员工、角色与 MFA

客户与员工使用同一账号体系，角色决定后台权限和门户能力。员工邀请、角色分配和动态权限由后台接口控制；不能授予自己没有的权限。root 为受保护角色，系统禁止移除最后一个有效 root。不要直接编辑认证插件的内部角色表。

后台要求本会话完成 TOTP。首次安装保存恢复码，后续员工独立绑定。登录成功不代表后台 MFA 已完成；切换浏览器、会话撤销和过期可能要求重新验证。敏感操作（如含密钥设置、令牌与角色变更）还可能要求短期再验证。

日常操作复制标题链接

使用任务所需的最少权限，按资源区分查看与管理，检查角色并集对用户能力的影响。移除某项门户能力后，用户下次请求立即受影响。服务账号 API Key 目前不能用于 /metrics；指标抓取使用部署时配置的 Bearer 令牌。

审计记录包含主体、资源、结果和 request id，包括被拒绝操作。排查时分享 request id 与脱敏事实，不能复制会话 Cookie、Bearer、TOTP 秘钥或恢复码。疑似泄露先撤销会话或轮换对应凭据，再检查运行指标。