配置 Dust Spaces 与基于角色的权限控制：企业 IT 管理员如何防止自定义 AI 智能体跨部门数据泄露

在企业全面推广生成式 AI 智能体（AI Assistants / Agents）的过程中，IT 管理员与合规主管面临着巨大的安全挑战：员工通过自然语言与连接企业内部知识库的智能体交互能大幅提升生产力，但传统的检索增强生成（RAG）架构极易引发灾难性的跨部门数据泄露。如果一名普通市场营销员工向通用企业 AI 提问：“上个月审批的高管薪酬调整方案是什么？”或“总结针对供应商纠纷的保密诉讼策略”，传统的单体式向量知识库会毫无阻碍地检索并概括这些高度敏感的文档。

单纯依赖提示词防御（Prompt Guardrails，如在系统指令中要求“严禁讨论薪酬话题”）在恶意提示词注入、迂回提问或语义变形面前十分脆弱。企业级数据隔离必须在架构层实现确定性的硬隔离，确保未经授权的数据根本无法进入大语言模型（LLM）的上下文窗口（Context Window）。

Dust 通过其底层的双层权限模型（Dual-Layer Permission Model），结合 Spaces（工作空间容器）、角色访问控制（RBAC）、SCIM 身份提供商（IdP）目录同步以及连接器级范围控制（Connector Scoping），彻底解决了这一难题。本文将详细解析企业 IT 管理员如何系统化配置 Dust Spaces 与权限矩阵，构建杜绝跨部门数据泄露的定制 AI 智能体体系。

一、核心架构：Dust 的双层权限模型

要彻底杜绝跨部门数据泄露，IT 管理员必须将智能体访问数据与人类访问智能体解耦。传统的 SaaS 系统通常采用单层权限控制：即“用户 X 能否查看文档 Y”。但在生成式 AI 时代，自主智能体可以代表用户提炼、汇总和跨文档推理，单层模型极易被“代理提问”绕过。

Dust 由此设计了双层权限架构：

[ 外部源系统 (Google Drive、SharePoint、Slack、Notion) ]
                         │
                         ▼ (管理员最小权限范围与专用服务账号)
                [ Dust Connections 连接器 ]
                         │
                         ▼ (管理员划分的指定数据子集)
          ┌──────────────┴──────────────┐
          ▼                             ▼
   [ Open Spaces 公开空间 ]     [ Restricted Spaces 受限空间 ]
   (如 Company Data 空间)       (如 财务部、法务部、人力资源部)
          │                             │
          ▼                             ▼
   [ 通用全员智能体 ]           [ 部门专属受限智能体 ]
          │                             │
          ▼                             ▼
   (工作区全员可访问)           (仅对应受限空间成员可见并调用)
          ▲                             ▲
          └──────────────┬──────────────┘
                         │
               [ 人类用户与组织群组 ]
               (基于 IdP / SCIM 自动同步)

第一层：智能体与数据（Agent <> Data）的确定性数据边界

在 Dust 中创建智能体时，其知识检索与工具调用权限被严格限定在绑定的 Spaces 内。如果一个为技术支持定制的智能体仅挂载了“技术文档空间”和“公开企业资料空间”，它在底层就没有检索“财务受限空间”或“法务受限空间”的任何接口或向量权限。这一边界在数据库与检索层完成强制隔离，未经许可的文档片段永远不会被喂给大语言模型。

第二层：人类与智能体（Human <> Agent）的“默认安全”可见性

Dust 遵循一条核心治理原则：智能体所使用的数据空间，决定了谁能看到并使用该智能体。 默认情况下，员工只有在同时拥有某个智能体所依赖的所有 Spaces 的访问权限时，才能在工作区内搜索、查看并调用该智能体。

如果一个财务辅助智能体连接了“受限财务空间”，非财务部门员工在 Dust 界面中根本无法看到该智能体，更无法向其发送任何指令。这一机制从根源上消除了“代理提权攻击”——未授权员工无法将高权限智能体当作跳板来套取企业敏感信息。

二、Spaces 划分策略：隔离公开与受限数据域

在 Dust 中，所有数据、文档和集成工具都归属于特定的 Spaces。科学规划空间架构是防泄露的第一道防线。

公开空间（Open Spaces）与受限空间（Restricted Spaces）对比

Company Data 空间的特殊定位与治理底线

每个 Dust 工作区都包含一个名为 Company Data 的默认公开空间：

• 该空间面向全体成员开放，不可删除、不可更名，亦无法转为受限状态。
• 挂载到 Company Data 的内容可被工作区默认智能体（如 @dust）直接检索。
• IT 管理员治理铁律： 严禁将任何涉及部门机密、薪酬隐私或高敏财务的数据挂载至 Company Data。该空间应仅作为企业公共知识的发布看板。

版本空间配额规划

• 商业版（Business Plan）： 支持最多 5 个 Spaces。适合组织架构扁平、仅需基础物理隔离的企业（如划分为：Company Data、管理层、产研、营销、综合运营）。
• 企业版（Enterprise Plan）： 支持最多 100 个 Spaces。适合跨国企业、矩阵式架构或需要严格项目级隔离的组织（如按法务审查、薪酬核算、股权架构、内部审计等细分领域建构独立空间）。

三、六步实操指南：企业 IT 管理员落地配置全流程

为了确保智能体上线后零泄露，企业 IT 管理员应当遵循以下端到端的标准化配置流程。

第一步：基于 SCIM 2.0 配置上游身份同步

依靠手动在 Dust 中添加或删除用户必然会导致权限漂移与离职权限残留。企业版客户应第一时间与企业身份源（Okta、Microsoft Entra ID、Google Workspace）打通。

1. 登录 Dust，进入 Admin > Organization > Members > Groups > User provisioning > Set up Directory sync。
2. 选择企业的身份提供商，按照向导完成 SCIM 2.0 连接配置。
3. 在 IdP 中配置部门组推送策略（如推送 dept-finance、dept-legal、dept-hr、exec-board 等组织组）。
4. 实现人员生命周期自动化：当员工发生部门调动或离职时，IdP 实时同步更新 Dust 用户组。一旦员工调离财务部，其在 Dust 中对应的受限财务空间访问权及所有财务智能体调用权将被瞬间剥夺。

第二步：建立源系统连接器最小权限控制

Dust 连接器（Google Drive、Microsoft SharePoint/OneDrive、Notion、Confluence、Slack 等）会直接同步外部系统的内容。为了防止上游意外超范围拉取：

1. 杜绝使用个人管理员账户： 切勿使用某位 IT 人员的个人企业账号授权连接器。若该人员调岗或离职，连接不仅会中断，其个人私有草稿还可能被误同步。
2. 使用专用的系统服务账号：
   • Google Drive： 创建专属虚拟账号（如 dust-admin@yourdomain.com），仅为该服务账号分配特定受控共享云端硬盘（Shared Drives）的读取与下载权限。
   • Microsoft SharePoint / OneDrive： 在 Microsoft Entra ID 中创建应用注册，利用 Sites.Selected 应用程序权限；或通过专用服务账号（dust-service@yourdomain.com），使用 PowerShell（Grant-PnPAzureADAppSitePermission）或 Microsoft Graph API 严格限定其仅可访问指定的 SharePoint 网站集。
   • Slack： 仅将 Dust 机器人拉入公开交流频道或指定归档频道，未邀请机器人的敏感频道不会被索引。
3. 按目录树层级精确选择： 在 Dust 的连接器同步配置弹窗中，务必逐级展开目录树勾选目标子文件夹。严禁在根目录一键全选。

第三步：创建受限空间并挂载部门数据

连接器完成同步后，数据仅保存在待分配池中，必须由管理员明确关联到具体的 Space 才能生效。

1. 进入 Dust 的 Spaces 标签页，点击 New。
2. 输入空间名称（例如：Finance & Accounting）。
3. 空间类型选择 Restricted。
4. 成员权限选择 Provisioned group access，从下拉列表中选择由 SCIM 同步的 IdP 部门组（如 dept-finance）。
5. 进入新建的受限空间，点击 Connected Data，再点击 Add data from connections。
6. 在数据选择树中，仅勾选上一步为财务部同步的特定文件夹或 SharePoint 文档库。
7. 点击 Save。此时，该批涉密财务数据被完全锁入该独立受限空间内。

Dust 管理后台：新建受限空间示意
┌─────────────────────────────────────────────────────────────┐
│ 新建空间 (Create New Space)                                 │
│ 空间名称: [ Finance & Accounting                          ] │
│ 访问控制: ( ) 公开 (Open)   (•) 受限 (Restricted)           │
│ 成员管理:                                                   │
│   [ Provisioned group access (预配群组关联)               ▼]│
│   已选群组: [ dept-finance x ] [ exec-cfo x ]               │
│                                                             │
│ 挂载数据 (Connected Data):                                  │
│   [x] Google Drive: /Shared Drives/Finance/FY26_Budgets/    │
│   [x] SharePoint: /sites/FinanceOps/Financial_Statements/   │
│   [ ] Google Drive: /Shared Drives/Company_Wide/ (未选中)   │
│                                                             │
│ [ 取消 ]                                    [ 创建受限空间 ]│
└─────────────────────────────────────────────────────────────┘

第四步：收紧构建与发布权限（RBAC 治理矩阵）

在默认初始状态下，Dust 允许所有成员随意创建并公开发布智能体。在企业环境中，必须收紧此权限以防失控。

管理员需进入 Admin > Governance 调整权限矩阵：

1. 创建与发布智能体（Create / Publish agents）： 将权限从 Everyone 改为指定组（如经过合规培训的 AI Builders 认证人员组）或 Admin only，防止未经审查的智能体被随意推向全员。
2. 创建与发布技能（Create / Manage skills）： 保持为 Admin only 或仅限高级技术架构组，防止随意挂载未经验证的外部 API 工具。
3. 分配管理员与经理角色： 在 Admin > Members > Roles 中，通过用户组映射分配角色。仅核心 IT 团队保留 Admin 角色；业务部门主管可赋予 Manager 角色或任命为 Group Managers（组管理员），使其能够自行维护组内配额与成员，而无权触碰底层网络与安全配置。
4. 安全审计权限专人专用： Access security features 与 Access billing features 并非普通经理自带权限，需管理员在角色页面中单独授权给合规安全组。

第五步：构建部门专属智能体并检验可见性

在智能体构建器（Agent Builder）中配置部门智能体时，需严格遵循数据最小化原则：

1. 在 Instructions 中撰写清晰的系统角色定位与合规指引。
2. 在 Knowledge / Tools 中添加 Search data sources 工具：
   • 在可用空间列表中，仅勾选目标受限空间（如 Finance & Accounting）。
   • 除非该智能体必须参考全员手册，否则切勿勾选 Company Data。
3. 注意多空间交集准则（Multi-Space Intersection Rule）：
   • 若一个智能体同时挂载了*空间 A（财务）和空间 B（高管）*的数据，用户必须同时拥有空间 A 和空间 B 的访问权限，才能看到并使用该智能体。
   • 若用户仅拥有空间 A 权限，该智能体会对该用户隐身。
   • 最佳实践： 尽量保持单个业务智能体仅挂载单一受限空间，避免多重交集导致合法用户意外无法调用。

第六步：配置外部操作工具的凭据模式（Personal vs. Shared）

当智能体需要调用外部系统（如 GitHub、Salesforce、Jira、HubSpot 或 MCP 服务器）执行交互查询时，管理员必须在 Knowledge > Tools 中评估凭据模式：

• 共享凭据（Shared Credentials）： 由管理员配置一套通用服务账号，所有获准调用该工具的用户以同一身份访问外部系统。适合只读的公共基础数据库。
• 个人凭据（Personal Level Credentials）： 管理员完成全局 OAuth 框架握手后，每位员工在首次触发该工具时必须登录自己的外部账号。
  • 适用高敏业务场景： Salesforce CRM、私有代码仓库、Jira 缺陷工单等内部具备行级/对象级权限的系统。即使营销人员试图通过智能体查询客户商机，系统也会直接套用该用户在 Salesforce 中的原生权限，形成“Dust Space 隔离 + 外部系统原生 RBAC”的双重保险。

四、安全审计、日常监控与离职生命周期管理

安全配置落地后，安全与合规团队需要具备持续的监控与可信追溯能力。

┌──────────────────────────────────────────────────────────────┐
│                    企业级实时事件日志流                      │
└──────────────────────────────┬───────────────────────────────┘
                               │
            ┌──────────────────┴──────────────────┐
            ▼                                     ▼
     [ 人类直接触发事件 ]                  [ AI 智能体衍生操作 ]
     actor: "user"                         actor: "user"
     action: "agent.executed"              metadata.actor_type: "agent"
     targets: ["agent-finance-01"]         metadata.initiating_user: "..."
            │                                     │
            └──────────────────┬──────────────────┘
                               ▼
                 [ Dust Enterprise 审计引擎 ]
                               │
            ┌──────────────────┴──────────────────┐
            ▼                                     ▼
    [ 内部防篡改日志看板 ]                [ 企业 SIEM 实时串流 ]
    (Admin > Security > Audit Logs)       (Datadog、Splunk、S3、GCS)

责任溯源：区分人类行为与智能体行为

Dust 企业版审计日志（路径：Admin > Organization > Security > Audit Logs）记录了工作区内的每一次重大操作。

每条日志结构化记录以下核心字段：

• 谁（Actor）： 区分真实主体类型（user 用户、api_key 接口密钥、system 系统自动化任务），包含 IP 地址与客户端特征。
• 干了什么（Action）： 详细记录 agent.executed、space.created、space.deleted、data_source.updated、tool.executed。
• AI 衍生活动归因： 在多智能体协作或工具调用中，日志在 metadata.actor_type 中明确标记动作是否由智能体触发，同时完整保留触发该任务的原始人类用户字段（initiating_user_id 与 initiating_user_email），使合规审计能够精确回溯数据调用的原始发起人。

SIEM 实时串流集成

企业合规团队可将 Dust 审计日志实时推流至主流安全信息和事件管理平台（SIEM），包括 Datadog、Splunk、AWS S3、Google Cloud Storage（GCS） 或自定义 HTTPS 接收端点。如果企业入站防火墙限制严格，可在网关中放行 Dust 文档列明的 WorkOS 传输 IP 地址段。

员工离职与权限回收防护

当员工离职或转岗时：

1. 企业的 IdP 触发 SCIM 停用，Dust 实时同步注销该用户账户。
2. 该用户对所有受限空间的访问权瞬间清零。
3. Dust 会自动且永久清理该用户名下创建的所有个人触发器与自动化任务（Triggers）。
4. 管理员交接核查： 离职前，管理员应在 Programmatic Usage > Automations 检查是否有业务关键的定时任务属于该员工。对于由该员工单独创建且未发布的业务智能体，管理员可在 Agent Builder 中点击 Become an editor as an admin 接管编辑权，避免关键业务资产丢失。

五、架构设计矩阵与 IT 管理员避坑自检清单

空间与权限架构矩阵

上线前 IT 管理员避坑自检表

• 身份目录同步就绪： SCIM 2.0 状态正常，部门用户组已自 Okta 或 Entra ID 准确推送至 Dust。
• 全员公共空间脱敏： 彻底排查 Company Data 空间，确保不存在任何薪酬表、未披露财务数据或保密诉讼记录。
• 独立服务账号就绪： Google Drive 与 Microsoft SharePoint 已配置无人工干预的专用服务账号，且目录授权遵循最小必要原则。
• 受限空间严格关联： 涉敏部门均已建立独立的 Restricted Space，且通过“预配群组关联”绑定 IdP 组织组。
• 连接数据精准入库： 敏感文件夹仅在对应受限空间的 Connected Data 中勾选挂载，未混入公共空间。
• 智能体发布权限收拢： 在 Admin > Governance 中，已将智能体与技能的创建发布权限收归认证人员或管理员组。
• 高权操作工具使用个人凭据： 涉及内部权限隔离的外部系统（如 Salesforce、GitHub、Jira）均已开启个人级凭据认证。
• 安全审计推流验证： 企业级审计日志已成功接入 SIEM（Splunk / Datadog），并完成告警演练测试。

通过上述结构化设计，企业 IT 管理员不仅能消除合规阻碍，更能为企业建立坚固的技术防线，确保员工尽享生成式 AI 生产力红利的同时，企业敏感核心资产万无一失。

参考资料

• Spaces management
• Workspace Governance: Roles, Groups & Permissions
• Access Controls and Permissions
• Users and groups provisioning
• Personal vs Shared Credentials for Tools & MCP Servers
• Agents management
• Audit Logs
• Google Drive
• Microsoft
• Dust Security: Enterprise-Grade Data Protection