> ## Documentation Index
> Fetch the complete documentation index at: https://docs.devin.ai/llms.txt
> Use this file to discover all available pages before exploring further.

# FedRAMP 安全 Admin 指南

> Devin Desktop FedRAMP 安全 Admin 指南，用于安全地设置、配置、运行和停用最高级别的管理员账户。包含角色定义、账户生命周期步骤，以及所有由 Admin 控制的安全设置参考表。

<div id="fedramp-security-admin-guide">
  # FedRAMP 安全 Admin 指南
</div>

本指南介绍如何在 Devin Desktop 中安全地设置、配置、使用和停用顶层管理员账户。内容涵盖管理角色定义、账户生命周期步骤，以及所有由 Admin 控制的安全设置，包括其相关功能、安全影响和建议值。

<Note>本指南适用于部署在 AWS GovCloud 上的 Devin Desktop FedRAMP 部署。FedRAMP 部署使用专用企业门户和基于 SSO (单点登录) 的身份验证 (OIDC 或 SAML 2.0) 。其他 Devin Desktop SaaS 版文档中介绍的某些功能在 FedRAMP 环境中不可用。</Note>

***

<div id="administrative-role-definitions">
  ## 管理角色定义
</div>

Devin Desktop 使用基于角色的访问控制 (RBAC) 系统来控制管理权限。角色可在 Admin Portal 的“角色管理”设置中进行管理，并可分配给单个用户。

<div id="built-in-roles">
  ### 内置角色
</div>

Devin Desktop 提供两个内置角色，且无法删除。

| 角色        | 说明                                                          | 默认权限    |
| --------- | ----------------------------------------------------------- | ------- |
| **Admin** | 对组织设置、用户管理、分析和安全控制拥有完整的管理权限。这是用户在团队中可拥有的最高权限级别。             | 已启用所有权限 |
| **User**  | 标准终端用户权限，不具备任何管理权限。用户可以使用 Devin Desktop 的编码功能，但无法查看或修改组织设置。 | 无管理权限   |

<div id="custom-roles">
  ### 自定义角色
</div>

管理员可以创建自定义角色，以贯彻最小权限原则。自定义角色由从以下类别中选择的细粒度权限组成。要创建自定义角色，请前往 Admin Portal，在 Settings 下打开 角色管理 部分。

<div id="permission-reference">
  ### 权限参考
</div>

下表列出了 FedRAMP 部署中可分配给角色的所有权限。每项权限都用于控制对特定管理功能的访问。

| 类别                | 权限                       | 说明               |
| ----------------- | ------------------------ | ---------------- |
| **Teams**         | Teams Read-Only          | 对团队管理页面的只读访问权限   |
| **Teams**         | Teams Update             | 可在团队页面更新用户角色     |
| **Teams**         | Teams Delete             | 可在团队页面移除用户       |
| **Analytics**     | Analytics Read           | 对分析页面和仪表板的读取权限   |
| **Attribution**   | Attribution Read         | 对归因页面的读取权限       |
| **License**       | License Read             | 对许可证页面的读取权限      |
| **SSO**           | SSO Read                 | 对 SSO 配置页面的读取权限  |
| **SSO**           | SSO Write                | 可配置和修改 SSO 提供方设置 |
| **Service Key**   | Service Key Read         | 对服务密钥页面的读取权限     |
| **Service Key**   | Service Key Create       | 可创建新的服务密钥以访问 API |
| **Service Key**   | Service Key Update       | 可修改现有服务密钥        |
| **Service Key**   | Service Key Delete       | 可吊销并删除服务密钥       |
| **角色管理**          | Role Read                | 对设置中角色选项卡的读取权限   |
| **角色管理**          | Role Create              | 可创建新角色           |
| **角色管理**          | Role Update              | 可修改现有角色定义        |
| **角色管理**          | Role Delete              | 可删除角色            |
| **External Chat** | External Chat Management | 可修改外部聊天模型配置      |
| **Indexing**      | Indexing Read            | 对索引配置页面的读取权限     |
| **Indexing**      | Indexing Create          | 可创建新索引           |
| **Indexing**      | Indexing Update          | 可更新现有已索引的代码仓库    |
| **Indexing**      | Indexing Delete          | 可删除索引            |
| **Indexing**      | Indexing Management      | 可执行索引数据库管理和清理    |
| **Fine-Tuning**   | Fine-Tuning Read         | 对微调页面的读取权限       |
| **Fine-Tuning**   | Fine-Tuning Create       | 可创建微调作业          |
| **Fine-Tuning**   | Fine-Tuning Update       | 可更新微调作业          |
| **Fine-Tuning**   | Fine-Tuning Delete       | 可删除微调作业          |

<Note>其中部分权限 (如 Attribution、License、SSO、Indexing、Fine-Tuning) 虽然存在于 RBAC 系统中，但其对应的门户页面在 FedRAMP 多租户部署中不可用。为保证完整性，这些权限仍会显示在角色管理 UI 中，但不会授予对此环境中任何已启用功能的访问权限。</Note>

***

<div id="admin-account-lifecycle-procedures">
  ## Admin 账户生命周期步骤
</div>

本节介绍顶级管理员账户从初始创建到停用的完整生命周期。

<div id="account-setup">
  ### 账户设置
</div>

**基于 SSO (单点登录) 的账户开通**是 FedRAMP 部署中的主要预配方式。该平台同时支持 OIDC 和 SAML 2.0 单点登录集成。用户通过已配置的身份提供商进行身份验证，并在首次登录创建账户后，由管理员通过 Admin Portal 分配相应角色。请注意，FedRAMP 环境中的 SSO 集成需要与 Devin Desktop FedRAMP 团队配合完成，无法以自助服务方式配置。

每个新的管理员账户都应遵循最小权限原则进行配置。除非用户确实需要完整的系统访问权限，否则应优先使用仅包含管理员职责所需权限的自定义角色，而不是分配完整的 Admin 角色。

<div id="authentication-and-mfa-requirements">
  ### 身份验证和 MFA 要求
</div>

FedRAMP 部署仅支持单点登录，同时兼容 OIDC 和 SAML 2.0 协议。不支持通过电子邮件和密码进行身份验证。所有用户都必须通过已配置的身份提供商进行身份验证。

多因素身份验证 (MFA) 由组织的身份提供商强制执行。Devin Desktop 会继承所连接 IdP 中配置的 MFA 策略，这意味着所有身份验证强度要求 (例如必须使用第二重验证方式、抗网络钓鱼身份验证器或条件访问策略) 都由 IdP 层统一控制。组织应将其 IdP 配置为：要求所有访问 Devin Desktop 应用的用户都必须使用 MFA，尤其是拥有管理角色的账户。

<Warning>Devin Desktop 强烈建议对所有管理账户强制启用 MFA。请将身份提供商配置为：只有满足 MFA 要求的用户才能访问 Devin Desktop 应用。</Warning>

<div id="account-configuration">
  ### 账户配置
</div>

创建管理账户后，应完成以下配置步骤。

**角色分配**决定该账户拥有的管理访问权限范围。可通过 Admin Portal 分配角色：进入 “Manage Team”选项卡，找到相应用户，点击 Edit，然后从下拉菜单中选择合适的角色。更改会立即生效。

当管理员需要将 API 访问用于自动化或分析时，**服务密钥管理**是必需的。服务密钥在 Settings 下创建，并配置与其预期用途相匹配的作用域权限。每个服务密钥都应使用描述性名称 (例如“Analytics Dashboard”) ，并分配仅包含所需最低权限的角色。

<div id="account-operation">
  ### 账户操作
</div>

管理员账户的日常运维实践包括以下内容。

**定期访问权限审查**应定期进行，以确认管理员账户是否仍需保留当前访问级别。可通过“Manage Team”选项卡定期检查具有 Admin 角色的用户列表，并在职责发生变化时相应调整角色。

**活动监控**可通过内置分析仪表板进行。具有 Analytics Read 权限的管理员可以跟踪用户活动、参与度指标和功能用量。Analytics API 提供对此类数据的编程访问，便于与外部监控系统集成。

**服务密钥轮换**应按固定计划定期执行。轮换密钥时，请创建一个具有相同权限的新服务密钥，更新使用该密钥的系统以改用新密钥，然后删除旧密钥。

<div id="account-decommissioning">
  ### 账户停用
</div>

当管理员不再需要访问权限时，应按照以下步骤及时停用其账户。

<Steps>
  <Step title="撤销管理员角色">
    前往 Admin Portal，打开 Manage Team 选项卡，找到该用户，点击 Edit，然后将其角色从 Admin 更改为 User (或更改为不具有任何管理权限的自定义角色) 。
  </Step>

  <Step title="撤销服务密钥">
    删除由即将离任的管理员创建或仅由其使用的所有服务密钥。前往 Settings，然后进入 Service Key，删除相关密钥。
  </Step>

  <Step title="移除或停用账户">
    在 Manage Team 选项卡中，点击该用户姓名旁边的 Delete 将其移除。这将停用该用户的 Devin Desktop 账户并释放其许可证席位。
  </Step>

  <Step title="检查残余访问权限">
    通过查看按 Admin 角色筛选的 Manage Team 用户列表，确认已停用的账户不再出现在任何管理角色中。确认与该账户关联的所有服务密钥均已删除。
  </Step>
</Steps>

<Warning>当管理员角色发生变更或离开组织时，请立即停用其管理员账户。延迟停用会带来不必要的安全风险。</Warning>

***

<div id="security-settings-reference">
  ## 安全设置参考
</div>

下表说明了 FedRAMP 部署的 Admin Portal 中所有由管理员控制的安全设置。每个条目都描述了该设置的功能、安全影响，以及针对注重安全的部署建议采用的配置。

| 设置                   | 功能                                                                                                                | 安全影响                                                                   | 推荐值                                                                     |
| -------------------- | ----------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------- | ----------------------------------------------------------------------- |
| **基于角色的访问控制 (RBAC)** | 根据每个用户被分配的角色和权限，控制其可执行的管理操作。在“设置”的“角色管理”部分进行管理。                                                                   | 仅授予每个用户完成工作所需的权限，可限制账户被攻破后的影响范围。角色分配过于宽泛会增加单个账户被攻破时的潜在影响。              | **按最小权限原则配置。** 仅为每位管理员创建其所需权限的自定义角色。内置 Admin 角色应仅保留给少数管理员。              |
| **服务密钥权限**           | 将 API 访问令牌限定在特定权限集内，从而控制自动化系统可执行哪些操作。在“设置”的“服务密钥”部分进行管理。                                                          | 权限过大的服务密钥一旦泄露，可能被利用来未经授权地访问用户管理、分析或其他功能。                               | **将作用域限制为最低必需权限。** 为每个集成创建专用服务密钥，并仅授予该集成所需的权限。定期轮换密钥。                   |
| **SSO 提供商配置**        | 配置用于所有用户身份验证的身份提供商，同时支持 OIDC 和 SAML 2.0 协议。不支持邮箱/密码身份验证。SSO 设置需要与 Devin Desktop FedRAMP 团队协调完成。在“设置”的“SSO”部分进行管理。 | 通过组织的 IdP 集中处理身份验证，从而能够强制执行 MFA、条件访问和会话策略。配置错误可能导致所有用户无法登录，或允许未经授权的访问。 | **使用你的组织批准的身份提供商 (OIDC 或 SAML 2.0) 进行配置。** 在大范围推行之前，先使用非管理员账户测试登录以验证配置。 |

*最后更新：2026 年 1 月 28 日*