> ## Documentation Index
> Fetch the complete documentation index at: https://docs.windsurf.com/llms.txt
> Use this file to discover all available pages before exploring further.

# FedRAMP 安全管理员指南

> Windsurf FedRAMP 安全管理员指南，帮助您安全地设置、配置、运营和退役最高级别管理账户。包含角色定义、账户全生命周期流程，以及一张列出所有由管理员控制的安全设置的参考表。

<div id="fedramp-security-admin-guide">
  # FedRAMP 安全管理员指南
</div>

本指南说明如何在 Windsurf 中安全地设置、配置、运营以及退役顶级管理员账户。内容涵盖管理员角色定义、账户生命周期流程，以及所有由管理员控制的安全设置及其相关功能、安全影响和推荐配置值。

<Note>本指南面向运行在 AWS GovCloud 上的 Windsurf FedRAMP 部署。FedRAMP 部署使用专用企业门户和基于 SSO（单点登录，OIDC 或 SAML 2.0）的身份验证。其他 Windsurf 文档中针对 SaaS 版本所描述的部分功能在 FedRAMP 环境中不可用。</Note>

***

<div id="administrative-role-definitions">
  ## 管理角色定义
</div>

Windsurf 使用基于角色的访问控制（RBAC）系统来管理管理权限。角色通过 Admin Portal 中的 Role Management 设置部分进行管理，并且可以分配给单个用户。

<div id="built-in-roles">
  ### 内置角色
</div>

Windsurf 提供两个无法删除的内置角色。

| Role      | Description                                              | Default permissions |
| --------- | -------------------------------------------------------- | ------------------- |
| **Admin** | 对组织设置、用户管理、Analytics 分析和安全控制具有完整管理权限。这是团队内用户可以拥有的最高级别权限。 | 启用所有权限              |
| **User**  | 标准终端用户访问权限，不具备任何管理权限。用户可以使用 Windsurf 的编码功能，但无法查看或修改组织设置。 | 无任何管理权限             |

<div id="custom-roles">
  ### 自定义角色
</div>

管理员可以创建自定义角色，以落实最小特权原则。自定义角色由从下列类别中选择的细粒度权限组成。要创建自定义角色，请进入 Admin Portal，在 Settings 下打开 Role Management 部分。

<div id="permission-reference">
  ### 权限参考
</div>

下表列出了 FedRAMP 部署中可用于角色分配的所有权限。每个权限控制对某一特定管理功能的访问。

| Category        | Permission               | Description             |
| --------------- | ------------------------ | ----------------------- |
| **Teams**       | Teams Read-Only          | 对团队管理页面的只读访问权限          |
| **Teams**       | Teams Update             | 能够在团队页面更新用户角色           |
| **Teams**       | Teams Delete             | 能够在团队页面移除用户             |
| **Analytics**   | Analytics Read           | 对 Analytics 页面和仪表盘的读取权限 |
| **Attribution** | Attribution Read         | 对归因页面的读取权限              |
| **License**     | License Read             | 对许可证页面的读取权限             |
| **SSO**         | SSO Read                 | 对 SSO（单点登录）配置页面的读取权限    |
| **SSO**         | SSO Write                | 能够配置和修改 SSO 提供商设置       |
| **服务密钥**        | 服务密钥读取                   | 对服务密钥页面的读取权限            |
| **服务密钥**        | 服务密钥创建                   | 能够创建用于 API 访问的新服务密钥     |
| **服务密钥**        | 服务密钥更新                   | 能够修改现有服务密钥              |
| **服务密钥**        | 服务密钥删除                   | 能够撤销并删除服务密钥             |
| **角色管理**        | 角色读取                     | 对设置中“角色”选项卡的读取权限        |
| **角色管理**        | 角色创建                     | 能够创建新角色                 |
| **角色管理**        | 角色更新                     | 能够修改现有角色定义              |
| **角色管理**        | 角色删除                     | 能够删除角色                  |
| **外部 Chat**     | External Chat Management | 能够修改外部 Chat AI 模型配置     |
| **索引**          | 索引读取                     | 对索引配置页面的读取权限            |
| **索引**          | 索引创建                     | 能够创建新索引                 |
| **索引**          | 索引更新                     | 能够更新现有的已索引代码仓库          |
| **索引**          | 索引删除                     | 能够删除索引                  |
| **索引**          | 索引管理                     | 能够执行索引数据库的管理和清理操作       |
| **微调**          | 微调读取                     | 对微调页面的读取权限              |
| **微调**          | 微调创建                     | 能够创建微调任务                |
| **微调**          | 微调更新                     | 能够更新微调任务                |
| **微调**          | 微调删除                     | 能够删除微调任务                |

<Note>其中一些权限（例如 Attribution、License、SSO、Indexing、Fine-Tuning）在 RBAC 系统中存在，但其对应的门户页面在 FedRAMP 多租户部署中不可用。出于完整性考虑，这些权限仍包含在角色管理 UI 中，但在当前环境下并不会授予对任何活跃功能的访问权限。</Note>

***

<div id="admin-account-lifecycle-procedures">
  ## 管理员账户生命周期流程
</div>

本节介绍顶级管理员账户从初始创建到停用的完整生命周期。

<div id="account-setup">
  ### 帐号设置
</div>

在 FedRAMP 部署中，**基于 SSO（单点登录）的用户接入流程**是主要的帐号开通方式。平台同时支持 OIDC 和 SAML 2.0 进行 SSO（单点登录）集成。用户通过已配置的身份提供商进行认证，在用户首次登录创建其帐号后，管理员通过 Admin Portal 为其分配相应的角色。请注意，FedRAMP 环境中的 SSO 集成需要与 Windsurf FedRAMP 团队协同完成，无法以自助方式配置。

每个新的管理员帐号都应根据最小权限原则进行配置。优先使用仅包含该管理员履行职责所需权限的自定义角色，而不是直接分配完整的 Admin 角色，除非该用户确实需要对系统的完全访问权限。

<div id="authentication-and-mfa-requirements">
  ### 身份验证和 MFA 要求
</div>

FedRAMP 部署仅使用单点登录（Single Sign-On），支持 OIDC 和 SAML 2.0 协议。不提供电子邮件和密码组合的身份验证方式。所有用户都必须通过已配置的身份提供商进行身份验证。

多因素认证（MFA）由组织的身份提供商强制执行。Windsurf 继承连接 IdP 中配置的 MFA 策略，这意味着所有身份验证强度要求（例如要求第二验证要素、抗网络钓鱼认证器或条件访问策略）都在 IdP 级别进行管理。组织应将其 IdP 配置为对所有访问 Windsurf 应用的用户要求使用 MFA，尤其是对具有管理角色的账户。

<Warning>Windsurf 强烈建议对所有具有管理权限的账户强制使用 MFA。请将你的身份提供商配置为在访问 Windsurf 应用时强制执行 MFA。</Warning>

<div id="account-configuration">
  ### 账号配置
</div>

在创建管理员账号之后，应完成以下配置步骤。

**角色分配** 用于确定该账号的管理权限范围。通过 Admin Portal 分配角色：进入 Manage Team 选项卡，找到该用户，点击 Edit，然后从下拉菜单中选择合适的角色。更改会立即生效。

当管理员需要通过 API 执行自动化任务或使用 Analytics 时，必须进行 **服务密钥管理**。服务密钥在 Settings 中创建，其权限范围应与该密钥的预期用途相匹配。每个服务密钥都应使用具有描述性的名称（例如 “Analytics Dashboard”），并分配仅包含所需最低权限的角色。

<div id="account-operation">
  ### 账户运维
</div>

管理员账户在日常运维中应遵循以下实践。

应定期进行**访问权限审查**，以确认管理员账户是否仍然需要当前级别的访问权限。通过 Manage Team 选项卡定期查看具有 Admin 角色的用户列表，并在职责发生变化时调整角色。

可通过内置的 Analytics 仪表盘进行**活动监控**。具有 Analytics Read 权限的管理员可以跟踪用户活动、参与度指标和功能使用情况。Analytics API 提供以编程方式访问这些数据的能力，便于与外部监控系统集成。

应按固定计划执行**服务密钥轮换**。要轮换密钥，请创建一个具有相同权限的新服务密钥，将使用该密钥的系统更新为使用新密钥，然后删除旧密钥。

<div id="account-decommissioning">
  ### 账户注销
</div>

当某个管理员不再需要访问权限时，应按照以下流程及时注销该账户。

<Steps>
  <Step title="撤销管理员角色">
    进入 Admin Portal，打开 Manage Team 选项卡，找到该用户，点击 Edit，并将其角色从 Admin 更改为 User（或一个不含管理权限的自定义角色）。
  </Step>

  <Step title="撤销服务密钥">
    删除由离任管理员创建或仅由其使用的任何服务密钥。依次进入 Settings > Service Key，并删除相关密钥。
  </Step>

  <Step title="移除或停用账户">
    在 Manage Team 选项卡中，通过点击其姓名旁边的 Delete 来移除该用户。此操作将停用该用户的 Windsurf 账户并释放其许可证席位。
  </Step>

  <Step title="检查残余访问权限">
    通过在 Manage Team 用户列表中按 Admin 角色进行筛选，确认已注销账户不再出现在任何管理员角色中。确认与该账户关联的所有服务密钥均已被删除。
  </Step>
</Steps>

<Warning>当管理员变更岗位或离开组织时，应立即注销其管理员账户。延迟注销会造成不必要的安全风险。</Warning>

***

<div id="security-settings-reference">
  ## 安全设置参考
</div>

下表列出了 FedRAMP 部署的 Admin Portal 中，所有由管理员控制的安全设置。每一项都描述了该设置的功能、安全影响，以及面向高安全性部署的推荐配置。

| Setting                              | Function                                                                                                            | Security impact                                                 | Recommended value                                                     |
| ------------------------------------ | ------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------- | --------------------------------------------------------------------- |
| **Role-Based Access Control (RBAC)** | 根据分配给用户的角色和权限，控制每个用户可以执行的管理操作。在 Settings 的 Role Management 部分进行管理。                                                  | 通过将权限限制在每个用户实际所需的最小范围内，缩小账号被攻陷时的影响范围。过于宽泛的角色分配会放大单个账号被攻陷时的潜在影响。 | **按最小权限原则进行配置。** 为各管理员创建仅包含其所需权限的自定义角色。将内置的 Admin 角色仅保留给少数管理员使用。      |
| **Service key permissions**          | 将 API 访问令牌限定为特定的一组权限，从而控制自动化系统可以执行的操作。在 Settings 的 Service Key 部分进行管理。                                              | 权限过大的服务密钥一旦泄露，可能被利用来获取对用户管理、Analytics 模块或其他功能的未授权访问。            | **限定为所需的最小权限。** 为每个集成单独创建服务密钥，仅授予该集成所需的权限。定期轮换密钥。                     |
| **SSO provider configuration**       | 配置用于所有用户认证的身份提供商，支持 OIDC 和 SAML 2.0 协议。不提供电子邮件/密码认证。SSO（单点登录）设置需要与 Windsurf FedRAMP 团队协作完成。在 Settings 的 SSO 部分进行管理。 | 通过组织的 IdP 集中管理认证，从而强制执行 MFA、条件访问和会话策略。配置错误可能导致所有用户被锁定，或放行未授权访问。 | **使用贵组织批准的身份提供商（OIDC 或 SAML 2.0）进行配置。** 在全面推广之前，先使用非管理员账号进行登录测试以验证配置。 |

*最后更新：2026 年 1 月 28 日*