GGeekWork
同一套服务端 · 权限域 member / tenant / platform
极客跳动 › SkillHub
恒达精密 · 订单履约风险 claude-sonnet
苏小北 今天 14:22
每次调用都经过模型网关:鉴权 + 计量 + 留痕,客户端绕不过去 Enter 发送 · Shift+Enter 换行
极客跳动 › 概览
域 tenant

概览

这家企业这个月在 AI 上花了多少、花在谁身上、有没有失控。

tenant
作用域:只有本租户(极客跳动)。你能看到本企业的组织、成员、权限与成本;看不到其他租户,也改不了平台侧的通道配置。
本月消耗
¥12,680
↑ 18.2% 环比上月
活跃席位
96/ 128
近 14 天有调用的成员
配额熔断
7次
集中在交付中心 2 人
待审批 点开处理 →
3条
MCP 安装 2 · 提额 1
日消耗趋势近 14 天 · 单位:元
峰值 06-14 · ¥1,182
日消耗(元)低点为周末
部门消耗按成本中心
Top 消耗人本月 · 点击查看该成员明细
全公司 128 人

组织与成员

组织树决定预算与审批链,圈子决定资产可见范围——两者刻意分开。

在册成员
128人
本月新增 4 · 离职 2
部门
5个
最深 3 层 · 含外部协作组
外部协作
8人
限时 · 限项目 · 不可见通讯录
身份源
钉钉
5 分钟前同步成功
部门与预算归属部门 = 你花谁的钱
成员角色 ∩ 圈子 = 最终可见范围
显示前 6 位

权限与圈子

两条正交的轴:角色说「你能干什么」,圈子说「你能用谁的招」。

角色5 个预置 + 0 个自定义
资源授权矩阵完全 受限 不可用
圈子虚拟组织 · 可自由进出
为什么圈子不能当部门用圈子不发预算、不走审批链,只决定资产可见性。两者合并会让「换个项目组」变成一次人事变更。
越权示例
部门管理员访问其他部门成员的会话:返回 403,且响应体不包含对象名称——不泄露「存在这个名字」;同时写一条审计。不是灰掉按钮,是服务端直接拒绝。

Token 用量

四类 token 分开计量,五级配额逐级汇总。计量埋点在网关,客户端绕不过去。

本月 token
8.42M
输入 5.10M · 输出 2.42M · 缓存命中 0.90M
折算金额
¥12,680
与供应商账单对账误差 1.4%
缓存节省
¥2,180
命中率 27.4%
异常突增
2人
超个人日均 5 倍
五级配额组织 → 部门 → 项目 → 成员 → 会话
软限 80% 告警 · 硬限 100% 熔断
用量构成按模型与技能拆

审计日志

谁、何时、对什么资源、做了什么、结果如何。追加写,不可篡改。

tenant
你能看到本租户的全部审计明细,包括业务字段。这份数据不会下沉到平台域——平台侧只拿得到「有多少条、有没有告警」。
最近事件默认留存 180 天
今日 1,284 条
今日按结果分布共 1,284 条
需要关注自动标记,不用人盯

客户端

员工端是我们发给员工装在自己电脑上的软件,版本不齐,任何问题都复现不出来。

在线设备
118台
macOS 71 · Windows 47
版本合规
95%
6 台低于强制水位
崩溃率
0.21%
阈值 0.3%
安装成功率
99.2%
近 30 天 24 次安装
版本分布强制水位 1.0.3
待升级设备将被阻断登录
分发内网分发 · 不连公网
策略下发改完到生效的端到端时延
GeekWork 平台端 › 租户
域 platform 生产环境

租户

一个企业一个租户:一套数据域、一套密钥、一张用量账。

platform
作用域:跨所有租户,但只限计量与配置元数据。会话、文件、知识库、审计明细里的业务字段,平台域取不到。
租户总数
4个
直签 3 · OEM 1
活跃租户
2个
近 7 天有调用
累计席位
688席
已激活 375
离线部署
1个
平台侧拿不到指标
租户清单点击任意租户进入用量视图
数据刷新 5 分钟前
健康度上线到首条调用的时长
今天不建议做的事平台端的能力边界
· 不要在这里看某家企业的会话内容——取不到,也不该取
· 不要替客户改组织与权限——那是租户域,改了会覆盖客户的策略
· 不要绕过租户管理员直接推策略——只能改「上限」,不能改「业务决定」
· 私有化租户的运维指标只能靠客户侧报表补位,别承诺实时

用量聚合

跨租户看总量与趋势。看得见用量,看不见内容——这是能签下大客户的前提。

全平台本月 token
31.1M
环比 ↑ 24.6%
全平台金额
¥46,730
按租户拆分见下表
异常租户
0个
环比波动均 < 40%
内容下沉
0条
业务内容未进平台域
各租户用量金额含缓存折扣
离线租户无数值
平台域取不到的东西会话内容 · 文件与 Artifact · 知识库正文 · 审计明细的业务字段。要看这些,必须由租户管理员签发授权工单,双人确认,并通知该租户——每一次都留痕。
趋势近 14 天 · 全平台

通道与模型

平台只管「能力与上限」:哪些通道可用、优先级、限流。具体用哪个模型,是租户的决定。

通道密钥只在服务端,永不下发客户端
能力上限模板租户可在此之下再收紧
改动的边界平台改上限 ≠ 替客户做决定
平台可以:把某条通道下线、调低全平台限流、给某租户追加通道白名单。
平台不可以:替租户选择默认模型、修改租户的部门配额、调整租户内部成员的权限。
每一次平台侧改动都会全量留痕并通知租户管理员——这是客户尽调时唯一能拿出手的证据。

客户端版本

版本碎片是交付的隐形债。平台侧负责发版与强制水位,租户侧负责推。

版本与灰度macOS + Windows 双平台
强制水位 1.0.3
签名状态不签名会被系统直接拦
各租户覆盖24 小时内覆盖率

平台账号

平台端是这套系统里越权风险最大的地方,账号必须比租户侧更严。

账号强制 MFA · 禁用共享账号
硬约束平台账号不能登录任何租户的管理端。若需支持,必须由该租户显式授权为「支持账号」,且全程留痕、到期自动失效。
事故口径
任何一次平台账号读到租户业务内容的行为,按泄露事故处理,不是按 bug 处理——这条写进内部制度,也写进对客户的承诺。
待审批高危操作必须留痕,审批链可配
通过后立即下发到相关成员,并在审计里留一条不可删记录
开通租户第 1 / 3 步
Demo 点「发送」跑一遍。注意中间那一步:换成研发或市场身份,Agent 会有一处调用被 403 拦住,然后降级继续干——这就是治理的样子。