vip云腾讯云开户完成后，打开控制台会看到“访问管理”这个入口，英文简称 CAM。很多新用户对它的第一印象是“创建子账号的地方”，其实它是整个账号身份与权限体系的核心。vip云把访问管理里最常用的四个概念讲清楚，帮助你在开户初期就建立正确的认识。
用户：谁在访问
CAM 中的用户分为几类。主账号是开户时创建的账号，拥有账号下所有资源的完全权限；子用户由主账号创建，默认没有任何权限，需要授权后才能操作；协作者是被添加进来的其他腾讯云主账号身份。理解用户类型，是后续分配权限的前提。
配图为流程示意，非控制台截图或交易凭据。
用户组：批量管理的单位
用户组是一组用户的集合。给用户组关联策略后，组内所有用户都会继承这些权限。当团队里有多人承担相同职责时，用用户组管理比逐个授权更方便，人员调整时只需要把人加入或移出用户组即可。
策略：能做什么
策略是描述权限的文档，规定了允许或拒绝对哪些资源执行哪些操作。腾讯云提供了大量预设策略，例如某个产品的只读访问或完全访问，也支持根据需要编写自定义策略。策略可以关联到用户、用户组或角色上生效。
| 概念 | 它回答的问题 | 举例 |
|---|---|---|
| 用户 | 谁在访问 | 运维工程师对应的子用户 |
| 用户组 | 哪一类人 | 财务组、运维组 |
| 策略 | 能做什么 | 只读查看 CVM、管理某个存储桶 |
| 角色 | 谁可以临时获得权限 | 供 CVM 实例或其他账号扮演 |
角色：可以被“扮演”的身份
角色本身没有长期凭据，而是由受信任的实体在需要时扮演，从而获得临时权限。常见的例子是为 CVM 实例配置角色，让实例上的程序无需保存密钥就能访问其他云服务。角色适合跨账号授权和服务之间的访问。
配图为流程示意，非控制台截图或交易凭据。
示例：开户第一周的权限规划
一家初创公司开户后，先在访问管理中创建了“开发组”“运维组”“财务组”三个用户组，分别关联对应的预设策略。每位成员只创建子用户并加入相应用户组，主账号仅由创始人保管、开启 MFA，不用于日常操作。三个月后团队扩张到二十人，权限结构依然清晰。
子用户创建后为什么什么都看不到？
子用户默认没有任何权限，需要主账号或有授权权限的管理员为其关联策略。这是为了保证权限按需授予，而不是默认开放。
预设策略和自定义策略怎么选？
预设策略由腾讯云维护，覆盖常见场景，直接选用即可；当需要把权限限定到某个具体资源或附加条件时，再编写自定义策略。初期建议以预设策略为主，减少配置错误。
延伸阅读与办理
可继续阅读腾讯云账号的主账号与管理员子用户，权限真的一样吗？。需要办理时，先查看腾讯云开户服务说明，再通过vip云咨询入口说明用途与待核对事项。
官方资料
腾讯云：CAM 基本概念；腾讯云：用户类型；腾讯云：为实例配置 CAM 角色。资料核对日期：2026-11-03。文中清单为操作准备建议；产品条件、实际收费和可用功能以相应账号的官方页面及有效订单为准。
