腾讯云国际 CAM 子账号权限收敛：从全读全写到最小权限

用主账号做日常运维，是云上最常见也最容易被忽视的风险。主账号拥有全部权限且无法被限制，一旦凭据泄露，攻击者能做的事没有边界。腾讯云国际的 CAM 提供了子账号与策略机制，把权限收敛下来并不复杂，难的是把范围划得恰当。

主账号应该退出日常操作

主账号的定位是所有权凭证，用于账号级设置、账单、以及创建第一批管理身份。它不应该出现在日常登录、脚本调用和 CI 流程里。

第一步是为自己创建一个具备管理权限的子账号，用它接手日常管理工作，主账号随后只在必要时使用，并开启双因子验证。这一步做完，即使日常使用的凭据泄露，也还有一个不受影响的最高权限入口用来止损。

按职责拆分，而不是按人拆分

权限设计的常见错误是按人分配：给每个同事一个子账号，然后把他"可能用到"的权限都加上。随着时间推移，权限只增不减，最终每个人都接近管理员。

更可维护的做法是先定义职责，再把职责对应的权限固定下来，人按职责归入。典型的职责划分包括：只需要看监控和日志的观察者、负责部署和重启应用的运维、负责对象存储内容的内容管理者、负责账单的财务。

这样做的好处是权限变更有明确依据。有人换岗，改的是归属而不是逐条权限；需要新增能力，讨论的是这个职责该不该有，而不是某个人想不想要。

从窄到宽，而不是从宽到窄

收敛权限时，从全权限往下删几乎不可能收敛到位，因为没人清楚哪条能删。反过来从最小集合开始，遇到不足再补，路径清晰得多。

实践中可以让使用者先在受限权限下操作，把遇到的拒绝逐条记录下来，再判断每一条是否确实必要。这个过程通常会暴露出一批"以为需要其实不需要"的权限。

补权限时优先限定资源范围，而不是直接放开整类操作。只需要管理某几个存储桶，就把范围限定到这几个；只需要操作特定地域的实例，就限定地域。范围限定比操作限定更能降低风险，因为它约束的是影响面。

只读权限也不是零风险

给出只读权限时容易放松警惕，但读取本身可能泄露敏感信息。配置详情里可能包含内网结构，某些资源的元数据可能间接暴露凭据线索，日志里可能有业务数据。

所以只读也应当限定范围。让财务只读账单，不必让他能读到全部资源配置；让外部协作方只读特定项目的资源，不必让他看到整个账号的资产清单。

密钥比密码更危险

控制台密码泄露还有登录验证、异地提醒等环节可能拦一道，而 API 密钥是直接可用的凭据，泄露后往往在无声中被利用。

几条基本要求：不要为主账号创建长期密钥；密钥只发给确实需要程序化访问的身份；不把密钥写进代码仓库、镜像、前端产物或日志；定期轮换，轮换时先新建再切换再删旧，避免中断；不再使用的密钥立即删除而不是留着"以防万一"。

如果怀疑密钥已泄露，处理顺序是先禁用或删除该密钥，再检查这段时间的操作记录，最后排查是否有新建的身份、策略或资源被留下作为后门。只删密钥不查后门，往往会被二次利用。

用操作记录做定期核对

权限设计完成后需要持续核对，否则会随时间腐化。可以定期回顾三件事：有没有长期未使用的子账号和密钥，可以直接清理；有没有身份实际使用的权限远小于其拥有的权限，可以收窄；有没有短时间内出现异常操作，比如集中创建资源、批量修改权限、在陌生地域活动。

审计不需要复杂工具，关键是形成固定节奏，并且在发现偏差时真的去改。

一份可以直接套用的职责划分

以一个小团队为例，可以先建立四类身份，覆盖大部分日常需要。

管理身份用于账号与权限管理，具备较大权限，但不用于日常业务操作，且必须开启双因子。人数控制在最少。

运维身份用于部署和处理故障，需要操作服务器、查看监控和日志的权限，但不需要修改权限策略、不需要动账单、不需要删除数据库实例这类高危能力。

开发身份用于查看运行状态和排查问题，以只读为主，加上必要的日志查询权限。需要临时提权时走申请流程，而不是长期持有。

财务身份只看账单和用量，不接触资源配置。

这四类覆盖之后，再按实际需要增补，而不是一开始就设计十几种角色。角色过多会导致没人清楚每种角色到底能做什么，最终又退化成给所有人加大权限。

程序化访问单独建身份

给应用和脚本使用的凭据，应当独立于人使用的身份。这样做有三个好处。

一是权限可以收得更窄。一个应用通常只需要访问特定资源的特定操作，比这个应用的开发者需要的权限小得多。

二是轮换互不影响。轮换应用的密钥不会影响人的登录，反之也一样。

三是排查更清楚。操作日志里能直接区分是人做的还是程序做的，出问题时定位范围小很多。

一个常见的错误做法是把开发者自己的密钥配进应用里。这样一旦这个人离职或权限调整，应用会突然失效；而如果为了避免失效而保留他的权限，权限治理就形同虚设。

腾讯云国际和阿里云国际商品当前开放；AWS 与 Google Cloud 商品目前未开放，本文不提供相关导流。策略语法、可用权限点与审计能力均以对应国际站控制台实时信息为准。

官方来源

常见问题

如何开通并登录该国际云账号？

先确认使用的是国际站而非中国站。可按本文步骤办理；也可通过申请账号开通并用 USDT-TRC20 支付订单。交付后请立即开启 MFA，并核对账号邮箱与 UID。

国际站账号和中国站账号能通用吗？

通常不能。国际站与中国站多为独立账号体系，控制台、结算与产品权限不互通，请使用对应站点的登录入口，避免串站导致无法登录或资源不可见。

没有海外信用卡能否完成开通或充值？

可以走平台支持的 USDT-TRC20 订单支付与自助充值。支付时务必按订单显示的精确金额转账，并在区块链浏览器确认网络、地址与状态。