本指南介绍如何在 Devin Desktop 中安全地设置、配置、使用和停用顶层管理员账户。内容涵盖管理角色定义、账户生命周期步骤，以及所有由 Admin 控制的安全设置，包括其相关功能、安全影响和建议值。
本指南适用于部署在 AWS GovCloud 上的 Devin Desktop FedRAMP 部署。FedRAMP 部署使用专用企业门户和基于 SSO (单点登录) 的身份验证 (OIDC 或 SAML 2.0) 。其他 Devin Desktop SaaS 版文档中介绍的某些功能在 FedRAMP 环境中不可用。
Devin Desktop 使用基于角色的访问控制 (RBAC) 系统来控制管理权限。角色可在 Admin Portal 的“角色管理”设置中进行管理，并可分配给单个用户。
Devin Desktop 提供两个内置角色，且无法删除。
管理员可以创建自定义角色，以贯彻最小权限原则。自定义角色由从以下类别中选择的细粒度权限组成。要创建自定义角色，请前往 Admin Portal，在 Settings 下打开 角色管理 部分。
下表列出了 FedRAMP 部署中可分配给角色的所有权限。每项权限都用于控制对特定管理功能的访问。
其中部分权限 (如 Attribution、License、SSO、Indexing、Fine-Tuning) 虽然存在于 RBAC 系统中，但其对应的门户页面在 FedRAMP 多租户部署中不可用。为保证完整性，这些权限仍会显示在角色管理 UI 中，但不会授予对此环境中任何已启用功能的访问权限。
本节介绍顶级管理员账户从初始创建到停用的完整生命周期。
基于 SSO (单点登录) 的账户开通是 FedRAMP 部署中的主要预配方式。该平台同时支持 OIDC 和 SAML 2.0 单点登录集成。用户通过已配置的身份提供商进行身份验证，并在首次登录创建账户后，由管理员通过 Admin Portal 分配相应角色。请注意，FedRAMP 环境中的 SSO 集成需要与 Devin Desktop FedRAMP 团队配合完成，无法以自助服务方式配置。
每个新的管理员账户都应遵循最小权限原则进行配置。除非用户确实需要完整的系统访问权限，否则应优先使用仅包含管理员职责所需权限的自定义角色，而不是分配完整的 Admin 角色。
FedRAMP 部署仅支持单点登录，同时兼容 OIDC 和 SAML 2.0 协议。不支持通过电子邮件和密码进行身份验证。所有用户都必须通过已配置的身份提供商进行身份验证。
多因素身份验证 (MFA) 由组织的身份提供商强制执行。Devin Desktop 会继承所连接 IdP 中配置的 MFA 策略，这意味着所有身份验证强度要求 (例如必须使用第二重验证方式、抗网络钓鱼身份验证器或条件访问策略) 都由 IdP 层统一控制。组织应将其 IdP 配置为：要求所有访问 Devin Desktop 应用的用户都必须使用 MFA，尤其是拥有管理角色的账户。
Devin Desktop 强烈建议对所有管理账户强制启用 MFA。请将身份提供商配置为：只有满足 MFA 要求的用户才能访问 Devin Desktop 应用。
撤销管理员角色
前往 Admin Portal，打开 Manage Team 选项卡，找到该用户，点击 Edit，然后将其角色从 Admin 更改为 User (或更改为不具有任何管理权限的自定义角色) 。
撤销服务密钥
删除由即将离任的管理员创建或仅由其使用的所有服务密钥。前往 Settings，然后进入 Service Key，删除相关密钥。
移除或停用账户
在 Manage Team 选项卡中，点击该用户姓名旁边的 Delete 将其移除。这将停用该用户的 Devin Desktop 账户并释放其许可证席位。
检查残余访问权限
通过查看按 Admin 角色筛选的 Manage Team 用户列表，确认已停用的账户不再出现在任何管理角色中。确认与该账户关联的所有服务密钥均已删除。
当管理员角色发生变更或离开组织时，请立即停用其管理员账户。延迟停用会带来不必要的安全风险。
下表说明了 FedRAMP 部署的 Admin Portal 中所有由管理员控制的安全设置。每个条目都描述了该设置的功能、安全影响，以及针对注重安全的部署建议采用的配置。
最后更新：2026 年 1 月 28 日 
