角色权限与数据边界

功能权限（谁能用）

由实例管理者与应用管理者共同维护：实例侧控制云服务、AI 访问与管理能力；应用侧控制模板、数据范围、字段及设计授权。

KimpoAI 使用 Kimpo 本体已有的权限裁决。技能可见、目标可操作和实际执行授权分开检查，不能只凭首页卡片判断某人有权完成全部操作。

角色职责	建议验证的能力与边界
业务使用者	业务问答只查授权记录；智能填报只向有新增权的表单录入
应用开发者	新建模板落到其有设计权的应用；无权应用不能写入
超级管理员	创建应用、修改应用及实例配置；操作前核对实际影响范围
运维管理者	查看用量与追踪，处理开通、限制和失败；无需用业务账号授予全局设计权

当前「创建应用」「修改应用」需要创建应用权限，面向超级管理员。「新建模板」面向对至少一个应用有设计权的人，但新建承载应用仍需创建应用权限。

操作步骤：按模板配置查看、新增、导出及数据范围，用业务问答和智能填报分别测试。

配置说明：隐藏字段与行级范围约束问答来源，禁止导出的字段不进入下载文件。填报后的默认值、计算、校验和业务动作继续适用。

限制条件：AI 访问权不授予全部记录查看权，也不授予应用设计权。需要跨应用处理时应明确配置目标应用权限。

操作步骤：在开通前核对云服务地址、开放能力及样本策略，再安排可使用的数据范围。

配置说明：问题、上下文、业务结构、按策略提供的查询结果或样本，以及识别所需附件内容可能用于云端处理。少量完整结果与样本行是不同策略。

限制条件：关闭样本辅助不会让所有结果都留在本地。业务问答展示权限仍须从源头配置。

操作步骤：指导用户在个人信息页维护「我的记忆」；管理员在「记忆容量」检查使用情况。

配置说明：当前只开放个人记忆；应用与组织共享记忆、审核队列和共享整理入口暂未开放。

限制条件：不能依靠共享记忆部署全公司业务制度。制度应落实为模板、动作、流程与权限。

按用户或应用查询记忆容量，不展示记忆正文