有时只需要让某位同事管理一台指定的服务器，例如负责官网的运维只能操作官网那台 CVM，而不能碰其他机器。腾旭云在帮客户做权限收窄时，常用的办法就是“按资源 ID 授权”。官方文档提供了一个完整的示例，下面把它的思路拆开说明。
资源 ID 授权的基本写法
官方示例中，要让子用户只管理实例 ins-duglsqg0，策略里写一条允许语句：操作为 cvm 下的全部操作，资源写成六段式的资源描述，形如 qcs::cvm::uin/主账号 UIN:instance/实例 ID。示例里同时还写了一个镜像资源。资源描述的前缀，例如 instance、image，可以在“访问管理支持的 CVM 接口”文档里查到，不要凭记忆拼写。
配图为流程示意，非控制台截图或交易凭据。
资源级接口与操作级接口要分开
官方文档特别强调，写策略时如果要限定到具体资源，需要把“资源级”接口与“操作级”接口分开写，操作级接口可以放在一起，但资源要写成星号。原因在于，有些接口并不支持指定到某个资源，如果硬写进有具体资源的语句里，就不会生效。
| 接口类型 | 资源怎么写 | 例子 |
|---|---|---|
| 资源级接口 | 写具体的资源描述 | 对指定实例的启停、重启、改名、重置密码 |
| 操作级接口 | 资源写星号 | 官方示例中的 VPC 查询接口与云硬盘查询接口 |
| 他产品配套接口 | 按提示补充 | CVM 页面会调用 VPC 等其他产品的接口 |
| 敏感接口 | 另行评估 | 删除类、变更权限类按需单独授权 |
为什么控制台会一再提示缺权限
按官方示例的演示，用子用户登录 CVM 控制台，进入实例列表时会提示缺少 DescribeVpcEx 等 VPC 相关权限。这是因为实例页面会同时调用网络等其他产品的查询接口。解决方法不是改成“全部资源”，而是回到策略里，按提示把这些操作级接口以资源星号的形式补入，直到页面不再报错。每补一项都要重新用子用户验证一遍，这个过程虽然琐碎，但可以确保授权范围刚好够用。
配图为流程示意，非控制台截图或交易凭据。
示例：官网服务器的专属运维
某公司有一台官网 CVM，由外包运维负责。腾旭云协助他们建立自定义策略，只授权这一台实例的资源级操作，再补充必要的查询类接口。外包可以启停、重启、重置密码，但看不到其他实例，也不能买新机器。合同到期时，只需在访问管理里取消策略关联即可收回。
能用标签代替资源 ID 吗？
可以。官方也提供按标签授权的方式，适合资源很多、需要按项目整体授权的场景。资源数量少时，按资源 ID 授权更直接。
实例被重装或迁移后，授权还有效吗？
授权针对的是资源 ID。实例销毁重建会产生新的 ID，需要同步更新策略。建议把资源 ID 与授权记录写进运维台账。
延伸阅读与办理
可继续阅读腾讯云账号的密钥只许固定 IP 调用？CAM 生效条件写法。需要办理时，先查看腾讯云账号服务说明，再通过腾旭云咨询入口说明用途与待核对事项。
官方资料
腾讯云：按资源 ID 授权；腾讯云：资源描述方式；腾讯云：授权策略语法；腾讯云：创建自定义策略。资料核对日期：2026-11-06。文中清单为操作准备建议；产品条件、实际收费和可用功能以相应账号的官方页面及有效订单为准。
