Agent Run：資源群組和工作空間授權

情況一：未授權ListWorkspaces

顯示效果：

• 頁面頂部資源群組選擇地區同時顯示"帳號全部資源"（灰色，不可點擊）和"暫無資源群組"（灰色，不可點擊）。

• 工作空間授權狀態顯示"未授權"。

功能表現：

為相容歷史帳號，所有功能均可正常使用：

• 運行時、沙箱模板等所有資源（無論屬於預設工作空間還是自訂工作空間）均可見，可正常查看和編輯。

• 新建立的資源未指定工作空間時，預設歸屬到預設工作空間。

情況二：ListWorkspaces授權到帳號維度

顯示效果：

• 頁面頂部資源群組選擇地區顯示所有資源群組列表。

• 同時顯示"帳號全部資源"選項（可點擊）。

功能表現：

• 可查看全部資源群組下的資料。

• 可在任意資源群組下建立和管理資源。

情況三：ListWorkspaces授權到資源群組維度

顯示效果：

• 頁面頂部資源群組選擇地區僅顯示已授權的資源群組。

• "帳號全部資源"選項顯示為灰色。

功能表現：

• 點擊"帳號全部資源"後，工作空間顯示"未授權"，各頁面報錯無許可權。

• 僅可查看和操作已授權資源群組下的資料。

方案一：所有許可權（Policy為*）

適用情境：以下兩種情況的預期表現相同：

• 歷史RAM使用者（即原子帳號），已在帳號維度授予所有許可權（policy為*）。

• 新RAM使用者，已將所有操作均配置為帳號維度授權（policy為*）。

預期表現：

• 所有頁面均有存取權限，不報錯。

• 頁面頂部資源群組選擇地區顯示"帳號全部資源"及所有資源群組，均可點擊。

• 可查看和操作阿里雲帳號下所有工作空間的資源。

• 新建立的資源可指定任意工作空間。

方案二：歷史自訂許可權（不含ListWorkspaces）

適用情境：歷史RAM使用者（即原子帳號），有自訂許可權但許可權列表中未包含ListWorkspaces操作。

預期表現：

• 所有頁面均有存取權限，不報錯。

• 頁面頂部資源群組選擇地區顯示"帳號全部資源"（灰色）及"暫無資源群組"（灰色）。

• 工作空間授權狀態為"未授權"。

• 可訪問到所有資源，包括自訂工作空間下的資源。

• 建立新資源時，新資源預設歸屬到預設工作空間。

方案三：無任何許可權

適用情境：新RAM使用者，未授予任何許可權。

預期表現：

• Agent模板、超級Agent、許可權與服務頁面可正常訪問。

• 其他頁面報錯"無許可權"。

• 頁面頂部資源群組選擇地區顯示"帳號全部資源"（灰色）及"暫無資源群組"（灰色）。

• 工作空間授權狀態為"未授權"。

方案四：支援資源群組的操作授權到資源群組，其他動作授權到帳號

適用情境：新RAM使用者，按最小許可權原則進行精細化授權。

推薦許可權配置：

預期表現：

• 頁面頂部資源群組選擇地區僅顯示已授權的資源群組，"帳號全部資源"選項灰色，點擊後報錯無許可權。

• 在已授權的資源群組下，可正常查看和操作該資源群組下所有工作空間的資源。

變體說明：若將"運行時、沙箱模板、模型、記憶、知識庫、憑證、工作空間其他動作"改為帳號維度授權，僅ListWorkspaces保持資源群組維度授權，則頁面表現與本方案相同（資源群組選擇地區僅顯示已授權的資源群組），但資源可見範圍更寬——在已授權資源群組下，可見該資源群組內的全帳號資源，而非僅限特定資源群組的資源。

方案五：ListWorkspaces授權到帳號，其他支援資源群組的操作授權到資源群組

適用情境：需要RAM使用者看到所有資源群組入口，但只能操作特定資源群組的資料。

許可權配置：

預期表現：

• 頁面頂部資源群組選擇地區顯示所有資源群組，均可點擊。

• 切換到無操作許可權的資源群組時，訪問運行時等頁面報錯無許可權。

• 在已授權的資源群組下，可正常查看和操作資源。

方案六：指定工作空間的精細化授權

適用情境：需要將許可權精確控制到特定工作空間層級。

配置說明：在方案四的基礎上，將策略的資源範圍從資源群組層級細化到具體工作空間（如通過ARN指定具體工作空間）。

預期表現：

• 頁面頂部資源群組選擇地區僅顯示已授權的資源群組。

• 在授權的資源群組下，切換到無許可權的工作空間時，查看、建立、更新等操作均報錯無許可權。

• 在有許可權的工作空間下，操作均正常。