主账号如何给子账号授权？

一、授权核心概念与准备

1. 策略类型：
   • 系统预设策略：腾讯云官方提供，如QcloudCDNReadOnlyAccess（CDN 只读）、QcloudCollApiKeyManageAccess（密钥自助管理），适合快速授权腾讯云
   • 自定义策略：按需组合权限，适合精细化管控（如仅允许查询特定 CDN 域名）Tencent Cloud
2. 授权原则：
   • 最小权限：仅授予子账号完成工作必需的权限，避免权限过大
   • 明确范围：指定资源（如 CDN 域名）、操作（如 DescribeCdnRefreshTasks）
   • 可审计：授权操作全程记录在 CAM 日志，便于追溯腾讯云
3. 准备工作：
   • 主账号登录凭证
   • 目标子账号用户名 / UIN
   • 明确子账号所需权限清单（如 CDN 查询 + 密钥自助管理）

二、场景一：快速授权（系统预设策略，推荐 CDN 场景）

步骤 1：进入子账号管理页

1. 主账号登录腾讯云控制台，访问CAM 用户列表
2. 找到目标子账号（如cdn-operator），点击用户名进入详情页，或直接点击右侧授权按钮

步骤 2：关联预设策略

1. 子账号详情页 → 切换至权限标签 → 点击添加权限
2. 在策略列表中，搜索并勾选：
   • QcloudCollApiKeyManageAccess（必需，子账号自助管理密钥）
   • QcloudCDNReadOnlyAccess（CDN 业务必需，只读查询）
3. 点击下一步 → 完成，权限即时生效

步骤 3：验证授权结果

1. 子账号重新登录控制台，访问API 密钥管理页，确认能看到 “新建密钥” 按钮
2. 子账号调用 CDN API（如 DescribeCdnRefreshTasks），验证返回 200 正常结果

三、场景二：精细化授权（自定义策略，适配特殊需求）

步骤 1：创建自定义 CDN 查询策略

1. 主账号访问CAM 策略管理 → 点击新建自定义策略
2. 选择按策略生成器创建（可视化操作，降低出错）腾讯云
3. 配置策略：
   表格

   配置项	内容	说明
   效果	允许	授予权限
   服务	内容分发网络 (CDN)	限定 CDN 产品
   操作	DescribeCdnRefreshTasks	仅允许查询预热任务
   资源	qcs::cdn:::domain/xxx.com	指定可访问的 CDN 域名（多个用逗号分隔）
4. 输入策略名称（如CDN-Refresh-Task-Query）→ 点击完成保存策略

步骤 2：关联自定义策略到子账号

1. 返回用户列表 → 子账号详情页 → 权限 → 添加权限
2. 切换至自定义策略标签 → 勾选刚创建的CDN-Refresh-Task-Query
3. 同时勾选QcloudCollApiKeyManageAccess（密钥自助管理）→ 完成授权

四、场景三：批量授权（用户组，适合多子账号统一管理）

步骤 1：创建用户组并添加成员

1. CAM 控制台 → 用户组 → 新建用户组（如cdn-team）
2. 进入用户组 → 添加用户 → 勾选目标子账号 → 确定

步骤 2：给用户组授权

1. 用户组详情页 → 权限 → 添加权限
2. 勾选QcloudCollApiKeyManageAccess和QcloudCDNReadOnlyAccess → 完成
3. 后续新增子账号只需加入该组，自动继承权限，简化管理

五、子账号自助密钥管理的关键授权（必配）

1. 子账号详情页 → 权限 → 添加权限
2. 搜索并勾选QcloudCollApiKeyManageAccess → 完成
3. 该策略允许子账号执行：创建 / 禁用 / 删除自身 API 密钥，无法管理其他子账号腾讯云

六、授权管理与安全最佳实践

1. 权限验证清单（主账号视角）

2. 授权安全规范（生产环境必执行）

七、常见授权问题与解决方案

1. 子账号看不到 “新建密钥” 按钮（权限不足）

• 原因：未授予QcloudCollApiKeyManageAccess权限
• 解决：主账号按场景一的步骤，给子账号添加该策略，刷新页面后重试腾讯云

2. 子账号调用 CDN API 提示 “权限不足”

• 排查步骤：
  1. 确认子账号已关联QcloudCDNReadOnlyAccess策略
  2. 检查策略是否限制了资源（如仅授权特定域名）
  3. 验证 API 调用参数中的域名是否在授权范围内
  4. 重新授权并等待 5 分钟（权限生效可能有延迟）

3. 自定义策略配置错误导致权限异常

• 解决：
  1. 使用策略生成器重新创建，避免语法错误
  2. 参考腾讯云 CDN 权限文档配置标准权限
  3. 先在测试子账号验证策略有效性，再应用到生产环境

八、快速操作清单（主账号一键核对）