Dante Domain Manager 權限與角色：安全存取規劃
閱讀約 8 分鐘 · 更新於 2026年10月8日 · 場館技術經理、AV 網路管理員、系統整合商、廣播工程師、FOH 與監聽工程師、製作經理、巡演經理，以及 IT 資安團隊
為 Dante Domain Manager 設計最小權限存取：分離站點管理、域管理、媒體路由與唯讀檢視，規劃交接、稽核、緊急存取與驗證步驟。
TL;DR — Dante Domain Manager 的存取應該依照工作職責、域範圍與時間窗口來設定，而不是以便利性為主。請將站點層級管理、域管理、媒體路由與唯讀檢視分開；每位使用者只給完成任務所需的最低角色；並在正式演出前先在 Dante Controller 驗證帳號。記錄誰可以註冊設備、變更時鐘、建立訂閱，或只能檢視狀態。緊急存取也要受控，變更後要檢查日誌，臨時權限在交接結束後要移除。
存取控制保護的是不同邊界，不是 Device Lock
Dante Domain Manager（DDM）會驗證使用者身分，並控制他們在受管理域中可以看到或變更的內容。它可以把組織層級管理、域設定、媒體控制與唯讀觀察分開。使用者在不同域中也可能擁有不同的存取權限。
這和 Dante Device Lock 不一樣。Device Lock 會用 PIN 把單一受支援設備的設定變成唯讀。DDM 角色則是定義經過驗證的使用者在受管理設備與域之間可執行哪些權限。製作設計可以同時使用兩者，但每一種都需要各自的負責人與復原計畫。
| 存取邊界 | 應該回答的問題 | 範例證據 |
|---|---|---|
| 身分 | 是誰在操作？ | 個人帳號，而不是共享的主控台登入 |
| 域範圍 | 他們可以看到哪些系統？ | 指派的場館、房間、巡演車、錄音室或演出域 |
| 權限 | 他們可以執行哪些動作？ | 檢視、路由媒體、管理設備或管理站點 |
| 時間 | 需要多久的存取？ | 巡演日、維護窗口、聘用期間或供應商合約期間 |
| 稽核 | 誰在什麼時候改了什麼？ | 與核准變更記錄連結的使用者動作日誌 |
角色名稱與權限標籤可能會因 DDM 版本而不同。請使用已安裝版本實際顯示的角色，並確認精確的權限定義，不要只因為標題名稱就假設某個動作一定可做。
從四種營運責任開始規劃
目前的 DDM 版本通常提供預設角色，大致區分站點控制、域控制、媒體控制與唯讀存取；也可能支援自訂角色。舊版文件可能使用 administrator、operator、user 或 guest 這類術語。請先把已安裝版本的標籤對應到實際動作，再撰寫交接內容。
| 責任 | 典型範圍 | 需要評估的動作 |
|---|---|---|
| 站點管理 | 整個 DDM 執行個體 | 系統設定、域、使用者、角色與全域復原 |
| 域管理 | 指派的域 | 註冊設備、管理域設定、韌體、時鐘與媒體 |
| 媒體操作 | 指派的域 | 檢視設備，以及建立或移除允許的訂閱 |
| 唯讀檢視 | 指派的域 | 檢視設備、路由、時鐘與健康狀態，但不變更狀態 |
不要為了解決單一路由任務就把站點層級控制權全部開放。反過來，也不要給客座工程師唯讀權限，卻在彩排調音時發現核准的工作其實需要建立訂閱。
在新增使用者之前先建立存取矩陣
請列出實際任務，而不是職稱。某場館的「系統工程師」可能負責註冊與時鐘；另一個場館則可能由 IT 或常駐整合商負責這些工作。
| 任務 | 巡演工程師 | 場館音訊主管 | AV 網路管理員 | 觀察者 |
|---|---|---|---|---|
| 檢視設備與路由狀態 | 通常需要 | 需要 | 需要 | 可選 |
| 建立或移除訂閱 | 依演出而定 | 通常需要 | 依政策而定 | 否 |
| 變更延遲或取樣頻率 | 僅限核准窗口 | 僅限核准窗口 | 依政策而定 | 否 |
| 註冊或取消註冊設備 | 很少 | 有時 | 通常由其負責 | 否 |
| 變更域時鐘 | 很少 | 具系統授權時 | 通常由其負責 | 否 |
| 建立使用者、域或角色 | 否 | 很少 | 僅站點擁有者 | 否 |
把這張矩陣轉成每個域的明確指派。如果某個使用者需要在舞台域中擁有媒體控制權，但在廣播域只需要檢視權限，就應該分開設定這些邊界，而不是把所有預設角色一律調高。
使用預設角色時要特別小心
預設角色可以套用到沒有特別覆寫的域。這對常駐管理員很方便，但對承包商或巡演帳號來說風險很高：新建立的域可能會繼承到超出預期的權限。
對於受限使用者，請優先使用明確的逐域指派與保守的預設值。確認已安裝版本中的 None 或等效設定到底代表什麼；它可能會讓使用者完全看不到該域，而唯讀則代表可看到但不能變更。
請檢查以下繼承情境：
- 在建立使用者帳號之後又新增了一個域；
- 使用者從一個團隊或場館轉到另一個；
- 臨時演出域變成永久系統；
- 自訂角色新增了一項新權限；
- 身分提供者群組成員發生變動；
- 工作結束後舊帳號仍然保持啟用。
為客座工程師建立受控流程
1. 定義任務與時間窗口
說清楚哪些域、哪些訂閱、哪些設備，以及哪些演出日期在範圍內。決定客座工程師是只需要檢視、需要路由媒體，還是必須由場館人員代為執行受保護的變更。
2. 使用個人身分
建立或聯邦化一個可以識別操作者的帳號。避免使用共享的「guest」密碼，因為那會削弱稽核證據，也讓撤銷責任變得不清楚。請沿用組織既有的密碼與身分提供者政策。
3. 指派最低限度的域角色
只授予完成約定任務所需的域與權限。除非製作計畫明確移轉責任，否則設備註冊、時鐘、韌體、使用者管理與站點設定都應維持在既有負責人手上。
4. 在實際的 Controller 工作站上測試
登入 Dante Controller，選取每個預定域，並確認該帳號可以看到正確的設備。對每一項必要動作做安全測試，並確認不允許的動作確實無法執行。只有在真實客戶端工作流程驗證完成後，角色設定才算通過。
5. 關閉存取窗口
演出或供應商任務結束後，請檢查動作日誌、記錄已接受的狀態，並移除或降低臨時權限。不要因為對方「可能下季還會來」就保留升級權限。
將敏感變更與日常路由分開
變更訂閱在營運上與註冊設備、變更時鐘、升級韌體或編輯使用者角色並不相同。請把這些權限分離，避免日常工作在不知不覺中擴大成基礎架構管理。
以下動作應使用核准的變更窗口：
- 註冊、取消註冊或遺忘設備；
- 將設備移到另一個域；
- 變更 boundary-clock 或外部同步設定；
- 修改取樣頻率、延遲、備援或網路設定；
- 升級設備韌體；
- 建立或修改角色與驗證設定。
在任何高影響動作之前，先保存已知良好的路由與設備狀態。 Dante Controller 預設集指南 說明了如何做範圍化的設定擷取與回復；韌體更新指南 則涵蓋版本與復原證據。
驗證稽核與緊急復原
DDM 會記錄系統事件與使用者動作，用於監控與稽核。請確認組織使用的保留期限、匯出方式、時間同步與檢閱流程。只有當時間戳、身分、域與變更記錄能互相對應時，日誌才真正有用。
請規劃緊急存取，但不要讓它變成日常存取：
- 指定最高權限帳號的擁有者；
- 將復原資料存放在受控的憑證儲存區；
- 使用時必須有事件或維護理由；
- 在與演出關鍵的事件前先測試復原；
- 之後要輪替或撤銷臨時密鑰；
- 檢查緊急存取期間執行的每一個動作。
不要把密碼、復原秘密或 Device Lock PIN 放進公開的技術需求清單。技術需求清單應該標明憑證擁有者、升級路徑、存取窗口與核准的溝通管道。
在變更角色之前先診斷權限症狀
| 症狀 | 可能的邊界 | 安全的下一步檢查 |
|---|---|---|
| 看不到域 | 沒有域指派、明確的 None，或登入帳號錯誤 | 確認身分、所選伺服器與逐域指派 |
| 看得到設備但控制已停用 | 唯讀角色或缺少權限 | 將任務與已安裝角色細節比對 |
| 可以路由但不能註冊 | 只有媒體權限，沒有設備管理權限 | 先交給域擁有者，不要擴大站點存取 |
| 其中一個域可用，另一個不可用 | 每個域的角色不同 | 檢查每一項明確指派與預設角色繼承 |
| 變更無法歸屬 | 共享身分或稽核流程不完整 | 停止共享使用並恢復個人責任歸屬 |
不要用指派最高角色來解決每一個存取錯誤。先找出真正缺少的動作，確認那是使用者工作職責的一部分，再給予最狹窄且合適的權限。
角色與權限檢查清單
- 每個帳號都屬於可識別的人員或受控服務。
- 每一項製作任務都對應到所需權限。
- 域範圍是明確的；預設角色繼承已經檢視。
- 站點、域、媒體與唯讀責任已分開。
- 臨時使用者有開始、檢查與移除條件。
- 已在實際 Dante Controller 登入並測試必要動作。
- 高影響變更需要核准窗口與指定負責人。
- 稽核時間戳與使用者動作可以對應到變更記錄。
- 緊急存取是受控的、已測試的，並在使用後檢查。
- 憑證保留在憑證儲存區中，而不是公開的製作文件裡。
FAQ
Dante Domain Manager 裡有哪些角色？
目前版本大致區分站點控制、域控制、媒體控制與唯讀存取，並且可能支援自訂角色。不同版本的名稱會不同，因此請以已安裝 DDM 實際顯示的權限為準。
Dante 使用者可以在不同域有不同權限嗎？
可以。使用者可以依每個域分別指派不同角色。這讓工程師可以在一個系統中控制媒體、在另一個系統中只做檢視，並對無關域完全沒有存取權限。
為什麼使用者看得到 Dante 設備卻不能改路由？
該帳號可能只有唯讀權限，或在那個域中缺少媒體路由權限。請先確認目前選取的域與已安裝角色細節，再修改指派。
我應該怎麼讓客座工程師存取 Dante？
使用個人帳號，把範圍限制在所需的域與演出窗口，給予完成約定工作所需的最低角色，在實際的 Controller 工作站上測試，然後檢查日誌並移除臨時存取。
Dante Domain Manager 會保留稽核紀錄嗎？
DDM 會記錄系統事件與使用者動作，用於監控與稽核。不過組織仍必須定義保留、時間同步、檢閱、匯出與升級處理方式，這樣紀錄才會真正有用。
在製作交接中明確記錄存取責任
請在 Techrider.live 中記錄域範圍、角色指派、允許的任務、受保護的變更、憑證擁有者、存取窗口、稽核檢查與升級路徑。邀請場館與巡演負責人一起編輯同一份技術需求清單，保存已核准的存取計畫，並在責任變動時檢視歷史紀錄。