安全合规
企业级安全架构
对于企业组织而言，采用 AI 不仅仅是一个技术决策，更是一个安全决策。每一次模型查询、每一个上传的文档以及每一个自动化的工作流，都代表着需要被保护的数据。
Open WebUI 将安全性作为核心首要任务。无论您是面临严格的行业监管要求，还是仅仅致力于保护组织的知识产权，Open WebUI 都提供了安全控制，以帮助您充满信心地部署 AI。与任何自托管（Self-hosted）软件一样，部署组织负责保护其运行环境、基础设施和配置的安全。
安全架构
您的数据，您的基础设施
与数据需要经过第三方服务器的 SaaS AI 平台不同，Open WebUI 让您完全控制您自己的数据管道：
| 部署模式 | 描述 |
|---|---|
| 本地部署 (On-Premise) | 完全在您自己的数据中心内运行。默认情况下，您的数据保持在您的局域网络内部。 |
| 私有云部署 (Private Cloud) | 在您组织的云租户中（AWS, Azure, GCP）部署，具备完整的基础设施控制权。 |
| 物理隔离 (Air-Gapped) | 为具有最严格安全要求的环境提供完全的网络隔离。 |
| 混合部署 (Hybrid) | 兼顾访问便利性与安全边界的灵活配置。 |
对于处理敏感数据（无论是专属研究、客户信息还是机密材料）的组织，这种架构旨在帮助您保障整体的安全态势。
监管与合规注意事项
许多评估 AI 平台的组织都在 SOC 2、HIPAA、GDPR、FedRAMP 或 ISO 27001 等监管框架下运营。Open WebUI 的自托管、本地和物理隔离架构提供了技术控制手段，可作为合规部署的一部分：
- 自托管的数据管道：除非您明确配置了外部模型提供商，否则默认情况下您的数据将保留在您的基础设施内部。
- 身份集成：支持 SSO、LDAP、RBAC 以强制执行您的访问策略。
- 审计就绪的日志：容器原生的日志流，与企业级 SIEM 工具兼容。
- 数据驻留控制：您可以完全自主选择数据物理驻留的地理位置。
作为自托管软件，Open WebUI 在您的基础设施内进行部署和运营。合规性认证适用于您的具体部署，而不是软件本身。因为是由您来管理部署、配置、访问控制和运营保障，所以满足任何监管框架的责任仍由您的组织承担。本软件的使用受 Open WebUI 许可协议 的约束。
我们提供了通用最佳实践指南，参见 系统加固文档。购买相应级别服务的企业客户将获得有关部署和配置决策的现场技术支持。
身份与访问管理
与您现有的身份认证基础设施无缝集成，在维持安全边界的同时，能最大程度地减少使用摩擦。
企业级身份集成
Open WebUI 可以与您组织已经使用的身份系统进行深度集成：
- LDAP 与 Active Directory：直接连接到您现有的目录服务，用于用户身份验证和管理。
- 单点登录 (SSO)：支持 SAML 和 OIDC 协议，允许用户使用现有的公司凭证登录访问 Open WebUI。
- 多因素身份验证 (MFA)：在主身份验证之上提供额外的安全防护层。
访问控制与权限
除身份验证之外，Open WebUI 还提供了细粒度的用户权限控制：
- 基于角色的访问控制 (RBAC)：定义符合您组织架构的角色，以限制管理访问权限。
- 模型级权限：精细控制哪些用户或用户组可以访问特定的 AI 模型。
- 工作区隔离：对不同的团队或部门进行隔离，以协助防止未经授权的数据访问。
数据治理
审计与问责
对于受监管的行业和具有高度安全意识的组织，系统使用情况的可见性是必不可少的。Open WebUI 支持标准的企业级日志记录模式：
- 基础设施级日志记录：容器化的架构允许将标准输出流直接管道输送到您的日志基础设施中（如 Splunk, Datadog, ELK 等）。
- 事件跟踪：跟踪 API 使用情况和系统事件，以监控任何异常情况。
- 数据保留控制：因为您拥有数据库的所有权，因此您可以自主控制数据保留策略，从而可以根据您的合规计划清除或归档数据。
数据驻留
对于对地理数据存储 有要求的组织（无论是出于 GDPR、数据主权法还是内部政策的驱动），Open WebUI 的自托管部署模式旨在支持将您的数据物理存放在您政策所要求的地点。
这对您的组织意味着什么
针对安全团队
Open WebUI 公开可审计的代码库为您提供了极佳的可见性和控制力，它能与您现有的安全工具无缝集成，而不是产生安全盲区。
针对合规官
现有的技术控制措施可以强有力地支持您的合规态势。无论您是在准备合规审计还是回复安全问卷，Open WebUI 的架构都提供了强有力的技术保障来支持您的回应。
针对 IT 领导层
用户管理不会变成另一个孤立的系统。Open WebUI 可以与您现有的身份认证基础设施高度协同，减少管理开销，并有助于在您的所有工具中维护一致的访问策略。