本指南说明如何在 Windsurf 中安全地设置、配置、运营以及退役顶级管理员账户。内容涵盖管理员角色定义、账户生命周期流程，以及所有由管理员控制的安全设置及其相关功能、安全影响和推荐配置值。
本指南面向运行在 AWS GovCloud 上的 Windsurf FedRAMP 部署。FedRAMP 部署使用专用企业门户和基于 SSO（单点登录，OIDC 或 SAML 2.0）的身份验证。其他 Windsurf 文档中针对 SaaS 版本所描述的部分功能在 FedRAMP 环境中不可用。
Windsurf 使用基于角色的访问控制（RBAC）系统来管理管理权限。角色通过 Admin Portal 中的 Role Management 设置部分进行管理，并且可以分配给单个用户。
Windsurf 提供两个无法删除的内置角色。
管理员可以创建自定义角色，以落实最小特权原则。自定义角色由从下列类别中选择的细粒度权限组成。要创建自定义角色，请进入 Admin Portal，在 Settings 下打开 Role Management 部分。
下表列出了 FedRAMP 部署中可用于角色分配的所有权限。每个权限控制对某一特定管理功能的访问。
其中一些权限（例如 Attribution、License、SSO、Indexing、Fine-Tuning）在 RBAC 系统中存在，但其对应的门户页面在 FedRAMP 多租户部署中不可用。出于完整性考虑，这些权限仍包含在角色管理 UI 中，但在当前环境下并不会授予对任何活跃功能的访问权限。
本节介绍顶级管理员账户从初始创建到停用的完整生命周期。
在 FedRAMP 部署中，基于 SSO（单点登录）的用户接入流程是主要的帐号开通方式。平台同时支持 OIDC 和 SAML 2.0 进行 SSO（单点登录）集成。用户通过已配置的身份提供商进行认证，在用户首次登录创建其帐号后，管理员通过 Admin Portal 为其分配相应的角色。请注意，FedRAMP 环境中的 SSO 集成需要与 Windsurf FedRAMP 团队协同完成，无法以自助方式配置。
每个新的管理员帐号都应根据最小权限原则进行配置。优先使用仅包含该管理员履行职责所需权限的自定义角色，而不是直接分配完整的 Admin 角色，除非该用户确实需要对系统的完全访问权限。
FedRAMP 部署仅使用单点登录（Single Sign-On），支持 OIDC 和 SAML 2.0 协议。不提供电子邮件和密码组合的身份验证方式。所有用户都必须通过已配置的身份提供商进行身份验证。
多因素认证（MFA）由组织的身份提供商强制执行。Windsurf 继承连接 IdP 中配置的 MFA 策略，这意味着所有身份验证强度要求（例如要求第二验证要素、抗网络钓鱼认证器或条件访问策略）都在 IdP 级别进行管理。组织应将其 IdP 配置为对所有访问 Windsurf 应用的用户要求使用 MFA，尤其是对具有管理角色的账户。
Windsurf 强烈建议对所有具有管理权限的账户强制使用 MFA。请将你的身份提供商配置为在访问 Windsurf 应用时强制执行 MFA。
撤销管理员角色
进入 Admin Portal，打开 Manage Team 选项卡，找到该用户，点击 Edit，并将其角色从 Admin 更改为 User（或一个不含管理权限的自定义角色）。
撤销服务密钥
删除由离任管理员创建或仅由其使用的任何服务密钥。依次进入 Settings > Service Key，并删除相关密钥。
移除或停用账户
在 Manage Team 选项卡中，通过点击其姓名旁边的 Delete 来移除该用户。此操作将停用该用户的 Windsurf 账户并释放其许可证席位。
检查残余访问权限
通过在 Manage Team 用户列表中按 Admin 角色进行筛选，确认已注销账户不再出现在任何管理员角色中。确认与该账户关联的所有服务密钥均已被删除。
当管理员变更岗位或离开组织时，应立即注销其管理员账户。延迟注销会造成不必要的安全风险。
下表列出了 FedRAMP 部署的 Admin Portal 中，所有由管理员控制的安全设置。每一项都描述了该设置的功能、安全影响，以及面向高安全性部署的推荐配置。
最后更新：2026 年 1 月 28 日 
