谁能访问什么，
以及能否提供证明。
角色由你的身份提供商解析，策略按资源限定；无人拥有常驻访问权限时，可通过可审计方式进入；证书会在失效前预警，MCP 端点也受相同规则约束。
角色决定哪些导航项会出现，而不只是让某些按钮变灰。
三种角色、五项权限，
以及一个经过审计的访问入口。
管理员、合作伙伴和租户角色由身份提供商中已有的用户组解析。更细粒度的权限则由你通过具名策略定义。
策略一经更改，依赖该策略的缓存结果会立即清除，下一次请求将按新规则判定。
由规则组成、采用 IAM 模式的具名策略。
五项权限均可按集群、项目或实例授予，并分配给组织成员。策略变更会清除依赖它的缓存响应，使访问权限更改立即生效。
一项策略可包含任意数量的规则。每个组织还可将一项策略设为默认策略，让新租户加入时便拥有明确的作用域，而不是毫无权限地等待处理。
读取资源及表格中显示的全部相关信息。
创建、启动、停止、重启和删除。
打开图形控制台或终端。
创建、恢复和删除快照。
将文件传入实例。
每条规则指定一个集群、项目或实例，因此访问权限作用于资源，而非个人。
用户组自创建起便与其环境绑定。
新用户组会先指向特定节点，再进行其他设置，让审计团队或开发组从一开始就归属正确环境，无需事后纠正。
选择资源类型，指定确切的项目或存储池，再将权限级别设为从完全管理到只读。
直接在用户组中添加或吊销 TLS 客户端证书，并绑定外部 OIDC 身份，清楚记录每个人拥有的权限。
跨整个基础设施统一跟踪客户端证书、不受限令牌和待处理的访问请求，而不是按集群分散管理。
管理员不拥有租户控制台的常驻访问权限。
访问租户控制台是有意发起、限定时长且经过审计的操作，受影响的租户可实时看到。
针对特定集群，填写书面理由，并可选择附上工单编号。
最长 24 小时，且没有常驻访问权限可作为后备。
授权本身及其每次使用都会被记录。
受影响的租户可以看到针对其集群发起的授权。
使用原生客户端操作你自己的集群。
用户可为特定集群和项目自行生成 TLS 客户端证书，选择标准或管理员授权级别，并设置有效天数。私钥存储在 HashiCorp Vault 中而非磁盘上，凭证以 PKCS#12 包的形式下载。
无需运维人员通过聊天工具向你发送证书。
面向自有工具的 API。
为外部应用创建、命名、限定作用域、设置过期时间并吊销密钥。每个密钥按集群授予读取、写入或管理员级别权限，并仅限明确列出的项目。每个密钥都会记录最近使用时间。密钥使用 HMAC-SHA256 哈希处理，绝不以明文存储。
超出密钥作用域的请求会被拒绝，包括试图通过请求路径夹带其他项目的请求。
直通访问，防护不减。
为第三方工具提供经过身份验证的 LXD API 直通访问，并设有方法白名单、请求超时和并发处理中请求数量上限。将外部系统中的用户映射到拥有独立集群权限的 Orcastra 身份，并通过同一 API 密钥通道同步组织、成员和品牌设置。
只读模式会强制整个仪表盘进入只读状态并显示醒目标幅，适用于演示和审计。
代理也是调用方，受相同规则约束。
Orcastra 提供 Model Context Protocol 服务器，让团队现有的 AI 助手能够查询整套基础设施，并像人员一样受同一套密钥作用域、能力集和审计轨迹约束。
控制平面内不运行任何模型。Orcastra 本身不执行推理。
创建 API 密钥后，仪表盘会在旁边提供 MCP 客户端配置：命令、端点和两项凭据值。
每次请求都携带一个密钥 ID 和一个密钥值。无需登录，也没有可供代理持有或泄露的会话令牌。
代理最初只能查询现有资源。写入和执行能力需由你另行明确授予。
撤销密钥，所有持有该密钥的代理会同时停止，其操作记录仍会保留。
逐项授权代理可访问的范围。
六项能力分别单独授予。下方勾选的两项通常作为起点：足以回答有关整套基础设施的问题，但无法更改任何内容。
能力并非覆盖整套基础设施。同一密钥还会指定可访问哪些集群及其中哪些项目，因此 inventory.read 一个集群上的授权不会让代理获知另一集群的任何信息。
任何能力都不能打开图形控制台，也不能授予紧急访问权限。访问租户控制台仍须由具名人员作出决定，并提供书面理由。
超出密钥能力或作用域的请求会被直接拒绝，包括试图通过请求路径夹带其他项目。拒绝也会像其他调用一样被记录。
证书过期是最容易预测的中断，绝不该让你措手不及。
信任状态提前提醒你
故障发生之前。
在一张表中查看所有集群证书，包括颁发者、颁发日期、过期时间和确切剩余天数。
过期证书不会从表中消失，而是保留原行并明确显示已过天数。正在下线的集群与被你遗忘的集群，在这里一目了然。
证书即将过期时，系统会自动标记，并同时通知三个位置：警告列表、监控告警和总览仪表盘。无需你主动查找。
点击“续期”延长证书有效期；若所属集群正在下线，也可选择让证书过期。系统不会在你不知情时自动轮换证书。
恢复待处理或已过期的信任状态时，系统会为目标节点生成一条可直接运行的命令。运行后，在关闭面板前从仪表盘验证连接已恢复。
集群证书存储在 HashiCorp Vault 中，而非仪表盘文件系统中；所有集群均通过 mTLS 连接。