Организации, роли и доступ
Как устроены организации (тенанты), роли владельца, администратора и пользователя, главный администратор и консоль /admin, вход через SSO, права на базы знаний и аудит.
Semantix рассчитан на несколько организаций в одной установке. Данные, настройки, модели, коннекторы и участники одной организации изолированы от других. Эта статья описывает модель доступа и то, где она настраивается.
Организации
Организация (в интерфейсе используется слово «тенант») является изолированной областью данных и настроек. У организации есть имя, набор моделей по умолчанию (чат, эмбеддинги, реранкер, распознавание речи, описание изображений, сервисная модель), корневая папка файлов, базы знаний, ассистенты, агенты, коннекторы, MCP-серверы и API-ключи.
Пользователь может состоять в нескольких организациях и переключается между ними в меню учётной записи. Перед загрузкой файла или началом беседы стоит проверить активную организацию: ресурсы другой организации не видны, и это штатное поведение, а не потеря данных.
Удаление организации удаляет все связанные объекты: базы знаний, документы, индексы, диалоги, агентов, коннекторы, серверы инструментов, токены и настройки моделей. Восстановление из интерфейса не предусмотрено, поэтому перед удалением создаётся резервная копия.
Роли
| Роль | Полномочия | Ограничения |
|---|---|---|
| Главный администратор (суперпользователь) | Создание и удаление организаций, просмотр всех пользователей, назначение пользователей организациям, лицензия, общесистемные настройки | Назначается минимальному числу доверенных работников; в обычные организации как участник не добавляется |
| Владелец организации | Управление участниками и всеми ресурсами организации, назначение администраторов | Не назначается обычной операцией добавления участника; не используется для повседневной работы |
| Администратор организации | Управление участниками и ресурсами своей организации | Не управляет другими организациями |
| Пользователь | Работа с разрешёнными ассистентами, базами знаний, файлами, поиском и агентами | Не выполняет административных операций |
| Приглашённый | Ожидает принятия приглашения | Полномочия ограничены до принятия |
Полномочия пересматриваются не реже раза в квартал и при смене обязанностей. Общие учётные записи запрещены, кроме документированной аварийной записи. Повседневную и административную работу лучше вести из разных учётных записей.
Консоль администратора
Главному администратору доступна «Консоль администратора» по адресу /admin:
/admin/tenants: управление организациями и их участниками, список всех пользователей системы. Здесь добавляют существующего пользователя в организацию или создают нового с временным паролем и ролью «Пользователь» или «Администратор тенанта»./admin/audit: журнал действий по всей системе./admin/usage: расход токенов и лимиты по организациям и пользователям./admin/license: активация лицензии по токену, в том числе автономная через файл запроса./admin/telegram: настройка управляющего бота Telegram, через который организации создают своих ботов.
Примечание
Удаление пользователя из организации не удаляет его учётную запись, если он состоит в других организациях. Перед удалением проверьте, не является ли он единственным ответственным за базы знаний и подключения.
Вход и SSO
Аутентификацию обеспечивает служба учётных записей на базе Zitadel (в интерфейсе она называется Semantix ID). Платформа работает с ней по OIDC: пользователь входит через единую страницу входа, получает сессию, роли синхронизируются с ролями в службе. Поддерживается многофакторная аутентификация по настройкам организации. Самостоятельная регистрация в промышленной установке отключается (REGISTER_ENABLED=0), новые учётные записи создаёт администратор либо они приходят из корпоративного каталога.
Для подключения корпоративного каталога служба учётных записей настраивается как клиент внешнего провайдера OIDC или LDAP. Адрес службы, порт и сертификат задаются при установке; подробности в Инструкции по установке ПО.
Права на базы знаний и ассистентов
Внутри организации все её участники видят все базы знаний: отдельного переключателя «личная база» и «база команды» в текущем интерфейсе нет, граница доступа проходит по организации. Если материалы нужно показать другой организации, используйте шеринг базы, он описан в статье Доступ к базам знаний и шеринг. Ассистент привязывается к базам знаний и может быть открыт всем пользователям организации либо выбранным пользователям. Ответ ассистента не раскрывает документы, недоступные пользователю: это одна из обязательных проверок при создании ассистента.
Доступ к внешним системам задаётся отдельно: для каждого коннектора во внешней системе создаётся служебная учётная запись с минимальными правами, а у MCP-сервера каждый инструмент включается или выключается. Изменяющие инструменты по умолчанию стоит выключать, а оставшиеся действия выполняются только после подтверждения пользователем.
Аудит и лимиты
Журнал действий ведётся в отдельном хранилище без возможности изменения записей и с полнотекстовым поиском. В него попадают вход и выход, изменение пароля, выдача ролей, создание и удаление организаций и участников, создание и удаление баз знаний и документов, изменение прав, операции с коннекторами, вызовы инструментов и записи во внешние системы. Срок хранения задаётся параметром установки; события также передаются во внешнее средство сбора журналов.
Расход токенов сворачивается по организации, пользователю, модели и дню. Лимиты в деньгах или токенах на организацию и сотрудника проверяются до каждого вызова модели; состояние лимита видно в интерфейсе.
Совет
После изменения защитных настроек выполните отрицательную проверку: пользователь не должен видеть другую организацию, а служебная учётная запись не должна читать чужие секреты.
Смежные материалы: Установка в контуре, Private AI on-prem, страница Безопасность.
Спросить Сему