Reflex Organization 组织管理完全指南项目、成员、角色、计费与治理【免费下载链接】reflex️ Web apps in pure Python 项目地址: https://gitcode.com/GitHub_Trending/re/reflex在 Reflex项目仓库根目录中Organization组织是一个共享工作区承载你的全部项目与应用、协作者及其角色、以及计费和额度。本文以官方文档 docs/ai_builder/organization/overview.md 为核心骨架系统讲解三层结构组织 → 项目 → 应用、组织级与项目级设置的划分、创建/切换/离开/删除组织的完整生命周期并结合仓库内 成员与席位、团队、角色与权限、服务账户、域验证与自动加入、SSO、SCIM 目录同步、审计日志 与 用量 等子主题展开一份可直接落地的团队协作与治理操作手册。读完你将掌握如何搭建组织层级、按人与团队分配项目权限、用服务账户与 Token 驱动 CI 自动化以及如何用域验证、SSO、SCIM 和审计日志建立企业级治理基线。Organizations、Projects 与 Apps 的三层结构Reflex 使用严格的三个层级组织所有工作内容。每个项目和应用都归属于某个组织——无论你在 Reflex Build 还是 Reflex Cloud 中工作。你的账户在第一次登录时会自动创建一个组织。Organization组织最顶层通常一个公司一个。成员、团队、组织级角色、机器身份服务账户、Token、用量、计费、已验证域名和单点登录SSO都在这一层设置。Project项目组织内一组相关应用的集合拥有自己的成员、角色和设置。团队通常为每个产品线或每个客户创建一个项目。App应用你构建并部署的应用程序每个应用从属于一个项目。人员加入流程遵循先进组织、再进项目的路径先成为组织成员再被授予具体项目的访问权。这样可以让一个大型团队共享同一个工作区同时避免每个人都能访问其中的一切。扩展阅读关于项目级的工作台视角可参考 项目概览 与 应用生命周期。设置归属组织级还是项目级理解设置放在哪一层是治理的关键。下表完整列出了组织级与项目级各自的设置项组织级Organization level项目级Project level成员、团队、席位与预置provisioning哪些成员和团队可以打开项目内置与自定义组织角色内置与自定义项目角色服务账户项目名称与删除AI 与 Cloud 用量、计费、额度项目概览与用量摘要已验证域名与自动加入部署与项目访问审批单点登录SSO密钥Secrets与集成已连接的云提供商项目活动审计日志组织级活动审计日志应用与部署一句话概括组织级设置管谁可以进入公司并管理基础设施项目级设置管项目内部谁做什么。两者的管理入口也分离——组织侧边栏管理组织级设置项目侧边栏管理项目级设置。创建、切换与管理组织创建组织大多数团队只需要一个组织。当你需要完全分离的成员、计费和项目时例如隔离两家公司或两个客户可以创建第二个组织。操作路径打开页面顶部的organization switcher组织切换器→ 选择Create organization→ 命名并确认。创建组织取决于你的套餐 如果你看不到创建选项说明当前套餐不包含该能力请联系销售了解详情。切换组织如果你属于多个组织通过组织切换器在它们之间切换。你看到的项目、成员、计费和设置始终属于当前选中的组织。如果某个项目或同事不见了首先检查是否选对了组织。名称与 ID组织设置的General标签页展示两个字段Organization name组织名称在 Reflex 中各处显示的名称。管理员可随时修改。Organization ID组织 ID供 CLI 和 API 使用的固定标识符。可以复制但不能修改。从仓库结构看组织 ID 这类稳定标识与 docs/hosting/tokens.md 中描述的组织级作用域凭证配合使用是 CLI/API 鉴权的基础。CLI 相关命令细节可参考 docs/api-reference/cli.md。离开组织不再需要访问时在General中使用Leave organization你将立即失去对其项目和应用的访问权。组织必须始终至少保留一名管理员。如果你是唯一的管理员离开前需要使用Hand off admin access移交管理员权限将权限提升给另一位成员。移交前应核实新管理员身份并确认其职责。删除组织删除组织是永久性操作会移除其中的所有项目。在组织侧边栏打开General使用Delete organization系统会要求你输入组织名称以确认。不能删除你唯一所属的组织 如果这是你唯一所属的组织Reflex 不会执行删除。请先创建或加入另一个组织。成员与席位Members Seats详细内容见 docs/ai_builder/organization/members.md。组织的成员是可以在其中工作的人成为成员后才能被加入具体项目。席位机制每个成员占用一个席位seat待处理的邀请也会占用席位直到对方加入或你撤销邀请。Members 标签页会显示当前席位使用情况例如4 of 10 seats used10 个席位已用 4 个。席位耗尽时可通过移除成员、撤销邀请或为套餐增加席位来解决。席位数量属于套餐的一部分具体可查看 计费。添加成员选择Add member输入邮箱并为该成员选择 组织角色对于 Member、Manager 或自定义组织角色可以同时选择一个或多个项目并为每个项目分配项目角色组织管理员自动继承对所有项目的 Admin 访问因此项目选择器对管理员隐藏对方已有 Reflex 账户则立即加入没有则收到邮件邀请注册后加入。项目访问是可选的 对于非管理员组织角色仅成为成员并不等于获得项目访问权。添加成员时勾选项目或稍后在组织/项目设置中补充。如果所有项目都不勾选此人加入组织但无法打开任何项目。组织管理员自动继承所有项目的 Admin 权限。待处理邀请与等待席位未加入的受邀者显示在Pending invitations下附其将获得的角色选择后点Revoke可撤销邀请之后可重新邀请。启用域验证后邮箱匹配已验证域的人会自动加入。若此时组织无空余席位他们会进入Awaiting a seat等待席位队列——队列中的人不占席位、无任何访问权。席位空出后选择Activate予以接纳。修改角色、撤销会话与移除成员成员姓名旁显示其组织角色通过下拉框即可变更不能修改自己的角色需要时请找其他管理员。通过成员操作菜单的Add to projects可为其授予一个或多个项目的直接访问权。Revoke active sessions用于让成员在组织内全部登出如设备丢失或疑似账户被盗其成员身份和角色保持不变之后仍可重新登录。点击成员旁的删除图标并确认即可移除成员其将失去组织及其全部项目的访问权之后可重新添加。组织始终需要至少一名管理员。若你是唯一管理员离开组织前 Reflex 会提示Hand off admin access。团队Teams一次授权、全组继承详见 docs/ai_builder/organization/teams.md。团队把组织成员分组使你只需授权一次项目角色组内所有人都继承该访问权。适合 Engineering、Design、Support 这类稳定人群。创建与管理组织管理员在Teams页选择New team填写名称并创建选择Manage可重命名、添加/移除成员、查看项目访问。团队角色每位团队成员有一个团队角色——Member继承团队被授予的所有项目角色Admin额外拥有管理团队成员的能力。授予项目访问在项目的Members页添加该团队并赋予合适的项目角色详见 管理项目访问 一节所有当前及未来成员自动继承。一个人的有效项目访问可能由三部分叠加组织角色继承的访问、一个或多个团队继承的访问、以及项目上直接分配的角色。给成员添加直接分配前先查看其 有效权限避免与团队/组织角色继承的权限重复。访问管理指南围绕实际职责而非单个项目建团队同一群人跨多个项目协作时分配最小权限的项目角色即可成员职责变化或离开组织时复查团队成员例外情况使用直接项目分配而不是创建一人团队组织成员资格与团队成员资格是分离的先按 成员与席位 把人加入组织再加入团队通过 SCIM 同步的团队其名称与成员由身份提供方管理应在提供方侧维护删除团队会移除其成员通过该团队继承的所有项目角色直接分配的角色不受影响。SCIM 同步的团队删除应在身份提供方删除对应组。角色与权限Roles Permissions详见 docs/ai_builder/organization/roles_and_permissions.md。角色决定每个人能做什么Reflex 有两个层级组织角色作用于整个组织——创建项目、查看审计活动、管理计费、管理组织。项目角色作用于单个项目——构建应用、编辑密钥、审批受保护操作可直接分配给成员也可经团队继承。两者分别赋值组织角色管经营组织项目角色管项目内的工作。内置组织角色每位成员只有一个组织角色能力MemberManagerAdmin属于组织并使用被加入的项目✓✓✓创建新项目✓✓查看组织审计日志✓✓添加/移除成员、修改角色✓重命名或删除组织✓管理计费、席位与额度✓验证域名、配置单点登录✓连接云提供商✓自动成为每个项目的Admin✓Member只能访问被加入的项目权限为被授予的项目角色Manager能创建项目和查看组织审计活动的成员适合不管理人、不管计费的团队负责人Admin管理成员和计费且是组织内每个项目的管理员。角色在组织侧边栏的Roles中管理。自定义组织角色内置角色给多了或给少了时组织管理员可选择New role创建自定义组织角色。每个自定义角色从 Member 访问开始可追加创建项目、管理计费、查看审计日志。例如可以让一位计费经理管理计费而不授予其对所有项目的 Admin 权限。自定义组织角色不能替代 Admin去管理组织成员或所有项目。项目角色向项目添加成员或团队时需要分配一个项目角色。内置角色有三种另有自定义角色覆盖内置角色不满足的场景能力ViewerEditorAdmin查看项目、其应用与活动✓✓✓创建应用✓✓创建会话线程Build 对话✓✓看到存在哪些密钥查看名称✓✓查看密钥值✓添加和编辑密钥✓管理集成✓审批部署✓审批项目变更✓查看项目审计日志✓重命名项目✓删除项目✓添加/移除项目成员、分配角色✓创建和编辑自定义角色✓Viewer只读。可查看项目和应用但不能编辑、部署或查看密钥值Editor创建和编辑应用、在 Build 中工作、管理应用密钥能看见密钥存在但看不到值Admin项目完全控制权包括成员、角色、集成、密钥、审批策略和删除。服务账户角色服务账户可拥有组织Member或Manager角色绝不能是组织 Admin。其项目访问需在服务账户的Manage对话框中单独授予Viewer、Editor 或 Admin。自动化应使用所需的最低组织与项目角色。两个层级如何组合一个人对项目的有效访问可能同时来自组织角色、团队分配和直接项目角色组织管理员自动是所有项目的管理员无需添加Manager 与 Member在被授予直接项目角色或经团队继承之前没有任何项目访问团队分配把团队的项目角色授予团队每个成员修改某人的项目角色不会改变其组织角色反之亦然。选角色指南组织Admin只给少数管理团队和计费的人团队负责人用Manager能建项目但不管理人/计费大多数人保持Member按项目控制访问只需要建项目、管计费或看审计日志的人用自定义组织角色同一群人需要一致访问时用团队直接分配只用于例外项目内让构建者做Editor、项目所有者做Admin、仅查看者做Viewer内置项目角色接近但不精确时创建自定义角色而不是滥授 Admin。管理项目访问Managing Project Access详见 docs/ai_builder/organization/project_access.md。组织成员资格让人可以加入项目但具体某个项目能否打开、能做什么完全由项目级访问控制决定。管理入口在项目侧边栏的Members。谁已经拥有访问权组织管理员可以打开每个项目成员列表中显示Organization admin徽标其访问来自组织角色无法在此修改团队成员继承其团队被授予的项目角色Manager 与 Member在直接添加之前没有项目访问权。添加成员与团队Add user打开成员选择器列出尚无直接角色的组织成员。选择一人或多人为每人分配项目角色然后Add to project。只能添加本组织成员Teams下选择团队将其添加为 Editor之后可改为 Viewer、Editor 或非 Admin 的自定义角色团队所有成员继承该访问找不到某人时确认其属于组织且没有直接项目角色必要时由组织管理员在组织侧边栏的Members中操作。修改与移除每个成员姓名旁有角色下拉框可随时变更。以下访问不能在此修改你自己的角色防止把自己锁在门外组织管理员继承自组织团队继承的访问必须在团队分配上修改而非单个成员。分配项目角色需要项目Admin角色或组织管理员身份。移除直接分配的成员时若其仍从组织角色或团队继承访问则移除直接分配不会移除全部项目访问——先查看有效权限。查看有效权限Effective Permissions选择View effective permissions可看到成员当前的真实能力包括从组织或团队继承的权限。当成员的直接角色无法解释其实际访问时务必使用此视图在移除或降级分配前区分直接、团队继承与组织继承三类权限。邀请同事是 Enterprise 功能 若看不到添加成员的选项说明套餐不含该能力请联系销售了解详情。服务账户Service AccountsCI 与自动化的机器身份详见 docs/ai_builder/organization/service_accounts.md。服务账户是组织拥有的机器身份用于 CI、脚本和集成避免用个人账号跑自动化。由于身份归组织所有创建者离开后凭证仍可继续工作组织管理员可禁用服务账户而不影响任何人的个人账户。创建与授权在组织侧边栏打开Service Accounts选择New service account填写Name清晰的标识如CI deployWhat its used for可选的工作负载/负责人说明Organization roleMember 或 Manager服务账户不能是组织 Admin。创建后在Manage中发放凭证并授予项目访问选择一个项目分配 Viewer、Editor 或 Admin只授予自动化需要的项目和操作。可在同一对话框复查和撤销其项目角色。凭证承载的是账户自身的访问而不是你的 绑定到服务账户的 Token 以该账户身份行动不携带签发者的任何身份信息。用个人凭证测试成功的自动化切换到服务账户凭证后若账户本身未持有相关项目角色将返回 403。发放凭证在Credentials下输入名称如github-actions→ 设置凭证有效期天→ 选择Issue→立即复制Reflex 不会再次显示→ 从 CI 任务、脚本或集成中以X-API-Token请求头发送。凭证列表展示名称、创建日期和过期日期不再使用或可能泄露时及时撤销。服务账户凭证属于机密 请存放在工作负载的密钥管理器中切勿粘贴进源码、Builder 提示词/知识库、日志、截图或文档。禁用/删除与安全禁用服务账户会撤销其全部凭证并移除组织访问但保留项目角色分配便于日后恢复重新启用后需发放新凭证删除服务账户会永久撤销其凭证与项目角色安全建议默认用 Member 组织角色保持描述更新定期轮换凭证并清理不再使用的项目访问用审计日志复查活动交互式工作使用个人账户绝不与自动化共享个人凭证。已验证域名与自动加入Verified Domains Auto-Join详见 docs/ai_builder/organization/domains.md。逐个邀请适合小团队对全公司而言验证公司邮箱域名如acme.com后任何匹配地址的人无需个人邀请即可自动加入组织。域名在组织侧边栏的Domains管理属于Enterprise套餐。工作原理认领你公司拥有的域名通过添加 DNS 记录证明所有权验证通过后邮箱位于该域名的人自动加入——包括新注册用户和已有的 Reflex 用户。认领与验证选择Add domain输入要认领的域名如acme.com它会以Pending状态出现并附带 DNS 说明。到你的 DNS 服务商处添加所示TXT 记录Type、Name、Value然后返回选择Verify。DNS 变更需要一点时间 添加记录后可能需要几分钟传播。首次验证失败请稍候重试。注意一个域名只能被一个组织验证。自动加入与席位域名验证后auto-join 默认开启新注册用户和已有用户邮箱匹配都会自动加入。可用开关关闭 auto-join暂停新增人员同时保持域名已验证——用于暂停 onboarding 而不移除域名。若域名显示Sync incomplete说明部分已有用户尚未加入选择Sync members即可补加可随时安全执行若自动加入时组织没有空闲席位新用户进入Awaiting a seat队列、不占席位直到管理员激活。移除域名点击域名卡片上的删除图标并确认该域名的新用户停止自动加入已有成员保留访问权之后可重新认领。域名与 SSO 的关系已验证域名是配置单点登录SSO的前提。要让团队通过身份提供方登录需先验证域名再设置 SSO。Single sign-on 卡片就位于本页域名下方。单点登录SSOSAML 与 OIDC详见 docs/ai_builder/organization/sso.md。SSO让你的团队通过公司身份提供方IdP登录 Reflex与公司其他工作工具使用同一套登录。它控制登录但不负责创建或移除组织成员。Reflex 支持SAML与OIDC兼容 Okta、Microsoft Entra ID、Google Workspace 等提供方属于Enterprise套餐。配置步骤先验证域名——Reflex 依赖域名把正确的登录路由到你的提供方在 Domains 页找到Single sign-on卡片选择Enable SSO选择Configure identity provider按步骤连接提供方并交换配置信息。配置完成后卡片显示Enabled徽标已验证域上的成员通过你的提供方登录。只有组织管理员可以启用、配置或禁用 SSO。成员登录与禁用启用 SSO 后已验证域名上的人会被引导到提供方登录。在提供方禁用某个账户会阻止其后续 SSO 认证但不会把此人从 Reflex 组织移除——需要成员增删时应配合 SCIM 目录同步未配置 SCIM 时直接在 Reflex 中移除成员。选择卡片上的Disable可禁用 SSO成员恢复常规登录方式提供方配置从 Reflex 移除。禁用 SSO不移除任何人已有成员保留访问。即使套餐变更后也可禁用 SSO组织不会被锁定在某个提供方上。SCIM 目录同步Provisioning详见 docs/ai_builder/organization/provisioning.md。目录同步SCIM让身份提供方自动创建和移除组织成员当某人在目录中被禁用时Reflex 会在取消预置deprovisioning时终止其组织成员资格和活动会话。如果你的组织集中管理员工访问、希望 Reflex 的账户变更跟随同一生命周期就使用 SCIM。配置目录同步在组织侧边栏打开Provisioning页面提供SCIM base URL复制到身份提供方Tokens区目录连接使用的凭证。创建 Token 的步骤输入标识连接的名称如Okta production选择Create token立即复制——Reflex 不会再次显示把 SCIM base URL 和 Token 填入身份提供方先在一个小的、已批准的用户组上测试再推广到整个组织。Token 列表展示每个 Token 的名称、前缀、创建日期和最后使用信息便于管理员识别活跃连接。将预置 Token 视为机密 请存放在身份提供方的机密存储中切勿放进 Builder 知识库、源码、截图、问题追踪器或文档。撤销 Token 用于轮换凭证、替换连接或疑似泄露场景该 Token 立即无法再预置/取消预置成员已有成员访问不受影响。组与项目访问通过 SCIM 同步的目录组在 Reflex 中显示为团队。组归属控制谁属于该团队而项目访问仍由你在 Reflex 中控制打开项目Members页为同步的团队分配角色当前与未来的组成员都会继承。手工在 Reflex 创建的团队不受身份提供方管理。若身份提供方删除同步组Reflex 会移除对应团队及其项目角色分配。同步团队的项目角色也可通过 API 授予从而让入职某人简化为一次目录添加——完整流程含预置系统应使用的凭证身份见 Automated provisioning。用量、审计与治理用量Usage详见 docs/ai_builder/organization/usage.md。组织Usage页面展示 AI 额度消耗与 Cloud 资源用量可通过项目与时间过滤器排查变化AI usageUsage AI项目过滤器、日期范围过滤器、当月额度余额、按成员拆分的 AI 额度用量图以及包含日期/原因/额度的明细表。项目概览也提供Daily / Weekly / Cumulative摘要图与详情页链接Cloud usageUsage Cloud已部署应用的资源消耗可用项目与应用过滤器收窄图表报告Memory实例 RAM与CPU实例处理器占用。排查异常用量的建议流程确认组织/项目/日期范围 → AI 用量对比各成员序列并查看明细表 → Cloud 用量收窄到单个应用并对照 CPU 与内存 → 结合项目活动与审计日志查看相关变更 → 需要理解席位与 Cloud 计费时查看计费。用量数据涉及运营与计费敏感信息分享截图前务必去除未经批准公开的成员身份、客户数据与项目名称。审计日志Audit Logs详见 docs/ai_builder/organization/audit_logs.md。审计日志记录组织内的关键操作——谁在何时做了什么用于回答谁移除了这名成员域名何时被验证等安全审查、合规与日常排障问题。Reflex 在组织与每个项目两个层级保留审计日志组织审计日志组织侧边栏Audit Log成员与角色变更、域名与 SSO 变更等组织级管理活动。每条记录包含Time时间、Event事件摘要、Actor操作者。支持搜索事件、操作者、详情、按事件类型过滤、导出 CSV和刷新。仅组织Admin 与 Manager可查看Member 无权限项目审计日志项目侧边栏Audit Logs项目内活动。查看需要View audit log权限该权限随项目Admin角色提供也可加入自定义角色。更深的治理能力组织治理不止于此仓库还包含以下专项文档自定义项目角色以项目访问级别为起点追加所选项目权限精确裁剪访问部署审批在部署与受保护成员变更执行前设置审批关卡自动化预置把目录同步、权限与落位串成端到端流程移动项目与应用在项目与组织之间迁移工作自有云Bring your own cloud在自有基础设施上运行应用Token创建带有限项目与资源访问权限的组织级作用域凭证计费查看/调整席位与 Cloud 计算费用。套餐与功能可用性已验证域名、SSO、自有云、邀请同事等均为Enterprise 功能席位数量也取决于套餐。当某个功能不属于你的套餐时Reflex 会显示说明并引导联系销售创建组织的选项同样受套餐限制。规划治理方案时请以当前套餐实际开放的功能为准。进一步阅读角色与权限——组织、团队与直接项目访问如何生效管理项目访问——授予角色并检查有效权限成员与席位——理解成员关系与席位机制团队——为人群组授予继承的项目访问SCIM 目录同步——从身份提供方预置/取消预置成员服务账户——为 CI 与集成创建机器身份已验证域名与自动加入——按邮箱域名自动加入单点登录——通过身份提供方登录审计日志——回顾谁做了什么用量——查看 AI 额度与 Cloud 资源消耗Token——组织级作用域凭证Reflex Cloud 快速部署 与 Reflex Build 概览——理解组织在两大产品形态中的位置。【免费下载链接】reflex️ Web apps in pure Python 项目地址: https://gitcode.com/GitHub_Trending/re/reflex创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
