連結帳戶與允許 Okou 使用它是兩個不同的決定。分享 Workflow 或結果，不會分享你的帳戶、個人 Instructions、私人聊天或權限授權。
連結、授權與權限
| 層級 | 其控制的內容 |
|---|---|
| 連結 | 你已連結的已儲存服務帳戶或憑證。 |
| 授權 | 該連結在適用情境下是否可供 Okou 使用。Legacy Agents 可能需要 Agent 授權。 |
| 權限授權 | 允許哪些命名的連接器操作，以及允許多久。請檢視請求中顯示的範圍。 |
每位成員都會連結並授權自己的帳戶。團隊 Workflow 不能借用其作者的個人收件匣或權杖。工作區安裝的整合項目可能需要各成員分別連結。
My Okou
使用 連接器，或跟隨聊天中的連結請求。選擇預定的帳戶，完成服務本身的連結流程，並檢視任何請求的命名權限。你不需要建立專門的代理程式才能連結服務。
某些帳戶具有額外的 聊天連接器帳戶 控制項。若提供這些控制項，請檢視哪些帳戶已啟用供此 Chat 使用，以及目前選取的是哪一個。已儲存的連結並不會自動成為在每個 Chat 中使用它的權限，而帳戶選取也不等於授予所有連接器操作的權限。My Okou 本身不會啟用這些控制項；如果看不到，請使用系統顯示給你的連結與授權流程。
權限範圍由產品請求與連接器政策定義。不要僅因為你在某個 Chat 或某個已儲存帳戶中核准過，就假設該權限只限於那裡。核准前請檢視命名權限與顯示的期限。
Legacy Agents
如果你的介面仍有 Agents，請選取預定的 Agent，並開啟其 Authorization 設定。連結可以授權特定的 Agents。所選的 Agent 使用執行成員已連結的帳戶與授權，而不是發布它的人員的帳戶。移除其中一個 Agent 授權不會影響其他已授權的 Agents。
授予與撤銷存取權
當 Okou 需要它尚未擁有的權限時，請檢視連接器、操作、原因，以及顯示的任何帳戶或範圍。選擇 Allow 或 Deny，以及該請求提供的期限。限時存取在到期後必須重新核准。拒絕某一項權限，不會中斷帳戶連結或移除無關的授權。
請在 連接器 中檢視目前的存取權，以及產品提供的權限控制。在 Legacy Agents 中，也要檢視所選 Agent 的 Authorization 設定。移除 Chat 存取權、撤銷某項操作，以及中斷已儲存帳戶連結，都是不同的動作。請先檢查顯示的影響，再做選擇。
憑證處理
OAuth 權杖與手動輸入的密鑰會儲存在平台上。對於連接器請求，防火牆會在網路邊界注入憑證；該密鑰不會以環境變數的形式暴露給代理程式程式碼。
請勿將密碼、API 金鑰、OAuth 權杖或用戶端密鑰貼到聊天、個人指示（Instructions）、工作流程或附件檔案中。請使用連接器的連結流程。中斷已儲存帳戶連結會從未來的執行中移除該連結；這比停用它在單一聊天中的使用範圍更廣。
核准邊界
可強制執行的邊界是連接器的命名權限授權。個人指示（Instructions）或工作流程中的指示不會擴大存取權，而像「敏感操作」這類通用分類，也不能保證每一次外部寫入都會以相同方式暫停。
對於必須保留人工審核的工作：
- 授予讀取或草稿存取權，並在連接器分別提供最終寫入或傳送存取權時將其拒絕。
- 在個人 Instructions 或 Workflow 中說明審核要求。
- 讓最後一步操作由人員完成，例如先準備好電子郵件草稿或提議的變更。
也請使用上游服務控制：範圍受限的 API 金鑰、最小權限的 OAuth scope、儲存庫權限，以及獨立的正式環境憑證。購買核准仍與連結帳戶分開。
聊天、記錄與管理員可見性
成員可存取自己的聊天串。發布工作流程，或在舊版體驗中發布代理程式，都不會公開成員的私人聊天或憑證。僅能透過明確的分享控制來分享對話與產物。
工作區管理員可以查看成員層級的用量彙總，以進行計費與容量管理。但這不會自動暴露私人聊天內容。在你自己的聊天中，請查看活動記錄，以了解哪個連接器操作已執行以及是否成功。
檢查清單
- 預定的服務帳戶是否已連結並可供此任務使用？
- 在 Legacy Agents 中，預定的 Agent 是否已授權？
- 當提供 Chat 帳戶控制項時，預定帳戶是否已被允許且已選取？
- 是否僅允許必要的命名操作，且期限適當？
- 此任務是否將最終對外操作保留在可審核的步驟中？
