用户与用户组
先建立人员在 Organization/Network 中的成员关系，再用用户组和访问授权决定能访问什么。管理角色与业务资源权限始终分开。
用户是什么
用户是 Organization 中可登录、可拥有 Device、也可成为访问授权主体的人员账号。把账号添加到 Organization 后，即使对方尚未登录，也可以提前为其创建最小权限规则；“能登录控制台”和“能访问某个资源”是两项独立能力。
邀请并加入 Organization
- 进入 用户 → 邀请记录，创建邀请并核对 Organization 角色、要加入的 Network，以及可选的初始用户组。
- 只通过受信渠道交付页面生成的一次性邀请链接；邀请本身不是用户，也不参与访问授权计算。
- 接收方打开链接，核对 Organization、角色、Network 和有效期，再用今后会持续使用的登录提供方登录并接受。邀请投递邮箱是交付提示，不是身份绑定；页面会同时显示当前登录身份，二者可以不同。
- 接受成功后，原有 Organization/Network membership 保留，新 Space 作为另一项可切换上下文加入；同一邀请不能再次使用。
- 在 访问授权 单独配置资源。初始用户组会让成员继承该组已有规则，但邀请本身不会自动开放 Node、Service 或 Subnet。
完成标准：成员能进入准确 Organization/Network；不能进入未邀请的 Organization；重复接受被拒绝；通过初始用户组获得的访问会在移出组后撤销。
邀请只建立成员关系和初始用户组。它不会自动开放其他人的 Node、Service、子网路由、指定服务出网或互联网出口。
成员状态与角色
只给确需管理 NSD 的人员所有者或管理员角色。Organization 角色决定管理能力，不替代业务资源访问；普通成员能否访问 Node、Service、Subnet 或出口，仍由系统规则和访问授权决定。
若用户登录后没有 Space，先检查邀请是否过期或已使用、登录提供方是否正确以及 Organization membership，不要重复创建账号或重新安装客户端。
用户组
用户组用于把相同职责的人作为一个授权主体，例如 Developers、Operations。规则绑定用户组后，新增/移除成员会动态计算，无需复制多条规则。生产环境按岗位建组，临时例外用单用户授权并设置复核时间。
- 先创建职责明确、名称稳定的用户组。
- 添加成员并核对人数，不要把管理员角色当成业务访问权限。
- 在 访问授权中选择该用户组和最小资源集合。
- 增加和移除一名测试成员，确认授权随成员关系变化。
组设计建议
成员可见范围
普通成员登录 NSD 时，只能看到自己拥有或明确授权可访问的信息：首页统计、Node、Service 和出口都必须使用同一作用域。若用户被授权访问整个 Node，应看到该 Node 的必要 IP/DNS/状态；未授权 Node 不应出现在列表。管理员仍可看到当前 Space 的完整管理视图。
禁用与移除
先禁用并验证新连接已停止，再处理用户组、访问授权与该用户的历史 Node。删除用户前导出必要审计记录。Device 是底层稳定身份，即使 NSD 不再提供独立设备列表，也不能假设删用户会自动、安全地清理每个 Network 中的 Node。