作者：Nikita Lilichenko - 2026年11月6日 - 阅读时间 5 分钟
产品
分享
今年 8 月，我们发布了 Factory Organization Model，它使企业能够将一次部署拆分为多个组织。每个组织都有自己的成员、管理员、集成、模型访问权限、数据驻留和用量上限，并且这些设置适用于组织内的所有人。
当业务的一部分需要独立的边界时，组织可以发挥作用。但当组织需要针对不同个人应用不同设置时，例如为平台工程师和承包商定制用量上限或模型访问权限，组织就无法覆盖这些情况。此前，管理员通过按用户覆盖或为每个角色创建单独的组织来处理，这意味着要重复配置集成和策略。
User Groups 可以覆盖这种情况。群组通过 Directory Sync 从你的身份提供商同步。你在群组上配置设置，例如每月用量上限或模型访问权限，并选择这些设置适用的组织。成员会在这些组织中获得相应设置。当你的 IdP 中群组成员关系发生变化时，Factory 会获取该变更。
群组在 Enterprise Admin Console 中配置，群组用量上限也可以通过 Organization API 以编程方式管理，从而在数千名用户中扩展管理，而无需繁琐的点击操作。
组织 定义边界。User Groups 在边界内和跨边界设置按人配置的设置。
User Groups 的工作方式
成员在组织中获得其群组的设置。不属于任一组的成员获得组织的全局设置。
用量上限和模型控制遵循相同的层级。每个组织为其所有人设置默认值，映射到该组织的群组会为其成员替换该默认值，而个人覆盖会同时替换两者。Factory 使用以下层级确定应应用哪项设置，其中第一个已设置的层级生效：
- 该用户的个人覆盖，用于例外情况。
- 该用户在该组织中的群组设置。
- 组织默认值。
对于用量上限，群组上限可以高于或低于组织默认值。如果用户属于多个设有上限的群组，则适用最高上限，因此加入另一个群组绝不会降低用户的上限。如果任何层级都未设置上限，则用量不受限制。
对于模型访问权限，每个模型单独解析。群组可以允许组织策略未包含的模型，或阻止组织策略已包含的模型，而群组保留为默认值的模型则遵循组织策略。如果用户属于多个群组，只要其中任一允许该模型，该模型即被允许。
设置会在每次请求时解析，因此更改会在成员的下一次请求时生效。强制执行、管理员用量表和每周用量邮件都使用相同的解析结果。
User Groups 与 Organizations 如何配合
群组来自你的身份提供商，并在同一层级中映射到特定组织。
实线表示组织层级。橙色虚线表示每个群组映射到的位置。
群组设置按组织配置，因此同一群组在一个组织中可以有更高的上限或更广泛的模型访问权限，而在另一个组织中没有任何设置。将群组映射到组织不会改变该组织的集成、数据驻留或管理员。
User Groups 和 Organizations 如何协同工作
Organizations 和 User Groups 处理不同层级的控制。组织为业务的一部分设定边界：其集成、凭据、数据驻留、管理员以及组织内所有人的默认设置。User Groups 在该边界内为特定人员调整用量上限和模型访问权限。
在实践中，当团队需要自己的集成、数据驻留或管理员时，创建组织。当共享这些内容的人需要不同设置时，使用群组。
两者旨在配合使用。群组来自你的 IdP，并不绑定到单个组织，因此当你添加组织时，可以将现有群组映射到其中，而无需再次为每个人配置。群组成员关系的变化会在该群组映射到的每个组织中生效。
管理群组
User Groups 位于 Enterprise Admin Console中，与组织、账单和身份管理并列。企业所有者可以查看通过 Directory Sync 同步的每个群组、配置群组设置，并选择其适用的组织。保存前，控制台会列出设置将发生更改的每个组织。
其他细节：
- 配置以群组的目录 ID 为键，因此在 IdP 中重命名群组不会影响其配置。
- 在用量设置中，管理员可以展开任何用户，查看是哪个层级设置了其上限。
- 管理员可以通过 Organization API 读取和设置群组上限，每次请求最多 100 个群组。群组模型访问权限在 Admin Console 中配置。
- 来自控制台或 API 的每次更改都会记录在审计日志中。
群组成员关系仅影响 User Groups 页面上的设置。角色仍来自你现有的群组到角色映射。
User Groups 面向已配置 Directory Sync 的企业客户提供。请参阅 User Groups 文档 进行设置。