否 | 是 | 是 | | 管理账单 | 是 | 否 | 否 | 否 | 否 | 否 | 否 | 否 | 是 | 否 | | 邀请用户 | 是 | 否 | 否 | 否 | 否 | 否 | 否 | 否 | 否 | 否 | | 创建组 | 是 | 否 | 否 | 否 | 否 | 否 | 否 | 否 | 否 | 否 | | 分配或撤销角色 | 是 | 否 | 否 | 否 | 否 | 否 | 否 | 否 | 否 | 否 | 使用**账户所有者**进行账户管理。日常运维尽可能使用带范围的角色。