CDelivery 提供 Reader、Operator、Admin 三种角色，权限依次增加。角色针对整个平台生效，分组不隔离账户可见范围。
权限对照
| 能力 | Reader | Operator | Admin |
|---|---|---|---|
| 查看共享应用、服务器和运行信息 | 是 | 是 | 是 |
| 管理自己的资料、密码、消息绑定和 API 密钥 | 是 | 是 | 是 |
| 修改应用、XHealth、XJob、Guardian | 否 | 是 | 是 |
| 管理服务器、分组、卷和平台设置 | 否 | 否 | 是 |
| 管理其他用户、签发服务器加入凭证 | 否 | 否 | 是 |
| 使用敏感的模型发现操作 | 否 | 否 | 是 |
共享信息只会脱敏平台明确识别的秘密。日志、配置文件和任意环境变量内容不能假定已被自动隐藏，因此 Reader 也应是获准查看运行数据的可信用户。
不同入口如何生效
浏览器会话使用账户的当前角色。API 密钥的有效角色取“账户当前角色”和“密钥角色上限”中较低者；降级账户会立即限制其密钥，升级账户不会提高旧密钥上限。
REST、MCP、控制台和用户发起的 AI 工具操作遵循同一授权规则。通过消息渠道绑定的身份使用对应账户的当前权限。自动值班使用管理员配置的独立值班角色，默认 Operator，不能访问某个用户的个人账户操作。
分配与验证
为观察者选择 Reader，为日常发布人员选择 Operator，仅为需要管理平台的人选择 Admin。创建或调整后，用目标账户检查能看到的数据和可用操作，再连接自动化工具。
Admin 不能删除自己或降低自己的角色。密码修改会使全部浏览器会话失效，但不会撤销 API 密钥；完整交接还需检查用户管理和API 密钥。