帮你快速理解、总结文档立即下载
文档中心>腾讯云可观测平台>终端性能监控 Pro>控制台操作指南>访问管理>授权实践案例

授权实践案例

最近更新时间：2026-11-12 10:01:02
我的收藏

本页目录：

本文提供终端性能监控 Pro 的典型授权场景配置示例。由于终端性能监控 Pro 的接口均为操作级，精细化授权的实现方式是按操作（接口）授权，无法按应用或业务系统维度隔离权限。

场景一：授予子账号只读权限

场景说明：需要让子账号查看监控数据，但不允许其修改任何配置。

方式1：使用自定义策略（推荐）

终端性能监控 Pro 没有只读预设策略：QcloudRegularUserAccessForRumPro 虽定位为普通用户，仍含创建、删除类写操作。若需纯只读，请使用自定义策略。使用 CAM 官方的只读条件键 qcs:read_only_action：
{
    "version": "2.0",
    "statement": [
        {
            "effect": "allow",
            "action": [
                "rum:*"
            ],
            "resource": [
                "*"
            ],
            "condition": {
                "numeric_equal": {
                    "qcs:read_only_action": 1
                }
            }
        }
    ]
}

方式2：逐个接口授权

如需精确控制只读范围，请从 CAM 控制台的策略编辑器中挑选具体接口，逐个列入 action，resource 统一填 *。
注意：
不要用 rum:Describe* 代表只读权限。rum:* 下同时存在不以 Describe 开头的读类接口（Get*、Query*、Check*、Export*、Parse*、Select*）和不以 Create/Delete/Update 开头的写类接口（如 SetStrategyStatus、SendDailySingleMailReport），直接写 Describe* 会漏授读接口、误授写接口。

场景二：授予子账号日常使用权限（按功能模块）

场景说明：需要让日常使用终端性能监控 Pro 的同学（如研发、测试、值班人员）能够查询数据、查看问题，但不希望给予配置与删除能力。
{
    "version": "2.0",
    "statement": [
        {
            "effect": "allow",
            "action": [
                "rum:DescribeIssues",
                "rum:DescribeIssueDetail",
                "rum:DescribeIssueEvents",
                "rum:DescribeIssueEventDetail",
                "rum:DescribeIssueBreadcrumbs",
                "rum:DescribeIssueAffectedUsers",
                "rum:DescribeIssueTrend",
                "rum:DescribeSessionList",
                "rum:DescribeReplayMeta",
                "rum:DescribeReplayData",
                "rum:DescribeReplayDetails"
            ],
            "resource": [
                "*"
            ]
        }
    ]
}
效果：子账号只能调用上述查询接口，无法执行创建、修改、删除类操作。

场景三：授予子账号完整管理权限

场景说明：需要让子账号（如研发负责人、管理员）拥有终端性能监控 Pro 的全部操作能力。

方式1：使用预设策略（推荐）

1. 使用主账号或拥有 QcloudCamFullAccess 权限的子账号进入 访问管理 > 策略。
2. 在策略名称搜索框中输入 QcloudFullAccessForRumPro。
3. 在操作列中单击授权用户/组/角色，勾选目标子账号，单击确定。
注意：
授予子账号全部操作能力（含删除、修改等高危权限），属于权限变更中的高危权限授予，可能导致数据丢失或服务中断。

方式2：使用自定义策略

{
    "version": "2.0",
    "statement": [
        {
            "effect": "allow",
            "action": [
                "rum:*"
            ],
            "resource": [
                "*"
            ]
        }
    ]
}
说明：
预设策略与上述自定义策略均为账户级授权，权限覆盖当前主账号下终端性能监控 Pro 的全部数据，建议仅授予少数管理员账号。

场景四：按操作授权（只开放指定功能）

场景说明：只需开放少数功能，其余一律不授权。这是终端性能监控 Pro 上实现最小权限的主要手段。
例如，只允许子账号查看与修改应用采样率，不允许其访问其他功能：
{
    "version": "2.0",
    "statement": [
        {
            "effect": "allow",
            "action": [
                "rum:DescribeTDEMSampleRate",
                "rum:ModifyTDEMSampleRate"
            ],
            "resource": [
                "*"
            ]
        }
    ]
}
或者反向控制——授予较宽权限但显式拒绝高风险操作：
{
    "version": "2.0",
    "statement": [
        {
            "effect": "allow",
            "action": [
                "rum:*"
            ],
            "resource": [
                "*"
            ]
        },
        {
            "effect": "deny",
            "action": [
                "rum:Delete*",
                "rum:Modify*"
            ],
            "resource": [
                "*"
            ]
        }
    ]
}
说明：
action 中可用的接口名可从 访问管理控制台 的策略编辑器中选择，或参考 支持 CAM 的业务接口。
由于接口为操作级，resource 必须填写 *；限定具体资源会导致接口被判为无权限。
显式拒绝 rum:Delete*、rum:Modify* 只能覆盖以这两个前缀命名的接口，其他写接口（如 Create*、Stop*、Resume*）仍会被允许，需要按实际风险逐项补充。

场景五：临时授权（跨账号或短期授权）

场景说明：需要临时让外部人员或合作方查看数据，但不希望创建长期有效的子账号密钥。
建议做法：在 CAM 中创建角色，为角色关联自定义只读策略，由对方账号扮演该角色获取临时凭证。角色的具体操作请参见 CAM 角色管理。

场景六：多团队共用主账号的隔离建议

场景说明：多个团队或业务线共用同一个主账号，希望彼此数据不可见。
当前限制：终端性能监控 Pro 为操作级授权，无法通过 CAM 策略按应用或业务系统隔离权限。也就是说，只要子账号被授予了某个查询类接口的权限，就能查询该主账号下对应的全部应用数据。
可选方案：
按业务线拆分主账号，各团队使用各自的账号管理自己的应用。
仅向非核心人员授予最小范围的接口权限（如只开放指定查询接口），降低误操作与数据扩散风险。
中国站