随着业务发展，一个腾讯云账号下往往会有好几个 COS 存储桶：官网静态资源、用户上传文件、日志归档、数据库备份。如果给负责官网的同事授予了 COS 的完全访问权限，他就能看到甚至删除备份桶里的文件。腾旭云介绍一种按存储桶授权的思路，让子用户只接触到自己负责的那一个桶。
预设策略为什么不够用
COS 的预设策略通常面向整个产品，例如只读访问全部存储桶、完全访问全部存储桶。它们使用方便，但范围往往大于实际需要。当账号中存在多个用途不同的存储桶时，就需要通过自定义策略，把资源范围收窄到具体的桶，甚至是桶内的某个目录前缀。
配图为流程示意，非控制台截图或交易凭据。
按桶授权的配置要点
| 配置环节 | 要点 | 常见错误 |
|---|---|---|
| 确认存储桶信息 | 记录桶名称、所属地域与 APPID | 桶名称漏写 APPID 后缀 |
| 编写资源描述 | 在资源中指定地域与具体存储桶 | 地域与桶实际地域不一致 |
| 选择操作范围 | 只包含上传、下载、列出等必要操作 | 直接使用 cos 全部操作 |
| 绑定到子用户 | 绑定到具体用户或用户组 | 绑定到权限过大的用户组 |
| 实际验证 | 用子用户登录或调用测试 | 只看策略内容不做测试 |
控制台列出存储桶的问题
有时子用户获得了某个桶的读写权限，却在控制台的存储桶列表里看不到任何内容。这是因为列出存储桶的操作与访问桶内对象的操作是分开授权的。如果希望子用户能在控制台中找到自己的桶，需要额外评估是否授予列出存储桶的权限；若只通过 SDK 或工具访问，可以不授予。
配图为流程示意，非控制台截图或交易凭据。
示例：备份桶被误删文件之后
一家内容网站的前端工程师拥有 COS 完全访问权限，在清理静态资源时误删了备份桶中的部分文件。事后团队为每个存储桶分别编写了自定义策略：前端只拥有静态资源桶的读写权限，备份桶只允许运维账号写入。权限调整后，类似的误操作再没有发生。
子用户的密钥也会受策略限制吗？
会。子用户通过 API 密钥调用 COS 时，权限同样受到绑定策略的约束。因此按桶授权既适用于控制台操作，也适用于程序访问。
多人共用一个桶时怎样细分？
可以在资源描述中进一步限定目录前缀，让不同人员只能访问桶内各自的目录。策略越细，管理成本也越高，建议先按存储桶划分，只有在确实需要时再细化到目录，并在台账中记录每条策略的用途与对应人员。
延伸阅读与办理
可继续阅读多个腾讯云账号接入 SDK，怎样避免程序连错环境？。需要办理时，先查看腾讯云账号服务说明，再通过腾旭云咨询入口说明用途与待核对事项。
官方资料
腾讯云：CAM 策略元素参考；腾讯云：创建存储桶；腾讯云：子账号 API 密钥管理。资料核对日期：2026-11-02。文中清单为操作准备建议；产品条件、实际收费和可用功能以相应账号的官方页面及有效订单为准。
