访问令牌的角色决定自动化可以对已授权目标做什么，但角色不会扩大目标范围。一个单条 Item 的 manager 仍然不能读取同 Vault 的其他 Item；一个 Vault 的 viewer 也不能写入内容。

viewer：只读取目标

viewer 可以同步和解密被授权 Vault 或 Item 的内容、附件及必要历史，但不能推送修改、上传附件或管理访问权限。

适合备份校验、只读部署变量、监控检查和不需要回写的报表任务。创建令牌时若不确定需要什么，从 viewer 开始最稳妥。

editor：读取并修改内容

editor 在 viewer 基础上可以创建或修改目标范围内的 Item，并处理回收、恢复、删除和附件写入。授权整个 Vault 时，它可以操作 Vault 内的多个 Item；授权单条 Item 时，只能更新该 Item，不能借机创建同 Vault 的其他内容。

适合需要轮换凭据、写回生成值或维护特定配置的任务。自动化写入应保留稳定的幂等标识和审计信息，避免失败重试产生重复变更。

manager：管理目标访问权限

manager 额外允许管理目标 Vault 或 Item 的成员、邀请和角色。它仍然不能管理账户、创建其他 PAT、进入部署 Admin，或绕过目标范围读取其他数据。

只有专门负责权限编排的自动化才需要 manager。普通 CI 发布任务几乎不应使用这一角色，因为“能读取部署密码”与“能改变谁可以读取部署密码”是两种完全不同的职责。

用任务动作反推角色

自动化任务 推荐角色
读取一项部署凭据 Item viewer
读取某服务的一组配置 专用 Vault viewer
定期生成并写回新密码 对应 Item editor
批量维护专用 Vault 内容 Vault editor
自动审批或调整目标授权 谨慎使用 manager

不要为了“以后可能需要”提前授予 editor 或 manager。遇到权限拒绝时，先核对程序是否真的需要该动作，再由用户在 Web App 中明确提高角色。权限变化应该是一次可解释的决定，而不是错误重试脚本自动完成的升级。