轻连智搜盒 管理员手册

适用版本：V1.0　最后更新：2026-10

本手册面向企业内部负责轻连智搜盒（以下简称「盒子」）日常管理的管理员，介绍盒子管理面板的各项操作。安装、上架、克隆量产等实施工作请参阅《部署与运维手册》。

不同档位（基础版 / 高级版 / AI 增强版）开放的功能不同，文中涉及档位差异处均已标注。三档均为硬件买断、无年费，员工电脑支持 Windows 与 macOS。

1. 管理面板登录与管理员账号

1.1 打开管理面板

1. 确认电脑与盒子处于同一局域网（或已通过盒子提供的安全远程接入方式连通）。
2. 在浏览器地址栏输入盒子的访问地址。地址可从盒子 HDMI 信息屏查看，显示形态为 https://<盒子IP>:9090；也可在路由器的已分配地址列表中按主机名查找（主机名形如 linkio-xxxx）。
3. 盒子使用内置证书颁发机构签发的证书，首次用浏览器打开时可能提示证书不受信任，按浏览器提示选择继续访问即可；企业内统一分发过根证书的环境不会出现该提示。

1.2 首次初始化

全新开机、尚未初始化的盒子，面板会强制进入初始化向导，只需设置一次：

• 管理员用户名：3–32 位，允许字母、数字及 _、.、-；
• 管理员密码：至少 8 位；
• 盒子名称：便于在多台盒子场景中辨认，可留空使用默认名称。

提交后向导立即完成并自动登录。初始化只能进行一次，请妥善保管管理员账号信息。

1.3 登录与会话

• 在登录页输入用户名与密码。连续失败会触发频率限制，需稍后再试。
• 登录后面板会话保持约 12 小时，过期后需重新登录。
• 请通过右上角入口主动退出登录，尤其是在公用电脑上操作时。
• 若遗忘管理员密码，需在盒子本机通过实施运维手段重置，参见《部署与运维手册》故障排查章节。

2. 员工账号、角色与电脑节点

2.1 管理员与普通员工的差别

设计要点：工作目录是员工电脑的隐私边界，管理员不能替员工指定要汇聚哪些目录；但管理员可以删除不当的目录声明、调整共享授权并审计全部操作。具体角色的可配置细项以面板实际页面为准。

2.2 创建员工账号

在「用户管理」页面新建员工：

• 用户名规则与管理员相同（3–32 位字母数字及 _ . -）；
• 初始密码至少 8 位，建议首次登录后由本人修改；
• 可填写显示姓名，便于在授权、审计页面辨认；
• 可设置密级（公开 / 内部 / 秘密 / 机密四档）。密级用于目录访问控制：员工只能访问密级不高于自身等级的目录，具体对应关系以页面说明为准。

2.3 禁用、启用与删除账号

• 员工离职或电脑遗失时，应第一时间禁用账号。禁用后该账号无法登录面板、其 AI 接口令牌立即失效。
• 确认不再需要的账号可以删除。删除前系统会提示该账号关联的工作目录等数据；若其名下仍有工作目录声明，需先转移或删除这些声明。
• 管理员不能禁用自己的账号，最后一个管理员账号不可删除。

2.4 电脑节点接入与归属

员工电脑通过安装客户端软件接入盒子，每台接入的电脑称为一个「节点」：

1. 管理员在面板「节点 / 电脑」页面生成注册令牌（短时效，默认约 15 分钟有效，可按需调整，最长 1 天），生成时必须指定该电脑归属哪位员工。
2. 员工在自己电脑上运行客户端并输入注册令牌，电脑即出现在该员工名下。
3. 电脑重装、客户端重装时，可对已有节点生成「重装令牌」，节点归属保持不变。
4. 管理员可在节点页面查看电脑在线状态、重新指派归属、轮换凭据或删除节点。

注册令牌相当于入场凭证，应通过企业即时通讯或当面方式交给员工，不要张贴在公开场合。

3. 工作目录登记与汇聚

工作目录指员工在自己电脑上选定、允许纳入盒子管理的文件夹（如「D:」）。

3.1 员工登记目录

员工在本人电脑的客户端界面（或面板的目录页面）添加目录时可设置：

• 可见范围：仅本人 / 全员 / 指定用户组；
• 他人默认权限：不可见 / 仅可读取片段 / 可读取全文；
• 密级：用于限制可访问人员范围；
• 读取全文是否需要逐次审批：开启后，其他人员通过 AI 或接口读取该目录下文件全文时，需要目录所有者临时批准；
• 是否包含子目录：默认包含，即登记一个文件夹即覆盖其下全部子文件夹；如只想备份该文件夹顶层文件，可关闭此项。

同一目录重复登记时系统会提示，以免产生重复汇聚。

3.2 汇聚生效过程

1. 目录登记后，客户端自动将该目录内容汇聚到盒子，员工无需手动上传。
2. 新登记目录的内容检索需要建立索引，文件较多时请等待一段时间后再搜索；搜索结果中出现「正在建立索引」类提示即属此情况，并非文件丢失。
3. 之后文件的新增、修改会自动增量汇聚；电脑关机后，已汇聚的副本在盒子上仍可被有权限的人检索（高级版及以上）。
4. 删除目录声明后，该目录不再继续汇聚与参与检索。

3.3 全文读取审批

当目录开启了「读取全文需审批」：

• 其他人通过 AI 问答或标准接口需要读取该文件完整内容时，会向目录所有者（或管理员）发起申请；
• 批准后生成一次性、短时效（约 5 分钟）的授权，且仅对被申请的那一个文件有效；
• 日常搜索命中、摘要片段展示不受影响。

建议对合同、人事、财务等敏感目录默认开启审批。

4. 权限管理与操作审计

4.1 授权模型

盒子的访问控制由以下几层共同构成，全部默认拒绝、逐层放行：

1. 账号有效：未禁用、会话或接口令牌未过期、未被吊销；
2. 目录声明：只有员工主动登记的目录才可能被访问，电脑上的其他位置完全不可见；
3. 可见范围与密级：按全员 / 用户组 / 仅本人，以及目录与人员的密级匹配；
4. 权限等级：不可见、只读片段、可读全文、可写、可管理；
5. 逐条授权：管理员或目录所有者可在「权限」页面针对某个用户或用户组、某个目录（或文件）追加授权，可设置到期时间，到期自动失效。

普通员工只能查看和撤销自己授予他人的权限；管理员可查看和管理全部授权记录。

4.2 用户组

管理员可维护用户组（如「财务部」「设计一组」），将员工加入组后，授权和目录共享可以直接按组发放，人员变动时只需调整组成员关系。

4.3 审计日志

「审计」页面记录盒子上的关键操作，包括但不限于：

• 登录成功与失败、退出；
• 账号创建、改密、禁用、启用、删除；
• 工作目录的登记、删除、设置变更；
• 权限授予与撤销、全文审批签发；
• AI 接口令牌的生成与吊销、AI 工具调用记录；
• 许可激活、升级操作、电脑注册与重装。

日志按时间倒序分页展示，可按操作类别和结果（成功 / 失败 / 拒绝）过滤。

建议管理员：

• 每周至少查看一次失败登录与被拒绝的访问；
• 人员离职、泄密事件后第一时间导出相关时间段日志留档；
• 审计记录只增不改，不要尝试通过数据库直接清理。

5. 局域网文件共享（SMB）

盒子支持把共享目录以操作系统自带的「网上邻居 / 网络驱动器」方式开放给员工电脑，无需另装软件：

• 员工用盒子账号与密码连接共享，权限与盒子账号体系一致；
• 全员可见的共享默认为只读写入受控：只读共享仅管理员可写；
• 默认不允许匿名（访客）访问，除非管理员明确对某个共享开启；
• 通过共享删除的文件进入该共享的回收站，可由管理员找回，回收站内容纳入备份范围。

在「共享」页面可以创建共享、开关局域网文件共享。员工侧的具体连接方式（Windows 映射网络驱动器、macOS 连接服务器）以系统自带文档为准。修改账号密码后，共享访问密码会在短时间内自动同步，无需手工干预。

6. AI 配置（三模式）

档位说明：AI 问答相关配置仅高级版与 AI 增强版可用；基础版不开放 AI 问答，但保留 AI 读文件的标准接口（见第 7 节）。

在「AI 配置」页面，管理员可以选择盒子的 AI 问答服务模式：

6.1 配置外接模型

1. 新增端点，填写名称、接口地址、模型名称与密钥；
2. 密钥加密后保存，页面回显时只显示尾号，防止截屏泄露；
3. 使用「测试」按钮验证连通性（约 8 秒超时）；
4. 将默认问答模式设为「外接模型」即完成全局切换。

6.2 涉密数据保护

• 标记为秘密 / 机密的目录，系统强制不允许将其内容发往外接模型或平台托管模型，只能使用盒内本地模型或关闭 AI 处理；
• 员工也可以对自己登记的单个目录单独设置 AI 处理方式（跟随默认 / 关闭 / 仅本地）；
• 以上限制在服务端运行时强制执行，面板上的选项锁定只是第一道提示。

6.3 盒内本地模型说明（AI 增强版）

• 首次启用时需要建立本地知识库，文件量大时耗时较长，完成后断网也可问答；
• 本地模型能力略逊于顶级公网模型，适合日常内部资料问答；
• 扫描件、图纸的版面智能解析为 AI 增强版独有能力。

7. 接入外部 AI 助手

盒子提供标准的 AI 工具接口（MCP 标准协议，JSON-RPC over HTTPS），支持接入符合该标准的 AI 助手或智能体工具（如豆包、OpenClaw、Cursor、Claude Desktop 等）。这些助手支持接入，具体助手的对接状态以实际交付版本为准，上线前需实测；盒子不接入任何 AI 助手时，文件检索、汇聚、备份等功能同样可以正常使用。

7.1 通用接入流程

1. 员工或管理员登录面板，进入「AI 接口 / 令牌」页面；
2. 新建一个接口令牌，填写用途名称（如「财务部-豆包」）；
3. 令牌明文只在创建成功时显示一次，请立即复制到助手配置中；遗忘后只能重新生成；
4. 在助手的自定义连接器 / MCP 服务配置中，填写面板提供的接口地址与该令牌（鉴权方式为 Bearer 令牌）；
5. 连接成功后，助手即可按该账号的权限检索文件：能搜到什么、读到什么，完全遵从第 4 节的权限与审批规则，助手不会获得超出本人的权限。

接口地址形如 https://<盒子访问地址>/mcp，具体以面板接入页面实际展示为准。若助手提示证书不受信任，请导入企业内分发的盒子根证书，或按该助手文档配置允许企业自有证书。

7.2 令牌管理

• 每个令牌归创建人所有，仅能看到自己的令牌及其最后使用时间、到期时间；
• 员工离职、助手停用、怀疑泄露时，立即在面板吊销令牌；
• 除标准 MCP 接口外，盒子还提供面向智能体间互操作的 A2A 接口，该通道仅开放只读检索能力。
• 管理员可通过工具白名单限制某类账号可调用的工具；默认不做限制。

7.3 上线前实测建议

• 用真实问题验证助手是否调用了文件检索工具，而不是仅凭自身知识作答；
• 验证涉密目录的内容不会出现在问答结果中；
• 验证「读取全文需审批」目录确实需要审批才能获取全文；
• 确认助手所在电脑与盒子网络连通（局域网或远程接入通道）。

8. 内容检索与索引管理

8.1 两种检索方式

• 按文件名检索：三档均支持。输入文件名、路径中的关键词即可；基础版下需对应电脑在线。
• 按内容描述搜索（大白话提问）：高级版及以上支持，例如「哪份资料讲过防雷接地要求」，无需记住文件名。

检索时可用范围限定：我的文件 / 某台电脑 / 某个人 / 全公司；也可用「上周」「最近三天」等自然时间说法。

8.2 支持的文件格式

内容解析支持以下常见办公与文本格式：

• Microsoft Office：.docx .doc .xlsx .xls .pptx .pdf
• OpenDocument：.odt .ods .odp
• 通用文本：.txt .md .csv .tsv .json .rtf .log .yaml .toml .ini .conf 等
• 常见源代码文件：.ts .js .go .py .java .c .cpp .sql .html .css .vue .xml 等

已知限制：

• WPS 私有格式 .wps .et .dps 不纳入内容索引（文件本身的汇聚与备份不受影响）；
• 旧版演示文稿 .ppt 不纳入内容索引；
• 含加密、密码保护的文档无法解析其内容。

无法解析内容的文件，仍可通过文件名检索找到。

8.3 索引维护

• 索引随汇聚自动增量建立与更新，无需管理员手工「重建」；
• 结构化抽取组件按队列批量处理新文档，短时间大量导入时排队属于正常现象；
• 新增、移除目录或调整密级后，权限变化即时生效；
• 若发现个别文档长期未被索引，先确认文件格式受支持、文件未加密、客户端在线并已完成汇聚；异常仍无法解决时，联系实施人员按运维手册排查。

8.4 文件在线预览

盒子提供办公文档在线预览（自动转换为 PDF 后展示）：

• 单个文件不超过 10 MB，转换超时约 60 秒；
• 转换串行执行、排队进行，高峰期请耐心等待；
• 预览转换组件未安装或异常时，自动降级为仅提供下载，不影响其他功能；
• 对 .ppt 及 WPS 格式的预览转换为尽力而为，失败时可下载原文件用本机软件打开。

9. 备份与历史版本

盒子提供两种互补的数据保护方式，均面向员工电脑上已登记的工作目录：

9.1 历史版本自动存档（高级版及以上）

• 员工保存文件后，变更自动汇聚并在盒子上形成可追溯的历史版本，短时间内连续保存会做防抖合并，避免产生无意义的碎片版本；
• 客户端重启后会自动重新核对一次全量目录，保证版本不丢；
• 需要时可在面板（或经授权的接口）查看历史版本并一键取回 / 回退；
• 该能力对应电脑侧的 git-backup 组件与盒子侧的 hub-git 组件。

9.2 目录快照备份

• 每日自动快照：可对每个工作目录单独开关，开启后每天自动生成一份整目录快照；
• 立即快照：管理员或目录所有者可随时手动触发，快照请求在对应电脑在线时串行执行；
• 快照采用分块去重存储（每块 4 MB、按内容校验），多台电脑、多次快照间相同内容只存一份，节省空间；
• 快照有成功 / 失败状态，失败原因在面板可见，失败请求会保留以便重试；
• 盒子每天凌晨 02:00–06:00 自动进行存储垃圾回收与空间整理，期间性能可能略有波动，属正常现象。

9.3 使用建议

• 重要共享目录同时开启历史版本与每日快照：前者便于找回单次改动，后者保证整目录可整体恢复；
• 大规模整改目录结构前，手动触发一次快照；
• 定期抽查快照是否成功，尤其关注长期不在线的电脑。

10. 许可（授权）管理

10.1 查看许可状态

「许可」页面显示：当前档位（基础版 / 高级版 / AI 增强版）、已授权功能、盒子序列号、到期时间、是否处于宽限期，以及最近一次校验时间。

许可与盒子硬件绑定（盒子身份指纹 + 序列号），复制到其他盒子无效。

10.2 导入许可

支持两种方式，均在「许可」页面由管理员操作：

• 在线激活：粘贴供应方提供的许可串，盒子联网到供应方平台自动换取本机许可文件并生效；
• 离线激活：内网隔离环境下，粘贴供应方根据盒子信息签发的离线激活码即可，全过程无需盒子联网。

导入后许可在下一校验周期自动生效（通常在一分钟内）。许可文件在盒子上的存放位置为 /etc/linkio/license.lic，由实施运维保管。

10.3 到期、宽限与降级

• 许可可设到期时间，也可签发永久许可；
• 时钟被人为回拨等异常情况会触发校验保护；许可刚过期的短时间内进入宽限期，功能暂不受影响，页面会提示尽快续期；
• 无有效许可或宽限期结束后，盒子降级为基础功能集：组网、权限审计、远程接入、文件名检索继续可用，文档汇聚、内容搜索、历史版本、AI 问答等授权功能关闭，数据不会被删除，重新导入有效许可后恢复。

10.4 续期与升级档位

• 到期前或需要升档（如高级版升级为 AI 增强版）时，联系供应方提供盒子序列号（及面板展示的身份信息）以签发新许可；
• 面板许可页提供在线开通入口链接（盒子能访问供应方平台时显示）；
• 通过整盘克隆方式新生产的盒子，首次开机完成身份初始化后必须重新导入许可，克隆不会复制许可。

11. 系统升级

• 盒子在能访问供应方平台时约每小时自动检查一次可用更新，「升级」页面展示当前版本、可更新版本与检查时间；管理员也可手动点击「立即检查」。
• 升级包分为盒子功能套件与整机固件两类，具体可更新项以页面展示为准。
• 离线升级：在隔离环境，管理员可从供应方获取升级包文件，通过升级页上传后执行，支持大文件分片上传。
• 所有升级包均经过数字签名校验，断网环境同样强制验签，无法安装来源不明的包；平台侧还可下发强制安全更新标记。
• 升级前建议：先确认近期快照成功、通知员工保存文件、避开集中使用时段。
• 若升级后出现异常需要回退，按《部署与运维手册》的升级回退章节处理。

12. 官方插件清单

盒子功能以官方插件形式装配，随升级包统一更新，管理员无需自行安装。以下为 V1.0 版本包含的官方组件：

组件风险等级分为普通、提权、较高三类：涉及读取本机文件、执行文档转换的组件需要更高的本机权限，安装客户端时系统会相应提示，属正常设计。

13. 安全管理建议清单

建议管理员将以下事项纳入日常制度：

1. 初始化即改密：首启向导使用强密码（长度 ≥ 8，混合字符），不要使用出厂占位口令；多人共管时各自建立独立管理员账号。
2. 最小权限原则：员工默认仅能访问授权目录；全员共享仅用于明确可以公开的资料；敏感目录开启全文读取审批。
3. AI 数据外流管控：涉密目录保持「关闭外发」或「仅本地模型」；外接模型密钥定期轮换；密钥只通过面板录入，不要写在聊天记录或文档中。
4. 令牌生命周期管理：接口令牌与注册令牌用毕即弃；定期检查令牌列表，吊销不明令牌；注册令牌短时效发放，不要提前批量生成。
5. 账号生命周期：入职及时建账号、组内授权；离职先禁用再清理；最后一个管理员账号务必保留。
6. 审计例行化：每周查看失败登录、被拒绝访问与异常工具调用；对外发文件审批记录定期复核。
7. 网络边界：盒子部署在内网，保持局域网内可访问即可，不要在客户路由器上为盒子做端口映射 / 开孔；外出访问统一使用盒子提供的安全远程接入方式。
8. 物理与控制台安全：HDMI 信息屏会显示盒子地址，设备应放置在受控机房；控制台维护口令由实施人员保管，不要贴在机身上。
9. 备份兜底：重要数据保留盒子之外的第二份备份（见部署手册备份策略）；许可文件与盒子序列号离线留档，便于故障换机。
10. 升级与时钟：保持在受支持版本上，及时安装带安全标记的更新；确保盒子时间准确（时间异常会影响许可校验与审计可信度）。

如操作中遇到本手册未覆盖的情况，请先核对许可档位与网络连通性，再联系供应方实施人员，并提供盒子序列号、面板截图与审计日志中的相关记录。