> ## Documentation Index
> Fetch the complete documentation index at: https://huongdan.luklak.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Phân quyền Xuyên 3 Tầng

> Cách hệ thống phân quyền hoạt động xuyên suốt: Đặc quyền hệ thống → Item Access → Permission Scheme.

## 3 Lớp Bảo mật, 1 Kết quả

Luklak không dùng một hệ thống phân quyền duy nhất. Thay vào đó, **3 lớp bảo mật** xếp chồng — người dùng phải **qua cả 3** mới thực hiện được hành động.

## Lớp 1: Đặc quyền Doanh nghiệp

**Câu hỏi:** "Người này có được vào hệ thống không? Quyền hạn tối đa là gì?"

* Cài đặt **toàn cục**, gán **1 lần**.
* Owner > Admin > App Manager > Member.
* Nếu là Member → không vào được Global Settings, không thiết kế Chức năng.

## Lớp 2: Item Access

**Câu hỏi:** "Người này có thấy và truy cập được thành phần cụ thể này không?"

* Gán **per Item** — `📋 Chức năng`, `⏹️ Mảng việc`, `Dashboard`, `Saved Filter`.
* 3 cấp: Admin / Manager / Member (của Item, **tách biệt** Đặc quyền hệ thống).

<Warning>
  Admin của một Dashboard có thể chỉ là Member hệ thống. Hai hệ thống hoàn toàn độc lập.
</Warning>

## Lớp 3: Permission Scheme

**Câu hỏi:** "Người này được làm gì bên trong thành phần đó?"

* Gán cho **Vai trò** (Role), không phải User trực tiếp.
* Kiểm soát: Xem / Tạo / Sửa / Xóa / Chuyển trạng thái `🧊 Đầu việc`.
* Thiết kế trong `📋 Chức năng`, tự động áp dụng cho mọi `⏹️ Mảng việc`.

## Ví dụ thực tế

| Bước                                                                                            | Lớp   | Kết quả                                                              |
| :---------------------------------------------------------------------------------------------- | :---- | :------------------------------------------------------------------- |
| Alice là **Member** hệ thống                                                                    | Lớp 1 | Vào được nền tảng, không vào Global Settings                         |
| Admin gán Alice vào Group "Sales" → Group có Item Access **Member** cho Mảng việc "Pipeline Q4" | Lớp 2 | Alice thấy và vào được Mảng việc                                     |
| Trong Mảng việc, Alice được map vào Role **"Sales Rep"**                                        | Lớp 3 | Alice tạo/sửa Deal, nhưng không xóa được. Chỉ Role "Manager" mới xóa |

**Kết quả:** Alice làm việc đúng phạm vi, bảo mật, không cần admin can thiệp hàng ngày.

***

## Đọc tiếp

* [Tương tác giữa các tầng](/02-platform/governance/tuong-tac-giua-cac-tang)
* [Chi tiết Permission Scheme](/02-platform/platform-overview/permissions-and-notifications/so-do-phan-quyen)