文档中心

云数据库 TiDB 版

快速入门

通过子用户使用 TiDB 服务

每个主账号均可以创建多个子账号，并为不同的子账号授予不同的权限，以此管理账号下不同身份对云资源的访问权限。本文介绍了通过子用户使用云数据库 TiDB 版服务的相关内容。

适用场景

独立管理资源的场景：为不同业务创建不同子账号，通过子账号访问不同业务所属的资源。

安全问题：使用子账号的 AK/SK 调用 Open API 接口，可有效避免主账号 AK/SK 的泄露风险。

背景信息

策略

策略是对权限的一种描述，IAM 用户、用户组或角色均需通过关联策略来赋予权限。对于使用云数据库 TiDB 版的子用户，可按需为子用户添加系统预设策略或自定义策略。

系统预设策略

关联服务	策略名	策略类型	说明
云数据库 TiDB 版	TiDBFullAccess	系统预设策略	云数据库 TiDB 版的全部管理权限。添加此权限后，用户会拥有策略作用范围内云数据库 TiDB 版的读写权限，如创建集群、删除集群、修改集群名称。说明仅有当前权限不足以使用 TiDB 集群所有功能。如需使用私有网络相关功能，需要获得 VPCFullAccess 或 VPCReadOnlyAccess 权限；如需使用对象存储（TOS）功能，需要获得 TOSFullAccess 或 TOSReadOnlyAccess 权限。
云数据库 TiDB 版		TiDBReadOnlyAccess	系统预设策略	云数据库 TiDB 版的只读访问权限。添加此权限后，用户可以查看策略作用范围内 TiDB 集群。
私有网络	VPCFullAccess	系统预设策略	私有网络（VPC）的全部管理权限。添加此权限后，用户会拥有策略作用范围内私有网络的读写权限，如创建私有网络、为 TiDB 集群绑定私有网络或子网等。
私有网络		VPCReadOnlyAccess	系统预设策略	私有网络（VPC）的只读访问权限。添加此权限后，用户可以查看策略作用范围内 TiDB 集群的私网和子网信息。
云监控	CloudMonitorFullAccess	系统预设策略	云监控（CloudMonitor）的全部管理权限。添加此权限后，用户会拥有策略作用范围内 TiDB 集群的监控告警的读写权限，如查看集群的监控数据、为集群添加告警策略等。
云监控		CloudMonitorReadOnlyAccess	系统预设策略	云监控（CloudMonitor）的只读访问权限。添加此权限后，用户可以查看策略作用范围内 TiDB 集群的监控数据。说明如果子用户需要查看监控信息，需要为子用户在全局范围内添加该权限。
TOS	TOSFullAccess	系统预设策略	对象存储（TOS）服务的全部管理权限。添加此权限后，用户可以查看策略作用范围内 TiDB 集群的 TOS 读写权限，如查看 TOS 桶列表、创建 TOS 桶，删除 TOS 桶。
TOS		TOSReadOnlyAccess	系统预设策略	对象存储（TOS）服务的只读权限。添加此权限后，用户可以查看策略作用范围内 TiDB 集群的 TOS 桶信息。

自定义策略

除使用上表列出的系统预设策略对子用户进行授权外，也可以通过自定义策略定义更具体的管控策略。关于自定义策略的更多详细信息，请参见策略概述。

作用范围

选定策略后，可根据需要为用户指定策略的作用范围。

全局：用户获得的权限策略会在全局生效。

指定项目：用户获得的权限策略会在指定项目内生效。

操作步骤

使用主用户账号登录云数据库 TiDB 版，通过右上角个人中心，单击访问控制。

在访问控制>身份管理>用户页面，单击新建用户。

在创建用户页面，选择创建用户的方式。

自定义创建：通过用户名创建。

邀请其他账号：通过手机号创建或邀请巨量引擎账号。

说明

选择创建用户的方式后，在创建过程中需要为用户添加权限策略和设定策略的生效范围。关于权限的选择，请参见背景信息。

（可选）为子用户创建 AK/SK。关于创建 AK/SK的详细信息，请参见 Access Key（密钥）管理。

最近更新时间：2026.07.02 18:54:11

这个页面对您有帮助吗？

有用

无用