账号体系是什么

云平台的账号体系把「资源所有权」和「日常操作者」拆开：主账号完成实名认证、是账单与资源的最终所有者，子账号由主账号创建并授权、承担具体运维。授权模型普遍是「策略 + 资源 + 操作」三元组，再配合资源组、标签或项目收敛可见范围。三厂叫法不同：阿里云是主账号与 RAM 用户，腾讯云是主账号与子用户（旧称协作者），华为云是账号与 IAM 用户。

基本信息

典型使用场景

• 新员工入职：按岗位建子账号并绑定预设策略，离职即禁用，避免账号共用
• 程序化访问：给 CI/CD 与业务程序建专用用户，只授相关云产品权限
• 临时授权：用角色加 STS 临时凭证代替长期密钥，到期自动失效
• 多业务线隔离：通过资源目录按业务开多账号，账单与资源天然分账
• 审计追责：操作审计记录到具体子账号，出问题能定位到人

账号角色与建议

只读策略片段

# 只读策略示例：允许查询 ECS 与 VPC，不允许任何变更
{
  "Version": "1",
  "Statement": [
    {"Effect": "Allow", "Action": ["ecs:Describe*", "vpc:Describe*"], "Resource": ["*"]}
  ]
}