vip云
当公司规模扩大，主账号管理员不可能亲自处理每个部门的子用户申请，于是会把“创建子用户、绑定策略”的权限下放给部门管理员。问题随之而来：部门管理员能不能给自己绑上全部权限？能不能给新员工授予访问其他部门资源的策略？vip云建议在放权之前先了解腾讯云 CAM 的权限边界（Permissions Boundary）。
权限边界是“天花板”而不是“钥匙”
权限边界是绑定在子用户或角色上的一条策略，它本身不授予任何权限，只规定这个身份最多能拥有哪些权限。一个身份最终能做的事，是它被授予的策略与权限边界的交集：策略允许、边界也允许，才能执行；策略允许但边界不允许，依然会被拒绝。打个比方，授权策略是发给员工的钥匙，权限边界是这栋楼里他最多能进的楼层，钥匙再多也开不了边界以外的门。
配图为流程示意，非控制台截图或交易凭据。
放权场景下的配置思路
| 对象 | 绑定什么 | 目的 |
|---|---|---|
| 部门管理员 | 可创建子用户、可绑定策略的授权策略 | 让他能自主处理本部门需求 |
| 部门管理员 | 限定在本部门资源范围的权限边界 | 防止他自我提权 |
| 新建的部门子用户 | 由管理员授予的业务策略 | 满足日常工作 |
| 新建的部门子用户 | 要求必须设置同样的权限边界 | 确保子用户权限不越出部门范围 |
关键在最后一行：可以通过策略条件，要求部门管理员创建或授权子用户时必须附带指定的权限边界，否则操作不被允许。这样边界就会沿着放权链条传递下去，而不是只约束了管理员本人。
设置前后要做的验证
设置完成后，用部门管理员身份尝试三件事：给自己绑定超出边界的策略、创建一个不带边界的子用户、访问其他部门的资源。三者都应被拒绝。再尝试正常的本部门操作，确认没有误伤日常工作。验证结果记录下来，作为权限设计的留档。
配图为流程示意，非控制台截图或交易凭据。
示例：游戏公司的三个工作室
一家游戏公司有三个工作室共用一个腾讯云主账号，以前所有子用户都由运维中心统一创建，排队很长。vip云协助他们为每个工作室设立一名管理员，并按工作室的项目和标签范围编写权限边界。放权后，工作室当天就能为新成员开通账号，而某位管理员误把全量策略绑给自己的尝试也被边界拦了下来。
权限边界能限制主账号吗？
不能。权限边界作用于子用户和角色，主账号拥有全部权限，因此主账号本身更需要开启 MFA 并减少日常使用。
已经有很多子用户，补设权限边界会影响业务吗？
补设前先导出每个子用户的现有策略，确认边界覆盖了他们正在使用的操作。建议先在少量子用户上试行，观察一周没有异常再全面推广。
延伸阅读与办理
可继续阅读腾讯云账号 CAM 策略的资源描述怎么读？六段式写法解析。需要办理时，先查看腾讯云账号服务说明，再通过vip云咨询入口说明用途与待核对事项。
官方资料
腾讯云：权限边界；腾讯云：CAM 策略元素参考。资料核对日期：2026-11-04。文中清单为操作准备建议；产品条件、实际收费和可用功能以相应账号的官方页面及有效订单为准。
