CAM 是什么
CAM（Cloud Access Management）是腾讯云的访问控制服务，用来管理子用户、协作者、用户组、角色与策略，从而决定账号内每个身份能操作哪些云资源。与只用一个人一个账号相比，CAM 的核心价值是可追溯与可回收：每次调用都能定位到具体子用户或角色。
基本信息
| 核心对象 | 子用户、协作者、用户组、角色、策略 |
|---|---|
| 策略语法 | JSON 文档，含版本字段与允许或拒绝的效果声明 |
| 登录差异 | 子用户走子用户登录页；协作者以自有账号身份被邀请进来 |
| 授权粒度 | 可限定到产品、动作与具体资源，也可按标签批量授权 |
| 默认行为 | 未授权的操作默认拒绝，策略需要显式允许 |
| 审计联动 | 调用记录关联到具体子用户或角色，便于追责 |
身份对象的差别
| 对象 | 身份归属 | 适用场景 |
|---|---|---|
| 子用户 | 完全属于当前账号 | 内部员工与自动化系统 |
| 协作者 | 属于对方自己的账号体系 | 外部合作方，权限与费用规则不同 |
| 用户组 | 账号内的身份集合 | 按岗位批量授权 |
| 角色 | 可被扮演的权限集合 | 跨账号访问与云服务免密调用 |
典型使用场景
- 按团队隔离：为研发、运维、财务各建用户组并绑定对应策略
- 按环境隔离：用标签授权把测试环境资源限定给测试账号
- 对外协作：给第三方开通协作者身份并限定到具体资源
- 程序访问：为自动化脚本建专用子用户，便于单独禁用密钥
- 突发授权：临时开通权限，事后移除并留痕
常用命令
常用命令
tccli cam AddUser --Name dev-zhang --Remark 开发账号 # 创建子用户
tccli cam ListUsers # 列出子用户
tccli cam ListGroups # 列出用户组
tccli cam ListAccessKeys --TargetUin 100000000001 # 查看某子用户的密钥
tccli cam ListPolicies --Scope All # 查看可用策略清单腾讯云支持按标签做资源范围的批量授权，适合按项目或环境隔离：给资源打上统一标签，再在策略里按标签限定范围，比逐个资源列举更易维护，新增资源只要打上标签就自动纳入授权范围。