如果您在腾讯云中使用到了终端性能监控 Pro，该服务由不同的人管理，但都共享您的云账号密钥，将存在以下问题：
您的密钥由多人共享，泄密风险高。
您无法限制他人的访问权限，易产生误操作造成安全风险。
此时，您就可以通过子账号实现不同的人员管理不同的服务，来规避以上的问题。默认情况下，子账号没有任何终端性能监控 Pro 的权限，因此需要为子账号授予其所需要资源的访问权限。
简介
访问管理（Cloud Access Management，CAM）是腾讯云提供的一套 Web 服务，主要用于帮助客户安全管理腾讯云账户下资源的访问权限。通过 CAM，您可以创建、管理和销毁用户（组），并通过身份管理和策略管理控制哪些人可以使用哪些腾讯云资源。
当您使用 CAM 时，可以将策略与一个用户或一组用户关联起来，策略能够授权或者拒绝用户使用指定资源完成指定任务。有关 CAM 策略的更多基本信息，请参见 策略语法；有关 CAM 策略的更多使用信息，请参见 策略。
基本概念
概念 | 说明 |
主账号 | 您注册腾讯云时创建的账号，拥有账号下所有资源的全部权限，且权限不可被限制。终端性能监控 Pro 的资源均归属于主账号。 |
子账号 | 由主账号（或拥有 CAM 管理权限的账号）创建的用户，默认没有任何权限，需要主账号通过 CAM 策略授权后才能访问终端性能监控 Pro。 |
用户组 | 一组子账号的集合。为部门或岗位创建用户组后，只需对用户组授权，组内子账号即自动获得对应权限，便于批量管理。 |
角色 | 一种虚拟身份，没有永久密钥，通常用于跨账号访问、临时授权或云服务间授权。角色同样可以通过关联策略获得终端性能监控 Pro 的访问权限。 |
策略 | 用于定义"谁可以对哪些资源做哪些操作"的权限集合，分为预设策略和自定义策略两类。 |
操作（Action） | 策略允许或拒绝的具体接口调用，终端性能监控 Pro 的操作以 rum: 为前缀，例如 rum:DescribeIssuesList。 |
授权粒度与授权范围
终端性能监控 Pro 在 CAM 中的所属产品为终端性能监控。
项目 | 支持情况 | 说明 |
控制台访问 | 支持 | 子账号可以登录控制台并在权限范围内访问数据。 |
预设策略 | 2条 | |
授权粒度 | 操作级 | 按操作（接口）授权，不支持按应用或业务系统等资源维度隔离权限。 |
按标签授权 | 不支持 | 按标签授权依赖资源级授权能力，终端性能监控 Pro 为操作级授权，因此无法通过标签隔离权限。 |
IP 限制 | 部分支持 | 部分接口支持在策略中通过 condition 限制来源 IP，以 CAM 控制台策略详情页的接口说明为准。 |
关于授权粒度的关键说明：
终端性能监控 Pro 的预设策略与对外接口均为操作级，因此：
在策略中为接口限定具体资源时，CAM 会判定该接口不在授权范围内，视为无权限；
精细化授权只能按操作（接口）维度进行，即在
action 中指定允许或拒绝的具体接口；resource 统一填写 *。授权方式
终端性能监控 Pro 支持以下两种授权方式：
1. 预设策略授权：使用产品的2条预设策略，搜索策略名称即可快速完成授权，适用于大多数场景。详见 策略授予。
2. 自定义策略授权：当需要按操作进行精细化授权时，创建自定义策略后关联给子账号。详见 策略语法。
说明：
若您无需对子账号进行终端性能监控 Pro 相关资源的访问管理，可以跳过此章节。跳过这些部分不会影响您对文档中其余部分的理解和使用。
