# Workspace và vai trò

> Workspace là ranh giới của dữ liệu, thành viên, máy và khoá; vai trò và phạm vi nhóm quyết định ai được làm gì.

Một **workspace** chứa hồ sơ, proxy, máy chạy, tự động hoá, khoá API và nhật ký kiểm toán của một đội. Không có gì dùng chung giữa các workspace, và mỗi khoá API luôn thuộc đúng một workspace.

## Vai trò

| Vai trò | Thường dùng cho |
|---|---|
| Owner | Toàn quyền, gồm chuyển sở hữu và thanh toán |
| Admin | Thành viên, bảo mật, máy chạy và mọi tài nguyên |
| Operator | Tạo, sửa và chạy hồ sơ trong phạm vi được cấp |
| Viewer | Chỉ xem trong phạm vi được cấp |

Mỗi thao tác cần một quyền (ví dụ `session.start` hay `profile.edit`); [tham chiếu](https://browlix.com/en/docs/reference) ghi quyền của từng thao tác. Web, API, MCP, CLI và worker đều hỏi cùng một quyết định trong cơ sở dữ liệu, nên không bao giờ bất đồng về việc ai được làm gì.

## Phạm vi nhóm

Thành viên có thể thấy **mọi** hồ sơ hoặc chỉ một số **nhóm hồ sơ**. Thành viên giới hạn theo nhóm — và mọi khoá họ tạo — chỉ đọc, mở và sửa hồ sơ trong nhóm của họ. Thẻ chỉ để lọc; thẻ không bao giờ cấp quyền.

## Thiết lập bảo mật

Owner có thể bắt buộc xác thực hai lớp cho cả workspace. Khoá API vẫn chạy cho tự động hoá, nhưng chỉ trong phạm vi thành viên của khoá được phép.

## Kiểm toán

Mọi lệnh — từ web, khoá API, MCP hay máy chạy — được ghi vào nhật ký chỉ-thêm với người thực hiện, giao diện và kết quả (`accepted`, `denied` hoặc `failed`). Đọc bằng `audit.list`.