通过设置 CAM 策略， 您可以控制哪些子用户或协作者账号拥有文字识别 API 和控制台的查看和操作权限。
目前文字识别支持预设策略和自定义策略两种方式。
注意：
预设策略
说明
文字识别的预设策略分为以下3个，全读写权限、只读权限和只读自己权限。
1. QcloudOCRFullAccess 全读写权限。将预设的全读写策略授予子账户时，其将能够和您一样访问文字识别所有功能。
2. QcloudOCRReadOnlyaccess 只读权限。将预设的只读策略授予子账户时，子账户可以访问识别类、核验类接口，并可以访问文字识别控制台的只读接口，例如查看调用量、查看资源包等。
3. QcloudOCRReadSelfUinUsage 只读自己权限。将预设的只读自己策略授予子账户时，子账户可以访问识别类、核验类接口，并可以访问文字识别控制台的只读接口，例如查看调用量、查看资源包等。但查看调用量、耗时、QPS和智能SDK申请列表时，只能查询子账号自己的。
预设策略的区别：
大类别 | 类别细分 | 全读写 | 只读 | 只读自己 |
识别类接口 | | ✅ | ✅ | ✅ |
核验类接口 | | ✅ | ✅ | ✅ |
读接口 | 查看调用量\\耗时\\QPS\\查看智能扫码SDK申请列表 | ✅ | 可查看全部账号的用量和SDK申请列表 | 仅查看自己账号的用量和SDK申请列表 |
| 其他读接口 | ✅ | ✅ | ✅ |
写接口 | 申请智能扫码 SDK | ✅ | ❌ | ❌ |
| 开通服务 | ✅ | ❌ | ❌ |
| 关闭服务 | ✅ | ❌ | ❌ |
| 开通/关闭后付费 | ✅ | ❌ | ❌ |
| 其他写接口 | ✅ | ❌ | ❌ |
配置方式
方式一：如下图所示，可搜索对应的预设策略，请根据策略描述关联用户、组或者角色：
方式二：如图所示，可在子用户中，关联所需的预设策略：
自定义策略
说明
文字识别的自定义策略支持接口级和资源级授权两种方式：
1. 接口级授权：您可以在 CAM 控制台中按接口维度给子账户授权，子账户将只能使用您已授权的接口。可参考使用示例中授予单个接口权限的操作。
2. 资源级授权：调用量、耗时以及QPS的查看支持资源级授权，您可以在 CAM 控制台中按子账号维度给子账户授权，子账户将只能查看您已授权子账户的调用量、耗时以及QPS。
支持资源级授权的接口列表
API 名 | API 描述 | 资源类型 | 资源六段式示例 |
QueryQpsForConsole | 查询QPS数据 | 子账户 ID | qcs::ocr:::subUin/* qcs::ocr:::subUin/${uin} |
QueryCallForConsole | 查询调用量数据 | 子账户 ID | qcs::ocr:::subUin/* qcs::ocr:::subUin/${uin} |
QueryCostTimeForConsole | 查询耗时数据 | 子账户 ID | qcs::ocr:::subUin/* qcs::ocr:::subUin/${uin} |
GetIntelligentScanSDKListForConsole | 查询智能扫码SDK列表 | 子账户 ID | qcs::ocr:::subUin/* qcs::ocr:::subUin/${uin} |
注意：
其他接口仅支持接口级授权。
配置方式
创建自定义策略时，接口级接口、资源级接口均遵循一下规则。
resource 字段填" * "，相当于授予 action 里的接口所有的权限。
接口级的接口resource必须配置" * "才可使用。
资源级的接口resource可配置" * " 或通过资源六段式进行配置。
权限范围大的策略会覆盖权限范围小的策略，例如资源级的接口resource字段填" * "，则对应该接口配置的资源六段式就不会生效了。
自定义策略示例
授予单个接口权限
以下为给子账户授予开通服务（ConsoleServiceOpen）、关闭服务（ConsoleServiceSetting）授权。在 action 中填入对应的接口名：
{ "version": "2.0", "statement": [ { "effect": "allow", "resource": [ "*" ], "action": [ "ocr:ConsoleServiceOpen", "ocr:ConsoleServiceSetting" ] } ] }
其中 action 可以指定多个接口和支持通配符 * 。上述的授权方式也可以简化为以下的方式：
{ "version": "2.0", "statement": [ { "effect": "allow", "resource": [ "*" ], "action": [ "ocr:ConsoleService*" ] } ] }
授予接口的某些资源权限
以下为给子账户授予可查询子用户（subuin:0001）、子用户（subuin:0002）、以及自己的调用量数据。
{ "version": "2.0", "statement": [ { "effect": "allow", "resource": [ "qcs::ocr:::subUin/${uin}", "qcs::ocr:::subUin/0001", "qcs::ocr:::subUin/0002", ], "action": [ "ocr:QueryCallForConsole" ] } ] }
