火山引擎联网问答IAM权限分配实现子账号使用

子账号需主账号授予IAM只读权限才能通过联网问答访问IAM资源，可选系统策略IAMReadOnlyAccess或自定义最小化策略，且必须启用控制台访问并设置密码。

要在火山引擎中让子账号能通过联网问答功能访问 IAM 相关资源，必须由主账号为其精确分配对应权限策略，否则子账号登录后将看不到 IAM 控制台入口或无法执行用户管理、策略查看等操作。

确认子账号已创建并启用控制台访问

使用主账号登录火山引擎访问控制（IAM）控制台→在左侧导航栏单击「用户」→找到目标子用户→检查其「登录设置」中是否已启用「控制台访问」并设置了有效密码。

若该子用户仅配置了编程访问（AK/SK），则无法直接登录 IAM 控制台，必须额外勾选「控制台访问」并设置密码才能进行可视化权限操作。

为子账号授予 IAM 管理所需的核心权限

子账号默认没有任何权限。要使其能正常使用联网问答中涉及的 IAM 功能（如查看用户列表、读取策略内容、查看权限绑定关系），至少需授予以下两类权限之一：

方法一：附加系统预设策略 IAMReadOnlyAccess
在子用户详情页 →「权限」页签 →「添加权限」→搜索框输入 IAMReadOnlyAccess →勾选该策略 →单击「确定」。此策略允许子账号查看所有 IAM 资源，但不可修改。

方法二：自定义最小化只读策略（推荐用于敏感场景）
进入「策略管理」→「新建策略」→策略名称填 IAM-QueryOnly →策略内容粘贴如下 JSON：

{ "Statement": [ { "Effect": "允许", "Action": [ "iam:GetUser", "iam:ListUsers", "iam:ListPolicies", "iam:ListAttachedUserPolicies", "iam:GetPolicy", "iam:GetPolicyVersion" ], "Resource": "*" } ] }

保存后回到子用户权限页，添加该自定义策略。此策略严格限制仅可查询，不包含任何写操作，避免误删或越权暴露密钥信息。

验证子账号能否正常访问 IAM 控制台并执行查询

第一步：使用子账号凭据登录火山引擎正式平台，在登录页面选择「IAM子用户登录」，然后输入用户名和密码。
第二步：成功登录后，在顶部搜索栏中输入「IAM」，或者进入「产品与服务中心」，找到「访问控制（IAM）」并点击进入。
第三步：在IAM控制台的左侧导航栏中，确认可以展开「用户」「策略管理」「权限」等菜单项。点击「用户」，应能列出当前账号下的所有子用户（包括自己）。点击任意用户，可查看其权限绑定状态。