# 安全、水印与审计

组织管理员在「我的组织」里管理登录验证方式、应用代码运行边界、登录后的页面水印与溯源码，以及数据保存期限、个人信息主体擦除、审计日志链与平台支持人员的临时访问授权。导航分为「安全」（仅管理员可见）与「合规」（管理员与审计员可见）两组。

## 谁能用

系统预设四个成员角色：
- **管理员**：拥有全部安全设置的读取与修改权限，以及合规工具的完整操作与审计权限。
- **审计员**：拥有安全设置的只读查看权限，以及合规工具的查看、导出与审计权限，但没有修改安全设置与批准支持访问的写入权限。
- **分析员** 与 **普通成员**：无法访问本页功能。

| 页面地址 | 导航名称 | 所属分组 | 侧栏可见性 | 页面读取权限 | 页面写入权限 |
|---|---|---|---|---|---|
| `/security` | 「登录与认证」 | 「安全」 | 仅管理员 | 管理员；审计员通过链接直开可只读查看 | 仅管理员 |
| `/watermark` | 「水印」 | 「安全」 | 仅管理员 | 管理员；审计员通过链接直开可只读查看 | 仅管理员 |
| `/audit` | 「审计日志」 | 「合规」 | 管理员 + 审计员 | 管理员与审计员相同（查询、导出、重新校验、下载审计归档） | 无写开关 |
| `/compliance` | 「数据与合规」 | 「合规」 | 管理员 + 审计员 | 管理员与审计员均可查看合规姿态与保存期限；审计员不显示「个人信息主体请求」 | 仅管理员本人，且不能在支持会话中修改 |
| `/support` | 「支持访问」 | 「合规」 | 管理员 + 审计员 | 管理员与审计员均可查看申请记录 | 批准、拒绝、撤销仅限管理员 |
| `/watermark-trace` | 「水印溯源」 | 「合规」 | 管理员 + 审计员 | 管理员与审计员均可查询（查询即记入审计日志，不提供给助手） | 查询即写审计，无单独写开关 |

权限与访问规则说明：
- **无权限访问**：分析员或普通成员打开页面时，界面显示空状态「没有权限」，并提示「你的账号角色不允许查看这个页面。请联系租户管理员。」。
- **审计员只读限制**：
  - 打开「登录与认证」时，顶部显示横幅「审计员可以查看安全设置，但不能修改。」。
  - 打开「支持访问」时，显示说明「审计员可以查看申请记录，但批准、拒绝、撤销需要管理员。」。
- **支持会话限制**：平台支持人员接管期间处于只读状态，敏感数据自动隐藏。界面显示横幅「支持会话（……）：只读，敏感数据已隐藏，所有访问都记录在租户审计日志中。…… 分钟后结束。」，并提供「结束会话」按钮。在支持会话下，「支持访问」与「数据与合规」页面会关闭写操作按钮。
- **助手代读范围**：助手可以代读「登录与认证」「水印」「数据与合规」「支持访问」页面的内容；助手不能代读「审计日志」和「水印溯源」。
- **关联功能位置**：「企业登录」同属「安全」分组，具体配置参见 [连接器与集成](/admin/connectors)；单个应用的同页运行授权在 [应用管理](/admin/apps) 中设置。

## 怎么打开

1. 进入[工作台](/guide/workspace)。
2. 点击「我的组织」。
3. 在左侧导航中进入对应页面：
   - 「安全」分组：点击「登录与认证」或「水印」。
   - 「合规」分组：点击「审计日志」「数据与合规」「支持访问」或「水印溯源」。

从助手或已发出的链接进入时，可直达「登录与认证」「水印」「审计日志」「数据与合规」「支持访问」或「水印溯源」。旧的水印入口会转到「水印」页面。

> **联动入口**
>
> - 组织概览开通清单中的「开启第二重验证」可直达「登录与认证」。
> - 组织概览待办事项中，审计链失败会提示直达「审计日志」；存在支持申请或生效中的授权会提示直达「支持访问」。
> - 当有待处理或生效中的支持授权时，组织应用顶部会显示警告条（已在该页面或首页时不显示）：提示「有支持人员正在申请临时访问，等待你的批准」或「支持人员正在临时访问你的租户（只读）」，点击「查看」即可直达「支持访问」。

## 界面一览

### 1. 登录与认证（`/security`）

页头显示「登录与认证」，描述为「改动即时生效；每次改动后可在提示里撤销。」。右上角显示状态徽章：「使用平台默认」或「已自定义」；保存过程中显示「保存中…」。

![「登录与认证」](/shots/admin-security.webp)

图：「登录与认证」

1. 页头「登录与认证」：改动即时生效，提示里可撤销
2. 「强制第二重验证」：还没设置的人下次登录必须先设
3. 「允许通行密钥」：关闭后已登记的通行密钥失效
4. 「会话时长」：多久后需要重新登录
5. 「密码规则」：只对之后设置或修改的密码生效

- **部署依赖提示**：若当前部署未连接身份服务，显示标题「登录设置不可用」，描述为「这个部署没有连接身份服务，登录策略由部署方管理。」，页面下方仍可配置应用策略。
- **「登录与验证」卡片**：
  - 「强制第二重验证」：说明为「开启后，还没设置的成员下次登录时必须先设置验证器或安全密钥。」。开启时显示「推荐」徽章，关闭时显示「建议开启」徽章。
  - 「允许通行密钥」：说明为「成员可用通行密钥或安全密钥免密登录；关闭后已登记的通行密钥失效。」。
  - 「允许企业身份源」：说明为「成员可用企业账号登录（在「企业登录」里配置）。」。
  - 「会话时长」：说明为「多久后需要重新登录。」。提供预设选项：「8 小时（一个工作日）」「1 天」「3 天」「7 天」「10 天（平台默认）」「30 天」；不在预设列表中则显示为具体小时数。输入值需在 1 小时到 30 天之间。
- **「密码规则」卡片**：说明为「只对之后设置或修改的密码生效。」。
  - 「最短长度」：说明为「8 到 64 个字符，离开输入框时保存。」，输入框旁显示「严格」「标准」或「宽松」徽章。输入值需在 8 到 64 之间。
  - 「需要大写字母」：要求包含大写字母 `A–Z`。
  - 「需要小写字母」：要求包含小写字母 `a–z`。
  - 「需要数字」：要求包含数字 `0–9`。
  - 「需要符号」：要求包含符号，例如 `! @ # $`。
- **「应用运行与草稿应用」卡片**：
  - 开关「只在隔离界面应用 Agent 草稿」：说明为「Agent 的草稿只能在单独域名的页面上、用单独的登录应用来应用。工作台里的任何代码（包括应用的代码）都点不到「应用」。」。若平台未部署独立界面，显示「平台未部署独立的应用界面，无法开启「只在隔离界面应用 Agent 草稿」，ISV 应用只能在框架里运行。」；若已部署，显示「隔离界面地址：」及具体访问地址。
  - 开关「ISV 应用一律放在框架里」：说明为「第三方应用即使申请了同页运行，也只在带沙箱的框架页面里运行，页面隔离始终保留。」。
  - 卡片描述会根据开关状态展示：「ISV 应用以框架页面运行。」、「ISV 应用一律以框架页面运行。」、「ISV 应用以框架页面运行；开启「只在隔离界面应用 Agent 草稿」后，经你同意的应用才可同页运行。」或「经你同意且通过专项审核的 ISV 应用可以同页运行。」。若读取失败显示「读取失败」。

### 2. 水印（`/watermark`）

页头显示「水印」，卡片标题为「页面水印」，右上角显示「已开启」或「未开启」徽章。保存状态指示器显示「保存中…」「未保存」「文字待保存」或「改动即时生效」。

![「水印」](/shots/admin-watermark.webp)

图：「水印」

1. 页头「水印」
2. 「开启水印」：对组织里每个人生效，包括管理员
3. 开关：开启后对组织里每个人生效，包括管理员

- **功能说明**：描述为「登录后的所有页面（工作台及其中打开的每个应用、账号设置）上显示，截图、拍照、打印外流时可以追查到人。」，末尾显示修改时间或「从未设置（平台默认：关闭）」「。」。
- **「开启水印」开关**：开启时显示「对组织里的每个人生效，包括管理员。下面的改动也会立即生效。」；关闭时显示「开启后立即对组织里的每个人生效（包括管理员），默认只显示「姓名 用户名」一行，开启后可以再调整。」。
- **「显示内容」配置**：说明为「默认显示「姓名 用户名」一行：用户名在组织内唯一，重名的人也能区分。内容由平台按每个人的账号生成，浏览器无法改写；需要按截图追查到哪一天时再加上「溯源码」（或开启暗水印）。」。
  - 勾选字段：
    - 「姓名」：账号里的显示名。
    - 「用户名」：组织内唯一，区分重名的人。
    - 「邮箱」。
    - 「组织名」。
    - 「IP 地址」：网关看到的地址。
    - 「日期时间」：按服务器时间，每分钟更新。
    - 「溯源码」：每人每天一个，凭码可查到人。
  - 「自定义文字」：单行文本，最多 40 个字，占位符为「可不填」，例如「内部资料 严禁外传」。若有改动未保存显示「（这项改动没有保存）」。
  - 校验规则：水印至少要显示一项内容。
- **「浓度与密度」选择**：说明为「默认「标准」：看得见、不干扰阅读。越明显、越密越不容易被裁掉，但也越干扰。」。下拉项前缀带有「浓度：」与「密度：」：
  - 浓度选项：「淡」「标准」「明显」。
  - 密度选项：「稀疏」「标准」「密集」。
- **「暗水印」**：带有「溯源」徽章，说明为「在页面上再铺一层肉眼几乎看不见的溯源码。明水印被裁掉或涂掉时，仍可能从截图里找回；到」「水印溯源」「 上传截图即可显出。」。
- **「预览」区域**：关闭水印时叠加显示「水印未开启：这是开启后的样子」。预览样例展示：张三 / zhangsan / zhangsan@example.com / 示例组织 / 10.0.0.8 / 码 `7K3Q-W9XA`。
- **溯源与局限说明**：
  - 溯源规则：「显示溯源码或开启暗水印时，平台按人按天记录溯源码（含当天的 IP 与浏览器），保留 400 天，管理员和审计员可在「水印溯源」里查询。」。
  - 局限说明：「水印能震慑和追查，但不能阻止拍照或截图；有人用浏览器开发者工具去掉它时，页面会立即重新画上并记入审计日志。下载的文件（云盘、导出的表格或 PDF）目前不带水印。」。

### 3. 水印溯源（`/watermark-trace`）

页头显示「水印溯源」，描述为「截图、拍照或打印件上的溯源码对应一个人的一天。查到的是谁、哪天、从哪里登录；每次查询都会记入审计日志。」。页脚包含直达水印设置的链接，文案为「水印的内容与开关在」「安全 → 水印」「 设置。」。

- **「按溯源码查找」区域**：
  - 输入框标签为「溯源码」，占位符为「例如 7K3Q-W9XA」，提供「查找」按钮。
  - 输入提示：「大小写、横线和空格都可以；O 当作 0，I、L 当作 1。溯源码保留 400 天。」。
  - 未查到提示：「没有找到：这个组织的水印里没有这个码（或已超过 400 天）。请核对字符。」。
  - 查询结果面板：描述为某一天的水印记录，明细行包括「姓名」「用户名」「邮箱」「用户 ID」「当天首次」「当天最近」「浏览器」，无数据项显示「—」。底部标注「姓名与邮箱是当天的记录；这次查询已记入」「审计日志」「。」。
- **「从截图找暗水印」区域**：
  - 说明为「开启了暗水印时，截图里有一层肉眼看不见的溯源码。上传或直接粘贴（Ctrl/⌘ + V）截图，在增强后的图里找形如 XXXX-XXXX 的字样。图片只在你的浏览器里处理，不会上传。」。
  - 操作控件：提供「选择截图」按钮，直接粘贴的图片名称显示为「粘贴的图片」；滑动条「增强」可调节图像对比度（数值 8–64，步长 4，默认 24）。
  - 提示与空态：未选择图片提示「请选择图片（PNG 截图效果最好）」；解析异常提示「这张图片打不开」；空态提示「PNG 截图最容易找回；经过压缩的 JPEG、缩放过的图或对着屏幕拍的照片往往找不回，这时请看明水印上的溯源码。」。

### 4. 数据与合规（`/compliance`）

页头显示「数据与合规」。

![「数据与合规」](/shots/admin-compliance.webp)

图：「数据与合规」

1. 页头「数据与合规」
2. 「数据清单」：各类型记录数、敏感字段、保存期限
3. 「保存期限」：超期每天自动永久删除；留空为不限期

- **合规姿态卡**：
  - 「文件存放」：显示「自带存储」或「平台存储」。
  - 「模型」：显示「自带模型」或「平台模型」，提示「数据驻留 ……」或「不限数据驻留区域」。
  - 「对话内容」：显示「记录」（提示「提示词与回复会被保存」）或「不记录」（提示「只记录用量」）。
  - 「含敏感字段的类型」：提示具体包含敏感字段的数据类型数量。
- **「数据清单」区域**：说明为「敏感字段逐条加密，助手和审计日志看不到明文。」。若暂无数据类型则提示「还没有数据类型」「在“数据模型”里定义。」。表格包含「数据类型」「记录数」「敏感字段」（无则显示「无」）「最早记录」「保存期限」（显示「不限期保存」或具体年、月、天）。
- **「保存期限」区域**：说明为「超期记录每天自动永久删除；留空为不限期；被引用的记录跳过。」。提供「预览将删除什么」「立即清理」「保存」三个按钮。
  - 输入项：占位符为「天数」，未设置显示「不限期保存」，已设置显示「保存 ……」。桌面端提供 90 / 180 / 365 天快捷填充。
  - 清理状态：底部显示「上次自动清理：」时间及删除条数。
  - 预览结果：显示「按当前规则，下面这些记录会被永久删除」及明细，或显示「按当前规则，现在没有需要清理的记录」。
- **「个人信息主体请求」区域**（仅管理员本人可见）：说明为「按邮箱、手机号或姓名查找，可导出或永久擦除；操作记入审计日志。」。
  - 查询输入框「邮箱、手机号或姓名」：占位符为 `ada@example.com`，提供「查找」按钮。至少需输入 3 个字符。
  - 查询结果：展示「找到 …… 条记录」，表格列包含「类型」「记录」「匹配字段」「内容」，操作按钮提供「导出为 JSON」与「擦除这 …… 条记录」。
  - 状态提示：未找到匹配时显示「没有找到相关记录」或「没有找到“……”」；若数据量过大触发截断，提示「数据量大，只检查了部分记录，结果可能不完整。」。

### 5. 审计日志（`/audit`）

页头显示「审计日志」，右上角提供「导出全部」按钮。

![「审计日志」](/shots/admin-audit.webp)

图：「审计日志」

1. 页头「审计日志」
2. 「导出全部」：完整审计链（导出本身也会被记录）
3. 链校验：完整或失败（失败须联系平台运营）；「重新校验」
4. 「操作记录」：按动作、操作者、时间筛选
5. 筛选：全部动作 / 管理操作 / 成员 / 集成…

- **审计链校验状态**：显示「正在校验审计链…」「审计链完整」或「审计链校验失败」，提供「重新校验」按钮。点击「导出全部」成功后提示「已导出完整审计链（导出本身也会被记录）」。
- **「操作记录」区域**：
  - 筛选器：动作筛选下拉框（包含「全部动作」「管理操作」「成员」「集成」「草稿」「平台运营」「审计」），操作者用户 ID 输入框（占位符为「操作者用户 ID」），提供「筛选」按钮。
  - 记录列表：表头包含「#」「时间」「动作」「操作者」「来源」「对象」。列表最多显示 200 条最新记录，底部显示「加载中…」或「显示 …… 条（最多 200 条，更早的记录在审计归档里）」。无匹配结果显示「没有符合条件的记录」「调整筛选条件。」。
  - 记录来源：分为「用户操作」「草稿」「管理操作」「平台运营」「系统」（未知来源原样显示代码）。
  - 单条详情：展开显示记录序号、时间、「动作」「操作者」「来源」「对象」，可选显示 Trace 标识、哈希值以及「变更内容」。
- **「审计归档」区域**（仅在支持归档的部署中展示）：
  - 归档指标卡：展示「已封存至」「最新」「待封存」「数据库内」（附带当前记录数）。
  - 锁定状态：显示「已锁定」「有独立副本，未锁定」或「尚未归档」。未归档时提示「还没有归档：事件满 24 小时后自动封存成不可变的分段。」。
  - 锁定说明：
    - 已锁定：说明显示前缀「已封存的记录处于对象锁定（」加「治理模式」或「合规模式」以及「），保留期内任何人都无法修改或删除。」。
    - 部分锁定：「部分分段没有写入对象锁定。」。
    - 未锁定：「已有独立于数据库的不可变副本，但存储没有启用对象锁定：拥有存储权限的人仍可删除。要求更高时让部署方配置保留期（对象锁定）。」。
  - 归档校验：提供「完整校验」按钮，校验后显示「校验通过」或「校验发现问题」，提示「检查了 …… 个分段（…… 条）和数据库中的 …… 条记录。」。
  - 「封存分段」列表：展示「最近 …… 个，共 …… 个」，列包含「范围」「时间」「大小」「SHA-256」「锁定至」，支持下载分段。

### 6. 支持访问（`/support`）

页头显示「支持访问」，说明「支持人员能做什么」为「只读，不能导出数据，敏感字段显示为“已加密”。需你批准，限时最长 4 小时，期间每个请求都记入审计日志，可随时撤销。」。

- **分区展示**：分为「待处理」与「历史」两个区域。无待处理申请时显示「当前没有待处理的支持访问」「有人申请时会出现在这里。」。
- **申请卡片**：展示申请时间与申请时长（范围为 15–240 分钟）。卡片状态包含「等待批准」「生效中」「已过期」「已拒绝」「已撤销」「已撤回」（生效中状态附加显示剩余分钟数）。
- **卡片内容与操作**：展示「申请原因」与申请时长，操作按钮提供「批准」与「拒绝」；处于「生效中」的卡片提供「立即撤销」按钮。
- **处理记录**：卡片底部显示处理时间、处理者 ID 前 12 位以及授权截止时间。

## 常用操作

### 修改登录安全策略

1. 在左侧导航进入「安全」→「登录与认证」。
2. 根据组织要求调整设置：
   - 切换「强制第二重验证」开关。
   - 切换「允许通行密钥」或「允许企业身份源」开关。
   - 在「会话时长」下拉框中选择时长，或输入自定义小时数（1 到 720 小时之间）。
   - 在「密码规则」卡片中输入「最短长度」（8 到 64 之间），离开输入框或按 Enter 保存；按需勾选「需要大写字母」「需要小写字母」「需要数字」「需要符号」。
3. 查看保存反馈：
   - 开关与下拉框选择后即时保存并生效，提示「已保存，立即生效」；若输入格式有误，提示「密码最短长度要在 8 到 64 之间」或「会话时长要在 1 小时到 30 天之间」，显示「没有保存：」及具体错误。
   - 策略调整后弹出对应的提示信息：
     - 开启强制两步验证：提示「所有成员下次登录时必须设置第二重验证（验证器 App 或安全密钥），否则无法登录。」。
     - 关闭强制两步验证：提示「成员不再被强制使用第二重验证。」。
     - 关闭通行密钥：提示「成员不能再用通行密钥登录，已登记的通行密钥失效。」。
     - 关闭企业身份源：提示「成员不能再通过企业身份源登录。」。
     - 缩短会话时长：提示「会话缩短到 …… 小时：成员会更频繁地重新输入密码。」。
     - 收紧密码规则：提示「更严格的密码规则只对之后设置或修改的密码生效，不会强制现有成员改密码。」。
4. 若需取消刚刚的修改，点击提示消息中的「撤销」按钮。

### 修改应用运行与草稿应用策略

1. 在「登录与认证」页面下方找到「应用运行与草稿应用」卡片。
2. 根据需要调整开关：
   - 切换「只在隔离界面应用 Agent 草稿」：开启后，[草稿：审阅与应用](/agent/drafts) 只能在独立域名界面中应用，工作台内无法点击应用。若平台未部署独立界面，该开关无法开启。
   - 切换「ISV 应用一律放在框架里」：开启后，第三方应用一律在沙箱框架页面内运行，此前已获得同页运行同意的应用也会退回框架内运行。
3. 开关调整后独立保存，保存成功提示「已保存」。

### 设置页面水印

1. 在左侧导航进入「安全」→「水印」。
2. 打开「开启水印」开关。开启后提示「水印已开启：所有人的页面几分钟内显示」，几分钟内对全员生效。
3. 在「显示内容」中勾选需要显示的信息项：
   - 勾选「姓名」「用户名」「邮箱」「组织名」「IP 地址」「日期时间」「溯源码」。水印至少需要保留一项显示内容。
   - 在「自定义文字」中输入提示文本（最多 40 个字，单行输入），离开输入框或按 Enter 保存。
4. 调整显示效果：
   - 在「浓度」下拉框中选择「淡」「标准」或「明显」。
   - 在「密度」下拉框中选择「稀疏」「标准」或「密集」。
5. 若需防范截图抹除，开启「暗水印」开关。
6. 在页面右侧「预览」区域查看实时效果。若需关闭水印，关闭「开启水印」开关，提示「水印已关闭：几分钟内从所有人的页面上消失」。

### 按溯源码查找外流责任人

1. 在左侧导航进入「合规」→「水印溯源」。
2. 在「按溯源码查找」区域的「溯源码」输入框中输入截图中获取的字符（例如 `7K3Q-W9XA`）。输入支持大小写、横线和空格，字符 `O` 会当作 `0`，`I` 和 `L` 会当作 `1`。
3. 点击「查找」。系统会自动记录本次查询动作至审计日志。
4. 查看责任人详情：
   - 查找到记录：显示具体日期的水印档案，包括该成员的「姓名」「用户名」「邮箱」「用户 ID」「当天首次」「当天最近」登录时间以及使用的「浏览器」。
   - 未查到记录：提示「没有找到：这个组织的水印里没有这个码（或已超过 400 天）。请核对字符。」。

### 从截图提取暗水印

1. 在左侧导航进入「合规」→「水印溯源」。
2. 滚动至「从截图找暗水印」区域。
3. 点击「选择截图」上传图片文件，或直接在页面中按下粘贴快捷键（Ctrl/⌘ + V）粘贴截图。
4. 拖动「增强」滑块调节图像对比度（数值范围 8–64，默认 24）。
5. 观察增强后的画面，用肉眼辨识出形如 `XXXX-XXXX` 的暗水印溯源码。
6. 复制辨识出的溯源码，填入页面上方的「按溯源码查找」输入框进行检索。

> **提示**
>
> 暗水印处理完全在你的浏览器本地进行，图片不会上传至服务器。PNG 原始截图的识别效果最好；经过压缩的 JPEG、缩放后的图片或拍照翻拍的图片可能无法提取，此时请直接查看明水印上的溯源码。

### 设置数据保存期限与立即清理过期记录

1. 在左侧导航进入「合规」→「数据与合规」。
2. 在「保存期限」区域中，为各数据类型输入保留天数（输入范围 1–3650 天；留空或填 0 表示不限期保存），或点击桌面端的「90」「180」「365」天快捷按钮。
3. 点击卡片下方的「保存」。保存成功后提示「保存期限已更新，系统每天自动清理一次」。
4. 查看将要删除的内容：点击「预览将删除什么」，核对各数据类型即将被删除的记录条数。
5. 手动执行清理：
   1. 点击「立即清理」。
   2. 在弹出的确认弹窗「立即永久删除过期记录？」中核对说明「删除后无法恢复。」。
   3. 点击「永久删除」。
   4. 清理完成后提示「已清理 …… 条过期记录」。被其他数据引用的记录会被自动跳过保留。

> **注意**
>
> 超过保存期限的记录被清理后，其对应的敏感字段加密密钥会一并销毁，无法恢复。

### 处理个人信息主体请求（查找、导出与擦除）

1. 在左侧导航进入「合规」→「数据与合规」。
2. 滚动至「个人信息主体请求」区域。
3. 在「邮箱、手机号或姓名」输入框中输入查询关键字（至少输入 3 个字符），点击「查找」。
4. 在下方展示的「找到 …… 条记录」表格中核对匹配的数据类型、记录标识、匹配字段与内容。
5. 导出数据：点击「导出为 JSON」，下载完整的匹配记录文件。
6. 永久擦除数据：
   1. 点击「擦除这 …… 条记录」。
   2. 在弹出的「永久擦除这些记录？」确认弹窗中，按照提示在输入框中再次输入一遍刚刚查询的关键字。若两次输入不一致，提示「请重复输入要擦除的内容以确认」。
   3. 点击「永久擦除」。
   4. 擦除完成后提示「已擦除 …… 条记录」（若有被业务引用的记录，会附加说明「，…… 条因被引用而保留」），并说明「加密密钥已销毁，备份中的副本也无法读取。」。

> **危险**
>
> 执行个人信息主体擦除后，对应记录将被永久删除且加密密钥立即销毁，备份中的副本也无法解密恢复。该操作不可撤销。

### 筛选与导出审计日志

1. 在左侧导航进入「合规」→「审计日志」。
2. 校验审计链完整性：进入页面时系统自动校验，或点击右上角「重新校验」。状态显示为「正在校验审计链…」「审计链完整」或「审计链校验失败」。
3. 筛选日志记录：
   - 在动作下拉框中选择分类，如「全部动作」「管理操作」「成员」「集成」「草稿」「平台运营」「审计」。
   - 在操作者输入框中输入用户 ID。
   - 点击「筛选」按钮。
4. 查看明细：点击记录行展开，查看序号、时间、「动作」「操作者」「来源」「对象」、Trace 标识、哈希值以及「变更内容」。
5. 导出日志：点击页头右上角的「导出全部」按钮。导出成功后提示「已导出完整审计链（导出本身也会被记录）」。

### 校验与下载审计归档

1. 在「审计日志」页面中找到「审计归档」区域。
2. 查看归档指标卡中的「已封存至」「最新」「待封存」以及「数据库内」记录数。
3. 校验归档完整性：点击卡片上的「完整校验」按钮，校验完成后显示「校验通过」或「校验发现问题」，并显示检查的分段数、封存条数及数据库活跃条数。
4. 下载归档分段：在「封存分段」列表中查看分段范围、时间、大小、SHA-256 哈希值与「锁定至」期限，点击分段可下载归档文件。

### 批准、拒绝与撤销支持访问

1. 当收到支持人员的临时访问申请后，在左侧导航进入「合规」→「支持访问」。
2. 在「待处理」区域查看申请卡片，核对申请时间、申请时长（最长不超过 240 分钟）以及「申请原因」。
3. 处理申请：
   - **批准**：点击卡片上的「批准」按钮。批准后提示「已批准，支持人员获得只读访问」，会话进入「生效中」状态，支持人员获得只读访问权限，敏感数据打码显示。
   - **拒绝**：点击卡片上的「拒绝」按钮。拒绝后提示「已拒绝」，卡片移入历史记录。
4. 提前撤销生效中的访问：
   1. 在「生效中」卡片上点击「立即撤销」。
   2. 在确认弹窗「立即撤销支持访问？」中核对说明「支持人员的会话立即失效。」。
   3. 点击「撤销」。撤销后提示「已撤销，访问立即失效」。

## 状态说明

### 支持访问状态流转

```
等待批准 ──┬──> 生效中 ──────┬──> 已过期
          │                 └──> 已撤销
          ├──> 已拒绝
          └──> 已撤回
```

| 状态 | 说明 |
|---|---|
| 「等待批准」 | 支持人员已提交临时访问申请，等待组织管理员审批。 |
| 「生效中」 | 管理员已批准申请，支持人员正在以只读身份访问，卡片显示剩余有效分钟数。 |
| 「已过期」 | 授权时间到达上限，支持人员会话已自动失效。 |
| 「已拒绝」 | 管理员已拒绝本次支持访问申请。 |
| 「已撤销」 | 授权仍在有效期内，但管理员主动操作提前终止了会话。 |
| 「已撤回」 | 申请在管理员处理前，由发起方取消撤回。 |

### 审计归档状态说明

| 状态 | 说明 |
|---|---|
| 「已锁定」 | 已封存的记录处于对象锁定（治理模式或合规模式），保留期内任何人都无法修改或删除。 |
| 「有独立副本，未锁定」 | 已有独立于数据库的不可变副本，但底层存储没有启用对象锁定，拥有存储权限的人仍可删除。 |
| 「尚未归档」 | 组织暂无封存分段。事件满 24 小时后会自动封存成不可变的分段。 |

### 审计日志动作对照表

界面上已支持中文名称映射的常见审计动作包括：

| 动作分类 | 中文动作名称 |
|---|---|
| 安全与策略 | 「修改安全设置」「修改应用运行与草稿应用策略」「同意（或撤回）应用在页面内运行」 |
| 成员与账号 | 「邀请成员」「调整成员角色」「停用成员」「启用成员」「发放成员验证码（邀请或重置密码）」「调整成员的部门与业务角色」「保存部门」「删除部门」「保存业务角色」「删除业务角色」「切换精细权限」 |
| 应用管理 | 「安装应用」「停用应用」「卸载应用」「升级应用」「开关应用模块」「评价应用」「修改应用的显示名称」 |
| 集成与登录 | 「添加企业登录」「修改企业登录」「删除企业登录」「开关企业登录」「创建服务账号」「轮换服务账号密钥」「删除服务账号」「创建 Webhook」「修改 Webhook」「删除 Webhook」「轮换 Webhook 密钥」「测试 Webhook」「重发 Webhook」 |
| 品牌与域名 | 「修改品牌」「上传标志」「移除标志」「添加域名」「验证域名」「释放域名」 |
| 模型与存储 | 「修改模型策略」「测试模型调用」「修改存储」「测试存储连接」「改回平台存储」 |
| 数据与归档 | 「下载审计归档」「校验审计归档」「执行保存期限清理」「创建数据记录」「导出审计」 |
| 草稿管理 | 「创建草稿」「编辑草稿」「应用草稿」「丢弃草稿」 |
| 租户运营 | 「运营：开通租户」「运营：修改租户」「运营：暂停租户」「运营：恢复租户」「运营：注销租户」 |

> **提示**
>
> 尚未入表的动作（如页面水印设置、个人信息主体擦除、支持访问审批等）在审计日志界面中会直接显示其英文代码。

## 让助手帮你做

助手支持协助管理员查询安全与合规状态，或代为执行相关的管理指令。所有安全策略、应用策略、水印调整、过期清理、主体擦除及支持访问审批均属于高风险操作，助手执行时必须通过管理员身份验证，并要求管理员明确确认。

你可以在对话中这样对助手说：
> 打开强制第二重验证。
> 会话改成 1 天。
> 给全组织开水印，加上溯源码和暗水印。
> 客户记录保存 365 天。
> 马上清掉过期记录。
> 按这个邮箱擦除个人信息。
> 批准那个支持访问，给 60 分钟。

### 助手操作交互与确认机制

| 操作内容 | 确认交互与要求 |
|---|---|
| 修改登录安全策略 | 验证管理员身份；对话提示确认「组织里每个人下次登录时都按新的策略验证身份；强制两步验证后，没有设置的人要先设置才能登录。」。 |
| 修改应用运行策略 | 验证管理员身份；对话提示确认「这会改变第三方应用的代码能接触到什么：在工作台页面内运行的应用能看到页面上的内容。」。 |
| 修改水印 | 验证管理员身份；对话提示确认「组织里每个人登录后看到的所有页面都会按新的设置显示水印；显示溯源码或开启暗水印时，平台按人按天记录溯源码。」。 |
| 设置保存期限 | 需在「数据与合规」页面的表单中绑定设置。 |
| 立即清理过期记录 | 验证管理员身份；对话提示确认「超过保存期限的记录会被立即永久删除，敏感字段的加密密钥一并销毁，无法恢复。」。 |
| 擦除个人信息 | 验证管理员身份；对话提示确认「所有包含这个邮箱、手机号或姓名的记录都会被永久删除，敏感字段的加密密钥一并销毁，备份里的副本也无法再读取，无法恢复。」。 |
| 批准支持访问 | 对话确认后支持人员在指定时长内（最长 240 分钟）获得只读访问权限，敏感数据打码显示。 |
| 拒绝支持访问 | 对话确认后拒绝支持访问申请。 |
| 撤销支持访问 | 对话确认后立即终止正在生效的支持访问会话。 |

> **注意**
>
> 受安全机制限制，助手**不能**执行以下操作：
> - 助手不能代查水印溯源，也不能提取暗水印。
> - 助手不能代读或代导出个人信息主体的搜索结果（擦除操作可以执行）。查找个人信息时输入的关键字不会回读，也不会出现在对话结果中。
> - 助手不能代读或导出审计日志与审计归档。

## 设置

| 设置项 | 作用 | 默认值 | 谁能改 |
|---|---|---|---|
| 「强制第二重验证」 | 强制成员下次登录时必须设置验证器 App 或安全密钥 | 关（建议开启） | 仅管理员 |
| 「允许通行密钥」 | 允许成员使用通行密钥或安全密钥免密登录 | 开 | 仅管理员 |
| 「允许企业身份源」 | 允许成员使用配置的企业身份账号登录 | 开 | 仅管理员 |
| 「会话时长」 | 控制登录会话有效时间，超时需重新登录 | 「10 天（平台默认）」 | 仅管理员 |
| 密码「最短长度」 | 限制新设置或修改密码的最短字符数（8 到 64） | 8（四类字符均要求） | 仅管理员 |
| 密码字符规则 | 要求包含大写字母、小写字母、数字、符号 | 全部勾选开启 | 仅管理员 |
| 「只在隔离界面应用 Agent 草稿」 | 限制草稿只能在单独域名的独立界面中应用 | 关 | 仅管理员 |
| 「ISV 应用一律放在框架里」 | 强制第三方应用即使申请同页运行也必须在沙箱框架中运行 | 关 | 仅管理员 |
| 「开启水印」及参数 | 控制登录后整屏水印开关、显示字段、浓度、密度、暗水印及自定义文字 | 关；开启后默认姓名+用户名、标准浓度与密度 | 仅管理员 |
| 各数据类型「保存期限」 | 超过指定天数的记录每天由系统自动永久清理 | 不限期保存 | 仅管理员 |
| 支持访问批准时长 | 授权平台支持人员临时访问的有效分钟数（15–240 分钟） | 按申请时长（不超过申请） | 仅管理员 |

## 注意事项

- **水印与溯源防范边界**：
  - 水印能够起到震慑与外流追查作用，但无法阻止通过手机拍照或外部录屏记录画面。
  - 若有人尝试使用浏览器开发者工具移除水印 DOM 节点，系统会立即重新绘制水印层，并将该行为记入审计日志。
  - 从系统下载或导出的本地文件（如云盘文件、导出的表格或 PDF 文件）目前不带水印。
  - 水印显示字段目前不提供手机号与工号选项。
  - 溯源码按人按天生成，系统内记录保留 400 天。
  - 暗水印还原严重依赖截图原始质量。经过有损压缩的 JPEG 图片、缩放变形的截图或翻拍屏幕的照片往往无法找回暗水印，此时应依靠明水印上的溯源码进行追查。暗水印增强工具仅调节对比度，不提供自动文字识别，需要人工读取。
- **登录与密码生效机制**：
  - 修改密码长度与字符规则后，仅对之后新设置或修改的密码生效，不会强制现有成员立即修改密码。
  - 密码最短长度有效范围为 8 到 64 个字符；会话时长有效范围为 1 小时到 30 天（1–720 小时）。
  - 若部署环境未连接身份服务，登录策略将不可配置。
- **应用运行策略约束**：
  - 若平台底层未部署独立的应用界面，无法开启「只在隔离界面应用 Agent 草稿」。
- **数据清理与擦除限制**：
  - 数据保存期限天数设置范围为 1 到 3650 天；留空或填 0 表示不限期保存。
  - 执行超期清理或主体擦除时，被其他业务记录引用的数据会被自动跳过保留。
  - 超期记录清理每种数据类型每轮最多删除 2 万条。
  - 个人信息主体搜索单次最多扫描 20 万条记录，超出上限时可能会提示结果不完整。
  - 擦除操作会彻底销毁加密密钥，备份中的副本也将无法解密读取，且删除后无法恢复。
- **审计与支持访问限制**：
  - 审计日志界面列表最多展示最近 200 条记录，完整记录需点击「导出全部」或在「审计归档」中下载分段。
  - 审计员在左侧导航栏中看不到「登录与认证」和「水印」；如果打开这两页的链接，可以只读查看。
  - 支持访问单次授权时长在 15 到 240 分钟之间，批准时长不能超过支持人员申请的时长。同一支持人员在同一组织内不能同时存在多个待处理或生效中的访问申请。

## 目前不支持

- 目前不支持为下载的文件（云盘文件、导出的表格或 PDF）自动添加水印。
- 助手目前不支持代读审计日志、代查水印溯源，以及代搜索或代导出个人信息主体记录。
- 审计日志界面目前尚未完全覆盖所有动作的中文名称（如页面水印设置、个人信息主体擦除、支持访问等动作会显示英文代码）。
- 登录设置界面目前不展示底层身份服务写入的固定配置项（例如关闭自助注册等）。
- 组织管理端不提供发起支持访问申请的入口，也不提供运营侧的审计日志封存与修剪工具。

## 常见问题

### 修改密码规则或开启强制第二重验证后，现有成员需要立刻重置密码吗？
更严格的密码规则只对之后设置或修改的密码生效，不会强制现有成员修改密码。开启「强制第二重验证」后，已登录的成员当前会话不受影响；但尚未绑定验证器 App 或安全密钥的成员在下次登录时，必须先完成第二重验证绑定才能进入系统。

### 为什么从系统导出的 Excel 表格或下载的云盘文件上没有水印？
页面水印仅在登录后的 Web 界面（工作台及其中打开的各个应用、账号设置）上绘制。下载到本地的文件（如云盘文件、导出的数据表格或 PDF）目前不包含水印。

### 截图被涂改或裁剪后，如何追查外流责任人？
若开启了「暗水印」，可以前往「水印溯源」页面，上传或粘贴原始 PNG 截图，拖动「增强」滑块调整对比度，在画面中肉眼寻找形如 `XXXX-XXXX` 的暗水印溯源码。获取溯源码后，在页面顶部的「按溯源码查找」中输入该码，即可查询该记录对应的成员姓名、用户名、邮箱及登录时间。

### 为什么部分过期数据或个人信息在执行清理与擦除后依然存在？
系统在执行数据清理或主体擦除时，若某条记录被其他有效业务数据引用，系统会自动跳过并保留该记录，以防止业务数据链断裂。此外，保存期限清理每轮每类最多处理 2 万条记录，个人信息主体搜索单次最多扫描 20 万条记录。

### 平台支持人员临时访问组织时，可以看到或导出组织的敏感数据吗？
不能。支持人员获得的临时访问权限严格为只读模式，无法导出数据，界面上的敏感字段会自动显示为加密状态。同时，支持人员的每次操作都会逐条记录在审计日志中，管理员可在「支持访问」页面随时点击「立即撤销」终止访问。