操作场景
您可通过访问管理控制台的策略功能，将主账号拥有的、已经绑定标签的 CKafka 资源，通过按标签授权的方式授予子账号这些资源的读写权限，得到权限的子账号可以获得具有相应标签下资源的控制能力。
操作前提
已使用腾讯云主账号为员工创建好子账号，详细操作请参考新建子账号。
至少拥有一个 CKafka 实例。
至少拥有一个标签，若没有可以参考标签管理创建。
操作步骤
步骤 1：为资源绑定标签
1. 使用主账号登录到 消息队列 CKafka 版控制台，左侧导航栏单击实例列表。
2. 勾选目标实例，单击编辑标签，为实例绑定好资源标签。
步骤 2：按标签授权
1. 登录访问管理控制台。
2. 在左侧导航栏选择策略，单击新建自定义策略，创建策略方式选择按标签授权。
3. 在可视化策略生成器中，在服务（Service）中输入 Ckafka 进行筛选，在结果中选择消息服务（ckafka），在操作中选择全部操作（*），您也可以根据需要选择相应的操作。
说明：
操作中包含该服务所有接口，您可以通过“是否支持按标签授权”筛选查看接口是否支持按标签授权。
是：支持按标签授权的接口，将包含关联对应标签资源的操作权限。
否：不支持按标签授权的接口，在后续步骤中您可以选择是否授予这些不支持标签授权的接口所有资源的操作权限
若要支持多个服务的授权，可单击左上角“添加”，继续添加多个授权声明，对另外的服务进行授权策略配置。
4. 在选择标签位置，选择集群资源绑定的标签键和标签值，支持多选。
5. 在选择条件键位置，选择好条件键。条件键 resource_tag、request_tag 可多选，也可只选择其中一个。
6. 选择是否授予不支持标签的接口"resource": "*"权限，若勾选不支持标签的接口将包含所有资源的操作权限。
7. 单击下一步，设置策略名称，策略名称由控制台自动生成，默认为 "policygen" ，后缀数字根据创建日期生成，您可进行自定义。
8. 单击选择用户或选择用户组，可选择需要授予资源权限的用户或用户组。
9. 单击完成，相关子账号就能够根据策略控制指定标签下的资源。
