# 组织中的访问控制

> [!TIP]
> 您可以设置 [单点登录（SSO）](./security-sso)，以便将来自组织身份提供商的访问控制规则进行映射。

> [!TIP]
> 通过[资源组](./security-resource-groups)可以实现更高级、更细粒度的访问控制。
>
> 资源组功能是团队版和企业版套餐的一部分。

组织成员可以拥有五种不同的角色：`no_access`、`read`、`contributor`、`write` 或 `admin`：

- `no_access`：该成员属于该组织，但无权访问其仓库或设置。与 [Resource Groups](./security-resource-groups) 配合使用，可仅授予对特定仓库的访问权限。

- `read`：对组织的仓库和元数据/设置（例如，组织资料、成员列表、API 令牌等）的只读访问权限。

- `contributor`：对由该用户创建的 Organization 仓库子集拥有额外的写入权限。也就是说，用户可以创建仓库，_然后_仅修改这些仓库。这与 `write` 角色类似，但范围仅限于用户_创建_的仓库。

- `write`：对组织内所有仓库的写入权限。用户可以创建、删除或重命名组织命名空间下的任何仓库。用户还可以通过浏览器编辑器编辑和删除文件，并使用 `git` 推送内容。

- `admin`：除了对仓库的写入权限外，admin 成员还可以更新组织的个人资料、刷新组织的 API 令牌以及管理组织成员。

作为组织的 `admin`，请前往组织设置中的 **Members** 部分来管理用户角色。如需以编程方式更改角色或资源组分配，请参阅 [Programmatic User Access Control Management](./programmatic-user-access-control) 指南。

## 查看成员的电子邮件地址

> [!WARNING]
> 此功能包含在 Team & Enterprise 套餐中。

您可能可以查看组织成员的电子邮件地址。电子邮件地址的可见性取决于组织的 SSO 配置或已验证的组织状态。

- 通过为组织[验证电子邮件域名](./organizations-managing#organization-domain-name)，您可以查看具有匹配电子邮件域名的成员的电子邮件地址。
- 如果已为您的组织配置了 SSO，您可以在 SSO 配置中设置 `Matching email domains`，以查看组织中每位成员的电子邮件地址

## 管理具有组织访问权限的访问令牌

参见 [令牌管理](./enterprise-tokens-management)