点击右上角“添加/管理子账号”，在身份中心点击“新建用户”创建员工账号；员工保持“内部”类型，不加入 system-admin 或 authentik Admins 管理员组。

打开该子账号的“组”标签，分配所需 app-* 业务组。加入“允许自行修改密码”组即允许本人改密码；不加入或移出该组即禁止。业务权限和改密码权限互相独立。

主账号始终可以修改自己的密码，也可以在身份中心为子账号重设密码。门户不收集或保存明文密码。