本卡屬 FR-132（母卡 CM-2510），A.3 判定層第 8 張。依賴：T-3.4、T-3.6。建議 model：opus。

這張卡做什麼（白話）

前端「指派」「檢查存取」「部門隔離設定」三頁需要的後端 API：① 指派 CRUD——一筆＝誰 × 角色 × 範圍（租戶或部門）× 起訖；② 檢查存取——選一個人，列出他每個有效能力點來自哪個角色、哪條 pattern、哪個範圍、何時到期，結果必須與 API 實際放行逐項一致（吃同一個展開服務）；③ 部門隔離開關——開啟前先產預覽清單（每位使用者在每張表會少看到幾筆、誰會整張表空掉），確認後才寫入並記稽核事件。

在哪裡

~/Projects/Jedicogy/module/jedi-python-package/jedi-iam/jedi_iam/infra/models/user_role.py:20-84      user_roles（org_unit_id、scope、starts_at、ends_at 已存在，不改結構）
~/Projects/Jedicogy/module/jedi-python-package/jedi-iam/jedi_iam/api/routing.py      新增端點
docs/claude/memory/reference_audit_event_logging_pattern.md      稽核事件埋點 pattern
docs/features/FR-132-2610-access-management/inventory/a1-d12-tables.md      預覽要算的表

怎麼做

• 指派 CRUD：列表可依使用者／角色／部門三種入口篩選（前端三入口用）；寫入驗：範圍 tenant 時 org_unit_id 為空、org_unit 時必填且屬同租戶、starts_at ≤ ends_at（皆可空＝立即生效、永不到期）。回傳含 created_user_name 等暱稱（審計欄位規範）。權限 iam.role-assignment.*（以 T-1.6 為準）。寫入後清該使用者相關快取（指派不進 Redis，但 flask.g 不受影響，確認無殘留）。
• 檢查存取：輸入 user_id，輸出每個能力點 {name, display_name, sources:[{role, pattern, scope, org_unit_name, ends_at}]}，另標 super_admin、is_admin、平台管理員三種豁免；開了隔離時加「看得到哪些部門」。必須呼叫 T-3.3／T-3.4 的同一個函式，不另寫一套。
• 隔離預覽：對每張挑選表、每位使用者，算開啟前後可見筆數差（可用 cmmgr 身分以 SQL 模擬 policy 條件計數，不必真切身分）；回傳每人每表少看筆數與「整表變空」名單。只有系統管理員能呼叫。
• 隔離切換：開啟必須帶上預覽回傳的確認 token（防止未看預覽就開）；寫入 tenants.org_unit_isolation 並記稽核事件；關閉不需預覽也記事件。
• Route 層不碰 DB；權限檢查在 service 層；error code 照規則並同步 FE i18n。

要寫測試

• 檢查存取對 3 個 DEV 帳號，逐能力點與 require_capability 實際結果比對一致。
• 未帶確認 token 開啟 → 400。
• 非系統管理員呼叫預覽 → 403。
• 指派起訖倒置 → 400。

驗收條件

• 檢查存取回傳與判定放行逐項一致；預覽清單在 DEV 跑得出每人每表少看筆數。

手測

• DEV：curl 建一筆部門指派＋明天到期，檢查存取看得到來源與到期日。