组织成员与架构
管理组织成员、角色权限，以及从钉钉同步组织架构
组织成员与架构
本文档介绍如何管理组织成员、成员审批、同步纳管、组织架构部门，以及钉钉组织架构同步。
核心机制
加入审批
新加入组织的用户不会立即获得组织资源访问权限。无论用户通过邀请链接、邮箱邀请，还是其他加入入口进入组织，都会先成为"审核中"成员。
这一机制用于降低邀请链接泄露带来的风险：即使链接被转发给非预期人员，对方也只能进入待审批状态，必须由组织管理员在成员列表中设为"已通过"后，才能正式访问组织资源。
| 状态 | 说明 |
|---|---|
| 审核中 | 成员已进入组织关系，但尚未获得访问权限 |
| 已通过 | 成员可正常访问组织资源 |
| 已禁用 | 成员保留历史身份和交接记录，但不能访问组织资源 |
同步纳管
同步纳管表示某个组织成员由外部通讯录同步负责维护。首期支持钉钉纳管。
- 设为钉钉纳管后，该成员会参与钉钉组织架构同步的差异判断。
- 取消同步纳管后，该成员不会因钉钉同步差异被自动禁用。
- 同步纳管是组织成员级标记，不配置在部门成员关系上。
- 列表仅展示轻量外部身份摘要；完整 SSO 信息在成员详情抽屉中加载。
成员列表
组织成员页面位于组织详情页的"成员"标签，采用双栏布局：左侧为组织架构树，右侧为成员列表。
列表字段
| 字段 | 说明 |
|---|---|
| 成员 | 成员头像、姓名和邮箱 |
| 当前部门 | 仅在选中具体部门时显示，表示当前列表所在的部门上下文 |
| 组织状态 | 审核中、已通过、已禁用 |
| 角色 | 成员在组织中的角色，管理员可直接调整 |
| 账号状态 | 用户账号是否已激活 |
| SSO/外部身份 | 展示是否绑定外部身份，以及是否由钉钉等同步纳管 |
| 工号 | 成员在当前组织内的员工编号；同一组织内唯一，同一用户加入不同组织时可维护不同工号 |
| 部门 | 成员所属部门摘要；部门负责人会在部门标签中标识 |
| 加入时间 | 加入组织的时间 |
| 操作 | 修改角色、调整同步纳管、离职交接、移除成员；部门模式下还支持设为负责人、从部门移除 |
筛选与查看
成员列表支持：
- 按名称或邮箱搜索成员
- 按组织状态筛选
- 按角色筛选
- 按账号是否激活筛选
- 点击左侧部门树筛选某个部门下的成员
- 点击"全部成员"恢复显示所有组织成员
点击成员行可以打开成员详情抽屉，查看状态历史、同步来源、外部身份、部门归属和离职交接入口。
工号登记
组织管理员可以在成员管理场景为成员登记工号。工号用于组织内部识别成员，归属于组织成员关系，而不是用户全局资料。
- 同一用户加入多个组织时，每个组织可以分别维护自己的工号。
- 同一组织内非空工号必须唯一，重复登记时不能保存；不同组织之间允许使用相同工号。
- 未登记工号的成员仍可正常加入、审批、禁用和参与同步纳管。
- 成员状态、部门归属或同步纳管设置变化时，不应自动清空已登记工号。
- 外部通讯录同步默认不覆盖手工维护的工号，除非后续明确启用对应同步映射。
批量操作
管理员勾选成员后，可以在批量工具条中执行：
- 设为已通过
- 设为已禁用
- 设为钉钉纳管
- 取消同步纳管
状态变更和同步纳管变更都需要填写原因，便于后续审计和排查。
邀请与审批
点击"邀请成员"可以邀请新成员加入组织。
邀请链接
邀请链接适合批量邀请和自助加入场景。
- 点击"生成邀请链接"按钮
- 设置链接有效期
- 选择默认角色
- 复制生成的链接
被邀请人点击链接后，会完成登录或注册，并进入组织加入确认页。
通过邀请链接加入后，成员默认处于"审核中"状态。管理员需要在成员列表中将其设为"已通过"，该成员才可以访问组织资源。
邮箱邀请
邮箱邀请适合精准邀请特定成员：
- 点击"邀请成员"按钮
- 输入被邀请人的邮箱
- 选择角色
- 发送邀请
被邀请人接受邀请后，同样会先进入"审核中"状态。
成员角色
| 角色 | 说明 |
|---|---|
| 管理员 | 可管理组织成员、设置、计费、集成和组织配置 |
| 成员 | 可查看组织信息，并访问授权的工作空间 |
管理员可在成员列表中直接调整成员角色。
限制：
- 管理员不能将自己降级
- 至少保留一个管理员
禁用与移除
禁用成员
禁用适用于离职、暂时冻结访问权限、同步检测离开范围等场景。成员被禁用后：
- 不能访问组织资源
- 保留组织成员记录、状态历史和离职交接上下文
- 可在成员列表中按"已禁用"筛选查看
- 可由管理员重新设为"已通过"
从组织移除
从组织移除会解除成员与组织的关系。
- 在成员列表找到目标成员
- 点击成员行右侧 "⋮" 操作菜单
- 选择 "从组织移除"
- 确认移除
限制：
- 管理员可以移除其他管理员和成员
- 至少保留一个管理员
如果需要保留离职交接和同步历史，优先使用"已禁用"状态，而不是直接从组织移除。
组织架构
组织架构用于管理部门结构和成员归属。管理员可以手动维护部门，也可以从钉钉同步组织架构。
部门管理
管理员可以在左侧组织架构树中创建、编辑、删除部门。
创建部门：
- 点击组织架构树顶部的 "+" 按钮创建根部门
- 或在已有部门节点上点击 "⋮" → "添加子部门"
- 输入部门名称并保存
删除部门时会级联清理该部门及子部门的成员关联和空间绑定关系，但不会删除用户账号。
部门成员
选中具体部门后，可以管理该部门下的成员：
- 添加组织成员到部门
- 设置或取消部门负责人
- 从部门移除成员
从部门移除成员仅解除部门归属关系，不影响其组织成员身份和角色。
钉钉组织架构同步
组织关联钉钉企业后，管理员可在"设置"标签的钉钉集成卡片中配置组织架构同步。
同步方式
同步支持两种方式：
| 方式 | 说明 |
|---|---|
| 仅执行一次同步 | 立即按所选 root 同步部门、成员和部门成员关系 |
| 保存为自动同步范围 | 保存所选 root，后续由系统内置任务周期性同步 |
同步流程：
- 进入组织详情页的"设置"标签
- 找到钉钉集成卡片
- 点击"同步组织架构"
- 拉取钉钉部门数据
- 选择同步 root
- 预览同步影响
- 执行一次同步，或保存为自动同步范围
同步范围
同步范围由管理员选择的钉钉部门 root 决定。系统只处理该 root 及其子部门范围内的部门和成员，不会默认扫描全企业通讯录。
适用场景：
- 只有部分部门使用 Knodo
- 需要避免同步超大企业通讯录
- 需要控制哪些钉钉成员会影响组织成员状态
同步内容
| 内容 | 说明 |
|---|---|
| 部门树结构 | 部门名称、层级关系、排序 |
| 成员归属 | 部门与成员的对应关系 |
| 负责人信息 | 部门负责人标识 |
| 组织成员状态 | 新增或重新匹配的同步成员会设为已通过 |
| 同步纳管 | 同步命中的组织成员会标记为钉钉纳管 |
成员匹配
同步成员时，系统按以下顺序匹配本地用户：
- 钉钉 unionId
- 钉钉 userId + 当前钉钉企业
- 邮箱
- 组织内唯一姓名，且本次钉钉快照中姓名也唯一
- 若允许自动创建用户，则创建新用户
当本地用户只有邮箱且钉钉返回了相同邮箱时，同步会匹配该用户并补全钉钉身份字段。
自动禁用
完整同步成功后，满足以下条件的成员会被自动设为"已禁用"：
- 成员状态为已通过
- 已设置为同步纳管
- 同步来源为当前 provider，例如钉钉
- 不在本次钉钉 root 子树同步结果内
如果钉钉接口限流、超时或部分部门拉取失败，本次同步会标记失败或部分失败，不会基于不完整数据批量禁用成员。
钉钉纳管
管理员可以手动调整成员是否由钉钉同步纳管。
批量设置：
- 在成员列表勾选成员
- 点击"调整同步纳管"
- 选择"设为钉钉纳管"或"取消同步纳管"
- 填写变更原因并确认
单个设置：
- 在成员行点击 "⋮"
- 选择"设为钉钉纳管"或"取消同步纳管"
- 填写变更原因并确认
设为钉钉纳管后，如果后续完整钉钉同步无法在所选 root 子树内匹配到该成员，系统会将其禁用。
成员配额
组织成员数量受套餐限制。具体配额额度请参考 官网定价页面 或组织设置的计费页面。
达到成员上限时：
- 无法邀请新成员
- 需要升级套餐，或禁用/移除不再需要访问的成员
最佳实践
- 通过邀请链接加入的成员先审核，确认身份后再设为已通过
- 对离职或暂时冻结访问的成员优先使用禁用，保留历史和交接上下文
- 定期筛选已禁用成员，完成离职交接和资源清理
- 对确定由钉钉通讯录维护的成员设置钉钉纳管
- 谨慎选择钉钉同步 root，避免同步不相关部门
- 保持至少两个管理员，降低管理风险
常见问题
Q：邀请链接泄露后，外部用户会直接进入组织吗？
A：不会。通过邀请链接加入的用户会先进入"审核中"状态，管理员设为"已通过"后才可访问组织资源。
Q：同步组织架构会覆盖已手动创建的部门吗？
A：不会。手动创建的部门没有钉钉外部 ID，不会被钉钉组织架构同步影响。
Q：禁用或移除的成员创建的内容会被删除吗？
A：不会。成员被禁用或移除后，其在工作空间中创建的内容会保留。
Q：可以恢复被禁用的成员吗？
A：可以。管理员可在成员列表中筛选"已禁用"，再将成员设为"已通过"。
Q：可以恢复被移除的成员吗？
A：可以重新邀请或通过同步重新加入。但之前的权限设置可能需要重新配置。
Q：管理员可以移除其他管理员吗？
A：可以，但系统会保护最后一个管理员，避免组织无人管理。
Q：如何批量邀请成员？
A：可以使用钉钉组织架构同步批量添加，或使用邀请链接让成员自助加入。邀请链接加入的成员会先进入审核中状态。
Q：一个成员可以属于多个部门吗？
A：可以。一个成员可以同时属于多个部门，并在不同部门中分别设置负责人身份。
Q：从部门移除成员后，该成员会怎样？
A：只解除部门归属关系，不影响组织成员身份、角色和其他部门归属。
Q：设置为钉钉纳管后，成员一定会被禁用吗？
A：不会。只有在一次完整同步成功后，该成员仍不在所选钉钉 root 子树结果中，且成员状态为已通过时，才会被自动禁用。