# 租户

「租户」是 Raise 运营管理平台的核心模块。运营人员可以在这里查看全平台租户列表与单租户全貌、开通新租户、调整租户名称、套餐与席位上限、执行租户暂停与恢复、处理租户注销与数据清除，以及在排查故障时向客户申请限时、只读的紧急支持访问。

## 谁能用

租户管理通过平台角色控制操作权限。平台角色分为运营人员与支持人员两种：

| 角色 | 权限说明 |
|---|---|
| `platform.ops`（运营人员） | 具备完整的读写权限。可查看租户列表、全貌、席位用量与操作时间线；可开通新租户、修改名称、套餐与席位上限；发放管理员验证码；执行暂停、恢复、注销与彻底清除数据；申请与撤回支持访问、打开客户管理台；登记与停用 Langfuse 模型追踪项目。 |
| `platform.support`（支持人员） | 具备只读权限。可查看租户列表、租户全貌、席位用量与最近平台操作时间线；无法执行任何写操作，相关操作按钮隐藏或禁用，在生命周期面板会提示「你的角色是只读的，不能暂停或注销租户。」。 |

> **提示**
>
> 通过「支持访问」打开的是客户组织应用，会话为限时且只读；每次请求均写入客户审计链，客户管理员可随时撤销该访问权限。

## 怎么打开

你可以通过以下方式进入租户管理：

1. 在运营台侧栏点击「平台」→「租户」，进入租户列表页。
2. 在列表顶部用状态标签筛选「正常」「已停用」或「清理中」，标签与列表同步。
3. 在租户列表中点击任意一行，直接进入对应租户的全貌页面。
4. 在[工作台](/ops/)待办中，点击租户正在清理、租户已停用或支持访问相关待办事项，直接跳转至列表筛选或租户全貌。
5. 按快捷键打开全局命令面板，输入租户名称搜索并直接进入对应全貌。

> **提示**
>
> 开通租户没有独立路由，在租户列表页点击右上角「开通租户」按钮即可打开开通对话框。

## 界面一览

### 租户列表页

| 区域 / 元素 | 说明 |
|---|---|
| 页眉 | 页面标题为「租户」。拥有写权限时，右侧提供「开通租户」按钮。 |
| 状态筛选标签 | 包含「全部 」「正常 」「已停用 」，各标签文字后跟随对应的租户数量。当系统中有处于删除中的租户时，标签栏会自动出现「清理中 」标签。 |
| 搜索框 | 占位文字为「搜索名称或租户 ID」，无障碍名称为「搜索租户」。支持按租户名称或租户 ID 包含匹配，不区分大小写。列表按创建时间倒序排列（新创建的排在前面）。 |
| 租户列表表格 | 包含以下列：<br>- 「租户」：展示租户名称与等宽字体的租户 ID。<br>- 「状态」：展示状态徽章，分为「正常」「已暂停」与「删除中」。<br>- 「套餐」：展示套餐名称，未绑定时显示「未分配」。<br>- 「席位上限」：展示具体数字，未单独覆盖时显示「按套餐/许可」。<br>- 「已装条目」：展示该租户已安装的应用条目数量。<br>- 「身份组织」：展示身份服务关联状态，显示为「已关联」或「未关联」。<br>- 「创建时间」：展示租户创建的时间戳。 |
| 空状态提示 | 平台暂无租户时显示「还没有租户」（拥有写权限时显示「开通租户」按钮）；搜索或状态筛选无匹配项时显示「没有符合条件的租户」与「换一个状态或搜索词试试。」。 |
| 页脚统计 | 无筛选条件时显示「共 」+ 人数 +「 个租户」；有筛选条件时显示「显示 」+ 当前/全部 +「 个租户」。 |

### 开通租户对话框

在列表页点击「开通租户」打开对话框，包含以下输入项：
- 「租户名称」：必填，输入框占位为「例如：Acme 科技」。未修改租户 ID 时，系统会根据名称的拉丁字母自动建议租户 ID。
- 「租户 ID」：必填，输入框占位为 `acme`，下方说明「创建后不可修改。」。格式规则为 2–63 位，小写字母、数字或“-”，且必须以字母开头。
- 「管理员邮箱」：必填，输入框占位为 `admin@acme.com`。
- 「直接返回邮箱验证码」：复选框，默认处于勾选状态，下方说明「未配置 SMTP 时勾选。」。
- 操作按钮：提供「取消」按钮；提交按钮为「开通」，未勾选验证码时按钮再拼「并发送邀请」。

### 租户全貌页

全貌页顶部提供返回「全部租户」的导航链接，标题展示租户名称与状态徽章（「正常」「已暂停」或「删除中」），副标题显示租户 ID 与创建时间（如 `acme · 创建于 ...`）。

特定状态下，页面顶部会显示横幅提示：
- 租户已暂停时提示：「租户已暂停」「所有成员无法登录，数据保留。」
- 租户正在注销时提示：「租户正在注销」「宽限期满后可在下方清除全部数据，不能恢复。」
- 未关联身份组织时提示：「没有关联身份组织」「成员无法登录，多半是开通时身份服务未配置。」

全貌页包含 4 个标签页（可通过页面顶部标签切换）：

| 标签页 | 主要功能与内容 |
|---|---|
| 「概览」 | 默认标签页。展示关键用量卡片、平台时间线与基本信息：<br>- 「席位」用量条：展示已用席位（已用 = 活跃 + 待激活），标注「活跃」与「待激活」数量，单位为「个」。<br>- 「已装条目」统计。<br>- 「Agent 草稿（30 天）」统计。<br>- 「已应用的变更（30 天）」统计，说明包含「 次管理操作」次数。<br>- 「最近的平台操作」时间线：无记录时提示「还没有平台操作」，读取异常提示「活动记录暂时读不到」。<br>- 「基本信息」卡片：展示「租户 ID」「身份组织」「套餐」「席位上限」（未覆盖显示「按许可」）与「创建时间」。<br>- 「管理员登录」卡片：提供「发放验证码」按钮（未关联身份或只读角色禁用）。<br>- 「模型调用追踪」卡片：展示 Langfuse 追踪状态及密钥配置。<br>- 「边界」说明：明确提示「这里没有租户的数据、对象和成员信息：它们不对平台开放。」「需要排查问题时，请让租户在“支持访问”里批准一次限时、只读的访问。」。 |
| 「套餐与设置」 | 提供「基本信息与套餐」表单：<br>- 「名称」：修改租户名称。<br>- 「套餐」：下拉选择在售套餐或「不分配套餐」；若当前使用的套餐已停售，选项标记为「（已停售）」。下方显示套餐规格说明，未分配时显示「没有套餐：只受许可的默认值限制。」。<br>- 「席位上限（单独覆盖）」：输入框占位为「默认」，说明「留空则用套餐上限，无套餐用许可默认值。」。<br>- 「身份组织」：只读展示（未关联显示为「未关联」）。<br>- 底部提供「保存」按钮（无改动或租户处于删除中时禁用）。 |
| 「支持访问」 | 租户处于正常或已暂停状态时展示。顶部说明「紧急支持访问（Break Glass）」「客户批准后才有限时、只读访问：看不到敏感字段、不能导出。每次请求记入客户审计，客户可随时撤销。」。<br>- 活跃且无进行中申请时提供「申请访问」表单（包含「原因」与「申请时长」）。<br>- 非活跃状态提示「租户不是活跃状态，不能申请。」。<br>- 下方「申请记录」列表展示历史申请状态，提供「打开客户管理台（只读）」「撤回申请」与「结束访问」按钮。无记录时显示「还没有申请记录。」。<br>*(注：若租户处于删除中，该标签页自动替换为「数据清除」面板)* |
| 「生命周期」 | 危险操作区：<br>- 活跃租户：提供「暂停租户」卡片（说明「成员无法登录，数据保留，可随时恢复。」）与「暂停」按钮。<br>- 已暂停租户：提供「恢复租户」卡片（说明「成员可重新登录，数据原样可用。」）与「恢复」按钮；提供「注销租户」卡片（说明「需先暂停。租户被永久锁定，数据被清除，不能撤销。」）与「注销」按钮。<br>- 无可用操作时提示「现在没有可用操作。」。<br>- 只读角色提示「你的角色是只读的，不能暂停或注销租户。」。<br>- 删除中租户在此展示「数据清除」面板。 |

### 数据清除面板

租户处于删除中状态时，在「生命周期」或原「支持访问」标签页展示数据清除面板：
- 标题为「数据清除」，说明「宽限期满后才能清除。客户自带存储里的文件不会被动，审计链保留。」。
- 显示注销时间与宽限期徽章（显示「宽限期已过，可以清除」或显示「宽限期至」具体时间）。
- 拥有写权限时提供「彻底清除数据…」按钮。
- 清除确认弹窗包含 6 个按序执行的步骤：
  1. 「业务数据（含敏感字段密钥）」
  2. 「平台上的文件」
  3. 「保存的凭据」
  4. 「模型网关密钥」
  5. 「身份组织与用户」
  6. 「租户记录」
- 清除完成后，面板显示「已彻底清除，证明已记入平台审计日志」；若失败则标明失败步骤，租户保持注销中状态，可修复后重试。

## 常用操作

### 搜索与筛选租户

1. 在管理后台左侧进入「平台」→「租户」列表。
2. 在顶部状态标签中，点击「全部 」「正常 」「已停用 」或「清理中 」切换列表视图。
3. 在「搜索名称或租户 ID」输入框中输入名称或租户 ID 关键字，列表自动执行不区分大小写的包含匹配。
4. 若无匹配结果，界面显示「没有符合条件的租户」与「换一个状态或搜索词试试。」。
5. 在列表中点击目标租户所在行，即可进入该租户的全貌页面。

### 开通新租户

1. 在租户列表页右上角点击「开通租户」，打开「开通租户」对话框。
2. 填写租户开通信息：
   | 字段 | 必填 | 说明 |
   |---|---|---|
   | 「租户名称」 | 是 | 填写租户全称，例如 Acme 科技。未修改 ID 时系统会按拉丁名称自动推导并填入租户 ID。未填写会提示「请填写租户名称」。 |
   | 「租户 ID」 | 是 | 租户全局唯一标识符，占位为 `acme`。下方说明「创建后不可修改。」。格式规则为 2–63 位，小写字母、数字或“-”，且必须以字母开头。格式不符提示「2–63 位，小写字母、数字或“-”，以字母开头」；ID 重复提示「该租户 ID 已存在」。 |
   | 「管理员邮箱」 | 是 | 填写初始管理员邮箱地址，占位为 `admin@acme.com`。未填写或格式错误提示「请填写有效的管理员邮箱」。 |
   | 「直接返回邮箱验证码」 | 否 | 默认开启。下方说明「未配置 SMTP 时勾选。」。开启后验证码将直接在界面展示；取消勾选后系统将通过邮件发出邀请。 |
3. 点击底部提交按钮「开通」（未勾选验证码时按钮再拼「并发送邀请」）。
4. 租户开通成功后弹出提示「已开通」。
5. 若勾选了直接返回验证码，界面弹出「租户已开通」对话框，显示警告「请把验证码交给管理员」「未配置 SMTP，邮件不会发出。验证码只显示这一次。」。记录该验证码后点击「完成」。
6. 将验证码交由租户管理员。管理员在[登录](/guide/sign-in)页面输入账号后点击「用验证码设置密码」，输入该验证码完成初始密码设置。
7. 如需为租户分配套餐或单独调整席位上限，可在全貌页「套餐与设置」中进行配置。

### 修改租户名称、套餐与席位上限

1. 在租户列表点击目标租户进入全貌页，切换到「套餐与设置」标签页。
2. 在「基本信息与套餐」表单中调整配置：
   | 字段 | 必填 | 说明 |
   |---|---|---|
   | 「名称」 | 是 | 租户展示名称。 |
   | 「套餐」 | 否 | 下拉选择租户绑定的套餐，选项包含「不分配套餐」及全部在售套餐；已停售的历史套餐选项后会标明「（已停售）」。下方展示套餐规格说明，未分配套餐时说明「没有套餐：只受许可的默认值限制。」。套餐变更保存后立即生效。 |
   | 「席位上限（单独覆盖）」 | 否 | 输入框占位为「默认」，说明「留空则用套餐上限，无套餐用许可默认值。」。填入不小于 0 的整数（输入 0 表示不限制席位）。若输入非整数或小于 0 会提示「请填写不小于 0 的整数（0 表示不限）」。 |
3. 确认调整后点击「保存」按钮（表单无变动或租户处于删除中时「保存」按钮禁用）。
4. 保存成功后，界面弹出提示「已保存」，配置即刻生效。

### 发放管理员验证码

1. 在租户全貌页进入「概览」标签页。
2. 在「管理员登录」卡片中，点击「发放验证码」按钮（若租户未关联身份组织或当前账号为只读角色，该按钮禁用）。
3. 弹出「发放管理员验证码」对话框，说明「管理员还没激活时，这是邀请码；已激活则是重置密码的验证码。之前的验证码作废。」：
   | 字段 | 必填 | 说明 |
   |---|---|---|
   | 「管理员邮箱」 | 否 | 提示「只有一位管理员时可留空。」。若租户存在多位管理员，请填写目标管理员邮箱。 |
   | 「直接显示验证码」 | 否 | 提示「未配置邮件服务时勾选。」，默认处于勾选状态。 |
4. 点击「发放」按钮。发放后之前的旧验证码立即作废。
5. 发放成功后弹出提示「已生成验证码」（或「已发送到 」后跟邮箱）。
6. 若选择直接显示验证码，界面显示「管理员的邀请验证码」或「重置密码的验证码」，并提示把验证码发给管理员：对方在登录页输入账号后点「用验证码设置密码」，填入验证码并设置密码。界面提示「验证码只显示这一次」，记录验证码后点击「完成」。

### 暂停租户

1. 在租户全貌页进入「生命周期」标签页。
2. 确认租户当前处于正常活跃状态，找到「暂停租户」卡片（说明「成员无法登录，数据保留，可随时恢复。」）。
3. 点击「暂停」按钮，系统弹出确认窗口。
4. 确认暂停操作（提示「成员将无法登录，数据保留，可随时恢复。」）。
5. 确认后弹出提示「租户已暂停」。租户状态变更为「已暂停」（列表标签显示为「已停用」），租户所有成员无法登录，已有访问令牌失效，数据完整保留。全貌顶部显示横幅「租户已暂停」「所有成员无法登录，数据保留。」。

### 恢复租户

1. 在租户全貌页进入「生命周期」标签页。
2. 确认租户当前处于已暂停状态，找到「恢复租户」卡片（说明「成员可重新登录，数据原样可用。」）。
3. 点击「恢复」按钮，系统弹出确认窗口。
4. 确认恢复操作（提示「成员可以重新登录。」）。
5. 确认后弹出提示「租户已恢复」。租户状态恢复为「正常」，成员可重新登录系统，业务数据原样可用。

### 注销租户

1. 确认目标租户已处于「已暂停」状态。若租户处于正常状态，必须先执行「暂停租户」。
2. 在租户全貌页进入「生命周期」标签页。
3. 找到「注销租户」卡片（说明「需先暂停。租户被永久锁定，数据被清除，不能撤销。」）。
4. 点击「注销」按钮，系统弹出确认注销对话框。
5. 在输入框中输入完整的租户 ID 进行确认，点击「永久注销」。
6. 提交后系统弹出提示「已开始注销：租户被锁定，数据清除走合规管线」。租户状态变更为「删除中」（列表标签显示为「清理中」），租户被永久锁定，全貌顶部显示横幅「租户正在注销」「宽限期满后可在下方清除全部数据，不能恢复。」，并进入数据清除宽限期。

> **注意**
>
> 注销租户不可撤销。注销后租户被永久锁定，无法再次恢复登录，无法修改套餐与设置，也无法申请支持访问。

### 彻底清除租户数据

1. 在租户全貌页进入「生命周期」标签页（或原「支持访问」位置的数据清除面板）。
2. 查看面板上的注销时间与宽限期状态（显示「宽限期已过，可以清除」或显示「宽限期至」具体时间）。
3. 确认满足清除条件后，点击「彻底清除数据…」按钮，弹出确认对话框。
4. 对话框提示彻底清除该租户数据且无法恢复：
   - 若当前仍在宽限期内，对话框显示警告「还在宽限期内。仅在客户明确要求立刻删除时勾选“跳过宽限期”。」，此时必须手动勾选「跳过宽限期」复选框。
   - 在确认输入框中输入完整的租户 ID（输入内容必须与租户 ID 完全一致）。
5. 点击「永久清除」按钮，系统按顺序执行以下 6 项数据清除：
   1. 「业务数据（含敏感字段密钥）」
   2. 「平台上的文件」
   3. 「保存的凭据」
   4. 「模型网关密钥」
   5. 「身份组织与用户」
   6. 「租户记录」
6. 清除结果反馈：
   - 若全部成功，系统弹出提示「租户数据已彻底清除」，面板显示「已彻底清除，证明已记入平台审计日志」，租户记录彻底移除。
   - 若清除中途失败，系统弹出提示「清除没有完成，见下方明细」，界面展示具体失败的步骤。租户仍处于注销中状态，可在排查修复问题后重试清除。

> **危险**
>
> 彻底清除数据操作不可恢复。系统将彻底清除租户的所有业务数据、平台文件、凭据、模型密钥及身份记录。客户自带存储（BYOS）里的文件不会被动，平台审计日志保留。

### 申请支持访问

1. 确认目标租户处于「正常」活跃状态（非活跃租户无法申请，提示「租户不是活跃状态，不能申请。」），且当前没有进行中的支持访问申请。
2. 在租户全貌页进入「支持访问」标签页。
3. 在「申请访问」表单中填写申请信息：
   | 字段 | 必填 | 说明 |
   |---|---|---|
   | 「原因」 | 是 | 输入框占位为「例如：客户反馈 3 号 14:00 起导入失败，需要查看数据类型和最近的错误」，提示「客户批准前会看到」。字数要求在 10 到 1000 字之间。 |
   | 「申请时长」 | 是 | 选择访问有效时长：可选 15 分钟、30 分钟、60 分钟（默认）、120 分钟、240 分钟。 |
4. 填写完成后，点击「向客户申请访问」按钮。
5. 提交成功后弹出提示「已发出申请，等待客户管理员批准」。
6. 在下方「申请记录」中，当前申请状态显示为「等待客户批准」。客户组织管理员将在其组织应用中收到并审批该申请。
7. 客户批准后，状态变为「生效中」。点击「打开客户管理台（只读）」按钮，系统弹出提示「已在新标签页打开客户的管理台（只读）」，并在新浏览器标签页打开只读管理会话。

### 撤回或结束支持访问

1. 在租户全貌页进入「支持访问」标签页，在「申请记录」列表中查看当前记录。
2. 若申请处于「等待客户批准」状态，点击「撤回申请」按钮，申请立即取消，状态变更为「已撤回」。
3. 若申请处于「生效中」状态，完成排查后点击「结束访问」按钮，提前终止支持会话。
4. 若访问时间耗尽，状态自动变更为「已过期」；若客户管理员在客户侧主动取消，状态显示为「被客户撤销」；若客户管理员驳回申请，状态显示为「被拒绝」。

### 配置与更换模型调用追踪密钥

1. 运营人员登录 Langfuse 平台，在 `kwork` 组织下为该租户创建对应的追踪项目 `tenant-{id}`。
2. 在租户全貌页进入「概览」标签页，找到「模型调用追踪」卡片。
3. 若当前状态为「未登记，只进平台项目」，点击「登记项目」按钮；若当前状态为「已登记」，点击「更换密钥」按钮。
4. 弹出「登记租户的 Langfuse 项目」对话框，填写追踪凭据：
   | 字段 | 必填 | 说明 |
   |---|---|---|
   | 「公钥」 | 是 | 填入 Langfuse 项目的公钥。 |
   | 「私钥」 | 是 | 填入 Langfuse 项目的私钥，下方说明「保存后不再显示。」。 |
5. 对话框说明「换密钥后最多一分钟生效」「已有数据不受影响。」。确认后点击保存。
6. 登记成功后，状态显示为「已登记」，并展示对应的项目名、掩码处理后的公钥以及「登记于」时间。

### 停用模型调用追踪

1. 在租户全貌「概览」标签页的「模型调用追踪」卡片中，确认当前状态为「已登记」。
2. 点击「停用」按钮，系统弹出确认对话框。
3. 对话框提示「停用这个租户的追踪项目？」「租户将读不到追踪。Langfuse 里已有的数据保留，需手工删除。」。
4. 确认停用后，系统弹出提示「已停用」，追踪状态恢复为「未登记，只进平台项目」。

## 状态说明

### 租户生命周期状态

```
正常 (active) ───[ 暂停 ]───> 已暂停 (suspended) ───[ 恢复 ]───> 正常 (active)
                                    │
                                 [ 注销 ]
                                    ↓
                                删除中 (deleting) ───[ 彻底清除 ]───> 记录移除
```

| 列表标签 | 状态徽章 | 内部状态 | 业务含义 |
|---|---|---|---|
| 「正常」 | 「正常」 | active | 租户正常运行。成员可正常登录，支持修改套餐、登记 Langfuse 及申请支持访问。 |
| 「已停用」 | 「已暂停」 | suspended | 租户已被暂停。成员无法登录，既有令牌失效，业务数据保留。可随时恢复，也可在此状态下注销。 |
| 「清理中」 | 「删除中」 | deleting | 租户已注销并处于合规删除管线中。租户被永久锁定，不可修改设置或申请支持访问。宽限期满后可彻底清除数据。 |

### 支持访问状态

```
等待客户批准 (pending) ───[ 客户批准 ]───> 生效中 (active) ───[ 到期 ]───> 已过期 (expired)
          │                                      │
       [ 撤回 ]                               [ 结束 / 撤销 ]
          ↓                                      ↓
     已撤回 (cancelled)                     已撤回 / 被客户撤销 (revoked)

等待客户批准 (pending) ───[ 客户拒绝 ]───> 被拒绝 (denied)
```

| 状态 | 业务说明 |
|---|---|
| 「等待客户批准」 | 运营人员已发起访问申请，等待客户管理员审批。运营人员可随时撤回。 |
| 「生效中」 | 客户已批准申请，访问处于有效期内。运营人员可打开只读管理台排查，或提前结束访问。 |
| 「已过期」 | 申请的时长已到达上限，支持会话自动关闭失效。 |
| 「被拒绝」 | 客户管理员在客户应用中驳回了支持访问申请。 |
| 「被客户撤销」 | 支持访问生效期间，客户管理员在客户管理台中主动中断并撤销了授权。 |
| 「已撤回」 | 运营人员在客户审批前主动撤回了申请。 |

## 让助手帮你做

目前平台助手（Agent）未开放对租户生命周期的写入操作权限。出于平台多租户安全、隔离与合规审计要求，你不能通过助手开通租户、修改套餐与席位、暂停租户、恢复租户、注销租户或清除租户数据。

涉及租户的所有关键生命周期操作，均须由具备 `platform.ops` 权限的人员在管理后台界面中手动操作与二次确认。

你可以向助手咨询租户管理规则与操作指引，例如：
> 租户注销后多久可以清除数据？
> 怎么向客户申请紧急支持访问？
> 为什么支持人员角色不能暂停租户？
> 租户 ID 创建后可以修改吗？

## 设置

租户相关的控制项与配置规则如下：

| 设置项 | 作用 | 配置方式与取值 | 默认值 | 权限要求 |
|---|---|---|---|---|
| 「席位上限（单独覆盖）」 | 单独覆盖当前租户的可用席位上限，控制该租户的成员规模 | 填入不小于 0 的整数（0 表示不限制席位），留空表示不单独覆盖 | 留空（继承所选套餐上限；若无套餐则继承许可默认值） | 拥有 `platform.ops` 权限的运营人员在全貌「套餐与设置」中修改 |
| 数据清除宽限期 | 控制租户从注销到允许彻底清除数据之间的安全缓冲天数 | 部署环境级配置，界面仅显示到期时间（如「宽限期至……」或「宽限期已过，可以清除」），不提供在界面修改天数的控件 | 由系统部署配置指定 | 部署运维人员在部署配置中调整 |
| 模型调用追踪（Langfuse） | 为租户绑定专用的 Langfuse 项目密钥，采集模型调用指标 | 运营人员在 Langfuse 平台创建项目后，在全貌「概览」登记「公钥」与「私钥」 | 未登记（仅进入平台默认项目） | 拥有 `platform.ops` 权限的运营人员在全貌「概览」中登记或停用 |

## 注意事项

- **租户 ID 规则与不可变性**：租户 ID 创建后永久不可修改。租户 ID 必须为 2–63 位，由小写字母、数字或“-”组成，且必须以字母开头。
- **套餐变更即时生效**：在「套餐与设置」中调整租户绑定的套餐或席位覆盖后，点击「保存」立即对该租户生效，不存在等待下个账期的过渡期。
- **注销前置条件与不可撤销性**：
  - 只有处于「已暂停」状态的租户才能执行注销。若租户处于正常运行状态，必须先执行暂停。
  - 注销操作不可撤销，租户将被永久锁定。注销与彻底清除数据时，均必须手动输入完全一致的租户 ID 进行确认。
- **数据彻底清除的范围与不可逆性**：
  - 彻底清除操作不可恢复。清除时将移除业务数据（含敏感字段密钥）、平台文件、凭据、模型网关密钥、身份组织与用户记录，以及租户记录本身。
  - 客户自带存储（BYOS）里的文件不会被清除，[平台审计](/ops/audit)日志保留。
  - 宽限期内原则上不允许清除；仅在客户明确要求立即删除时，方可勾选「跳过宽限期」进行强制清除。
- **删除中状态的操作限制**：租户处于删除中状态时，无法修改租户名称、套餐或席位上限，也无法申请支持访问。
- **支持访问安全约束**：
  - 仅支持对处于正常活跃状态的租户发起支持访问申请。
  - 申请时长单次最长为 240 分钟。
  - 访问为严格的限时、只读会话，无法查看租户的敏感字段，无法执行数据导出。
  - 访问期间的每次请求均记录至客户审计日志，客户管理员可随时撤销访问。
- **平台与租户数据边界保护**：运营台界面不展示租户内部的具体业务数据、业务对象与成员明细（平台不开放这些数据）。排查客户业务问题时，必须通过「支持访问」流程获取客户授权。
- **角色权限隔离**：`platform.support` 角色为纯只读权限，无法开通、修改、暂停、恢复、注销、清除租户，也无法申请支持访问。

## 目前不支持

- 不支持公网自助申请开通租户页面（`apply.{base}` 页面是助手草稿的隔离审阅面，并非租户开通申请页，详见 [申请与支付](/ops/apply-pay)）。
- 不支持模拟登录（Impersonation）为租户内的某个成员账号。
- 不支持批量开通租户，不支持通过 CSV 文件导入租户。
- 运营台界面不支持直接修改数据清除宽限期的天数。

## 常见问题

#### 开通租户后，如何把初始账号密码交给客户管理员？
在开通租户对话框中保持勾选「直接返回邮箱验证码」（或在租户全貌「概览」点击「发放验证码」并勾选「直接显示验证码」），开通成功后界面会一次性显示邀请验证码。把验证码交给租户管理员，管理员在[登录](/guide/sign-in)页面输入账号后点击「用验证码设置密码」，输入验证码即可完成密码初始化。若取消勾选直接显示且平台配置了邮件服务，系统将通过邮件向管理员发送邀请。

#### 为什么点击租户详情无法进行暂停、注销或开通操作？
这通常是因为当前登录账号的角色为 `platform.support`（支持人员）。该角色仅拥有只读权限，界面上的写操作按钮会自动隐藏或处于禁用状态，在生命周期面板会提示「你的角色是只读的，不能暂停或注销租户。」。只有具备 `platform.ops`（运营人员）角色的账号才能执行租户开通、修改、暂停、恢复、注销与清除等操作。

#### 租户注销后，可以立刻清除数据吗？为什么提示还在宽限期内？
租户注销后会自动进入安全宽限期保护，界面会显示宽限期截止时间（徽章显示「宽限期至……」）。只有宽限期满后，徽章变为「宽限期已过，可以清除」，方可正常清除。如果客户明确要求立即彻底删除，可以在清除确认弹窗中手动勾选「跳过宽限期」，并输入完整的租户 ID 确认清除。请注意，清除操作彻底不可逆。

#### 为什么向客户申请「支持访问」时提示不能申请？
申请支持访问需要满足以下条件：首先，租户必须处于正常活跃状态，若租户已暂停或正在删除中，界面会提示「租户不是活跃状态，不能申请。」；其次，当前租户不能有正在进行中或等待审批的支持访问申请；最后，申请原因必填且字数须在 10 到 1000 字之间。

#### 租户「暂停」与「注销」有什么区别？
「暂停租户」是可逆的操作。暂停后所有成员无法登录系统（现有令牌失效），但业务数据完整保留，运营人员可以随时点击「恢复」让租户重新恢复正常运行。「注销租户」是不可逆的操作，必须在租户暂停后方可执行。注销后租户被永久锁定并进入删除中状态，宽限期过后将彻底清除租户数据。