群组与预配

选择成员资格的来源

Lime Cloud 与组织身份系统管理人员和组织事实，客户端消费明确授予的访问。开始预配前，确认平台当前支持的接入方式、目标组织与负责人。

本表是管理方式的比较，不表示客户端已实现 SCIM 或动态群组后台。

建立群组与权限清单

• 为每个群组记录用途、成员来源、Owner 和有效期。
• 检查同名群组，避免导入后改变原有成员和共享范围。
• 把人员分组、角色授权、费用范围和共享内容分别列出。
• 不通过直接编辑客户端配置创建第二套组织成员事实。

分配权限并验证边界

加入群组不自动授予模型、执行、源系统或费用权限。角色如何组合由平台正式合同决定，不能从其他产品推断“关闭优先”或“开启累加”。

• 以测试成员确认获准功能可使用。
• 以无权成员确认受限功能被拒绝。
• 同时检查直接授权、群组授权和共享连接。
• 设备上的系统要求与应用授权分别验证。

处理入职、转岗与离职

• 入职：确认账号、邀请、目标组织和最小必要访问。
• 转岗：在权威来源更新成员，保留共享群组其他人的有效授权。
• 离职：撤销成员及外部凭据，检查自动化与远程设备。
• 目录同步场景在来源侧撤销，避免下一次同步恢复访问。