4、用户管理与权限设置：创建用户、角色分配（管理员/分析师/观察者）、权限控制、LDAP集成
用户管理这块，说白了就是解决「谁可以进来，进来能干什么」的问题。我见过不少团队，软件装好了，数据也导入了，结果因为权限没设好，要么是实习生不小心删了关键分析结果，要么是领导想看个报表还得找管理员要密码——乱得很。
这一章，我就带你把这套体系捋清楚。从创建用户开始，到角色分配、权限控制，再到企业里常用的LDAP集成，一步步来。
4.1 用户创建：从零开始建账号
大多数协同分析软件，安装完后都会有个默认的管理员账号。比如 admin / admin123 这种。嗯，这里要提醒一句：上线第一件事，改掉默认密码。我曾经见过一个项目，客户直接把默认密码贴在显示器上，结果被内部人员乱改数据，查了半天才发现是权限没锁死。
创建用户通常有两种方式：
- 手动创建：管理员在后台界面一个个添加。适合小团队，比如10人以内。
- 批量导入：通过CSV或Excel文件批量导入。适合几十上百人的团队。
手动创建的典型界面长这样：
用户管理 → 添加用户
├─ 用户名：zhang_san
├─ 显示名：张三
├─ 邮箱：zhangsan@company.com
├─ 初始密码：******
├─ 角色：分析师
└─ 所属部门：数据部我个人习惯是，用户名统一用拼音+下划线，邮箱用公司邮箱。这样后期做LDAP集成时，字段映射会省很多事。
4.2 角色分配：管理员、分析师、观察者
角色，就是权限的「套餐」。你想想看，如果每个用户都要单独勾选几十个权限，管理员得累死。所以大部分软件都内置了三种经典角色：
| 角色 | 典型权限 | 适用场景 |
|---|---|---|
| 管理员 | 全部权限：用户管理、系统配置、数据删除、审计日志 | IT运维、系统负责人 |
| 分析师 | 创建分析任务、导入数据、导出结果、修改个人项目 | 数据分析师、业务人员 |
| 观察者 | 只能查看已分享的报告和仪表盘，不能修改任何数据 | 领导、跨部门协作人员 |
这里有个坑——观察者权限往往被低估。我遇到过一家公司，给所有领导都开了分析师权限，结果有位领导不小心把分析报表里的公式改了，整个部门用了三天才发现数据对不上。其实领导只需要看结果，给观察者权限就够了。
4.3 权限控制：细到字段级别
角色是粗粒度，权限控制是细粒度。说白了，就是「你能看到哪些数据，能操作哪些功能」。
常见的权限控制维度包括：
- 功能权限：能不能创建项目、能不能删除分析结果、能不能导出PDF
- 数据权限：能看到哪些部门的数据？比如销售部只能看销售数据，财务部只能看财务数据
- 字段权限：某些敏感字段（如手机号、身份证）对普通用户隐藏
举个例子，在配置数据权限时，你可能会看到这样的规则：
数据权限规则：
├─ 用户：zhang_san
├─ 可见范围：部门 = '销售部'
├─ 隐藏字段：客户手机号、客户身份证号
└─ 操作限制：不允许导出原始数据我曾经帮一家金融公司做权限梳理，发现他们的分析师能看到所有客户的完整信息，包括银行卡号。这其实是很危险的。后来我们加了一条规则：分析师只能看到脱敏后的数据，比如银行卡号显示为 6222****1234。嗯，这个改动虽然小，但合规性一下就上去了。
4.4 LDAP集成：企业级用户管理的终极方案
团队一超过50人，手动建账号就变得不现实了。这时候就需要LDAP（轻量级目录访问协议）。说白了，就是把用户信息统一放在公司的AD域或OpenLDAP里，协同分析软件直接去那里查人。
LDAP集成的核心流程是这样的：
用户登录 → 输入账号密码
↓
协同软件 → 请求LDAP服务器验证
↓
LDAP服务器 → 返回验证结果 + 用户属性（部门、邮箱、角色）
↓
协同软件 → 根据属性自动分配权限配置LDAP时，通常需要填这些参数：
| 参数 | 示例值 | 说明 |
|---|---|---|
| LDAP URL | ldap://192.168.1.100:389 | LDAP服务器地址和端口 |
| Base DN | dc=company,dc=com | 搜索的根目录 |
| Bind DN | cn=admin,dc=company,dc=com | 用于连接LDAP的管理员账号 |
| 用户过滤器 | (objectClass=person) | 筛选哪些对象是用户 |
| 角色映射 | memberOf=CN=Analysts,OU=Groups,... | 根据LDAP组自动分配角色 |
这里有个经验之谈：角色映射一定要提前规划好。我遇到过一家公司，LDAP里有200个组，但协同软件只支持映射3个角色。最后我们只能把LDAP组重新归类，花了整整两天。其实一开始就设计好映射关系，半小时就能搞定。
4.5 知识体系总览
下面这张图，把用户管理与权限设置的整个逻辑串起来了。你可以把它当作一个「操作地图」：
从这张图可以看得很清楚：用户要么手动创建，要么从LDAP同步进来。然后分配角色，角色再绑定具体的权限。环环相扣，缺一不可。
好了，这一章的内容就到这里。用户管理和权限设置，说白了就是「定规矩」。规矩定好了，后面分析工作才能顺畅进行。你配置的时候，记得多测试几遍，尤其是边界情况——比如观察者能不能看到敏感字段，分析师能不能跨部门看数据。这些细节，往往决定了系统上线后会不会出乱子。