资源级授权.md

操作场景

该任务指导您使用主账号给子账号进行资源级授权，得到权限的子账号可以获得对某个资源的控制能力。

操作前提

1、拥有腾讯云主账号，且已经开通腾讯云访问管理服务。

2、主账号下至少有一个子账号。

3、至少拥有一个微服务引擎实例。

操作步骤

一、授予 tse_PassRole 策略

要将角色（及其许可策略）传递至 TSE 服务，用户必须具有传递角色至服务的许可，即创建 tse_PassRole 策略，详细操作如下。

新建 tse_PassRole 策略

1、使用主账号登录 访问管理控制台。 2、在左侧导航栏，单击策略，进入策略管理列表页。 3、单击新建自定义策略。 4、在选择创建策略方式的弹出框中，单击按策略语法创建，进入按策略语法创建页。 5、在 按策略语法创建页 中，选择空白模板，并单击下一步。 6、填写策略名和内容，并单击创建策略。 使用主账号或具有管理权限的子账号创建如下自定义策略，策略语法如下：

::: json { "version": "2.0", "statement": { "effect": "allow", "action": [ "cam:PassRole", "cam:GetRole" ], "resource": "qcs::cam:::roleName/TSE_QCSRole" } } :::

将 tse_PassRole 策略绑定到用户

1、在左侧导航栏，单击用户>用户列表，进入用户管理页面。

2、选择要授予 TSE 使用权限的用户，单击操作列的授权。

3、从策略列表中筛选出tse_PassRole策略。

4、单击确定，绑定策略。该策略会显示在用户的策略列表中。

二、TSE资源授权给子账号

您可通过访问管理控制台的策略功能，将主账号拥有的TSE资源授权给子账号，详细操作如下。

获取TSE引擎实例ID

1、进入微服务引擎控制台，选择已有的引擎实例并点击进入详情页。

2、在基本信息中，字段ID即为当前TSE引擎的实例ID。

新建授权策略

1、进入访问管理控制台，点击左侧导航栏的策略。

2、点击「新建自定义策略」。

3、选择按「策略生成器创建」。

4、在可视化策略生成器中，保持「效果」为「允许」，在「服务」中输入tse进行筛选，在结果中选择「腾讯云微服务引擎（TSE）」。

5、在「操作」中选择「全部操作」，您也可以根据自己的需要选择操作类型。

6、在「资源」中选择「特定资源」，并点击添加资源六段式。

7、在弹出的侧边对话框中的「资源」中，填入TSE引擎实例ID，查看如何获取TSE引擎实例ID。

8、点击下一步，按需填写策略名称。

9、点击选择用户或选择用户组，可选择需要授予资源权限的用户或用户组。

10、点击「完成」，授予资源权限的子账号就拥有了访问相关资源的能力。