为什么一个用户组至少需要一位 Owner

如果所有用户组都只能由部署 Admin 管理，小团队尚可接受，大企业很快会把日常成员调整变成管理瓶颈。xypass 允许普通用户创建 Group，并在自己是 Owner 的范围内维护它。

Owner 能做什么

Owner 可以修改组名、添加或移除成员、增加其他 Owner，并在满足约束时删除 Group。这些权限只作用于当前 Group，不会让他自动成为企业管理员，也不会获得所有 Vault 的访问权。

为什么支持多个 Owner

单一 Owner 休假、离职或账号被暂停时，组可能无人维护。多个 Owner 可以分担职责，并为人员变化提供接管路径。系统必须阻止删除最后一位有效 Owner，除非同时完成删除 Group 或转移所有权。

Admin 仍然保留治理能力

企业管理员可以查看全部 Groups、处理异常归属和执行最终治理，但不必参与每次日常成员调整。关键动作进入审计记录，便于确认是谁在什么时候改变了成员或 Owner。

例如，研发组的两位负责人可以自行维护研发成员；企业管理员只在负责人全部离职或小组失去管理者时介入。部署管理员维护整套服务，企业管理员维护 Organization，Group Owner 维护小组，Vault 角色再决定具体密码访问。