文档中心

云搜索服务

快速入门

通过子用户使用云搜索服务

火山引擎支持通过主账号或拥有管理权限的用户创建子用户（即 IAM 用户），您可以为不同的子用户授予不同的权限，实现同一账号不同身份用户拥有不同程度的访问权限，便于权限精细化管理。本文介绍如何通过子用户使用云搜索服务。

背景信息

IAM 简介

访问控制（Identity and Access Management，简称 IAM）是火山引擎提供的一套权限管理系统，用于控制不同身份对云资源的访问权限。IAM 提供了多身份管理、精细化权限管理、登录访问或 API 访问与 SSO、安全认证、临时令牌服务、操作审计等一系列功能，满足多样化场景下用户分权及资源统一管理的需求。关于 IAM 的更多详情，请参见 IAM 产品介绍。

IAM 策略

策略是对权限的一种描述，IAM 用户、用户组或角色均需通过关联策略来赋予权限。策略中可定义操作范围、资源范围和权限生效条件，IAM 支持两种类型的策略：系统预设策略和自定义策略。更多详情，请参见策略概述。

作用范围

IAM 支持为用户指定策略的作用范围，当前支持如下两种范围：

全局权限：授权的策略对账号下所有项目（包括未来新增项目）内的资源生效。

项目权限：策略仅对指定项目内的资源生效。

常见云服务系统预设策略

说明

除了常见的系统预设策略，IAM 还支持通过自定义策略进行更精细化的权限管理。关于自定义策略的更多详情，请参见管理自定义策略。

云搜索服务

通过子用户使用云搜索服务之前，需要先为子用户授权云搜索服务相关权限。下表列举了云搜索服务涉及的系统预设策略供您参考。

涉及的系统预设策略	说明
ESCloudFullAccess	云搜索服务的全部管理权限。添加了此权限的子用户，会拥有策略作用范围内云搜索服务的读写权限，如创建实例、删除实例、编辑实例。说明云搜索服务支持与其他云服务（如 VPC、EIP 等）关联使用，因此若子用户需使用其他云服务，还需要为子用户添加对应云服务的管理或只读策略。更多详情，请参见其他常见云服务。
ESCloudReadOnlyAccess	云搜索服务的只读访问权限。添加此权限后，用户可以查看策略作用范围内的云搜索服务实例。
ESCloudCommonAccess	通用服务的只读访问权限。当子用户授予的 ESCloudFullAccess 或 ESCloudReadOnlyAccess 策略作用范围为项目权限时，为保证子用户能正常使用对应云搜索服务功能，您还需要为子用户在全局范围内授予此权限，否则子用户在使用相关功能时会提示权限不足的报错。

其他常见云服务

云搜索服务支持与其他云服务（如 VPC、EIP 等）关联使用，下表列举了一些常见云服务的系统预设策略供您参考。

云服务名称	涉及的系统预设策略	说明
私有网络	VPCFullAccess	私有网络（VPC）全部管理权限。添加此权限后，用户会拥有策略作用范围内私有网络的读写权限，如创建私有网络、为云搜索服务实例绑定私有网络或子网等。说明创建私有网络时可指定项目，但创建子网时不支持指定项目，子网默认与与所属 VPC 在同一项目下。VPC 和子网的项目变更具有独立性，即修改 VPC 所属项目并不会同时修改当前 VPC 下子网的所属项目。更多详情，请参见私有网络项目管理。若修改了 VPC 所属项目，您还需要将 VPC 下的子网项目也进行相应变更，保证两者所属项目的一致性。否则非全局权限子用户创建云资源（如云搜索服务）时将无法选择子网或出现异常报错。修改所属项目的具体操作步骤，请参见项目资源管理。
私有网络		VPCReadOnlyAccess	私有网络（VPC）只读访问权限。添加此权限后，用户可以查看策略作用范围内云搜索服务实例的私网和子网信息。
公网 IP	EIPFullAccess	公网 IP（EIP）全部管理权限。添加此权限后，用户会拥有策略作用范围内公网 IP 的读写权限，如申请公网 IP、为云搜索服务实例绑定公网 IP 等。
公网 IP		EIPReadOnlyAccess	公网IP（EIP）只读访问权限。添加此权限后，用户可以查看策略作用范围内云搜索服务实例的公网 IP 信息。
云监控	CloudMonitorFullAccess	云监控（CloudMonitor）的全部管理权限。添加此权限后，用户会拥有策略作用范围内云搜索服务实例的监控告警的读写权限，如查看实例的监控数据、为实例添加告警策略等。
云监控		CloudMonitorReadOnlyAccess	云监控（CloudMonitor）的只读访问权限。添加此权限后，用户可以查看策略作用范围内云搜索服务实例的监控数据。说明如果子用户需要查看监控信息，需要为子用户在全局范围内添加该权限。
费用中心	BillingCenterFullAccess	费用中心全部读写权限，包含费用中心所有页面和相关 OpenAPI 的管理权限。添加此权限后，用户会拥有策略作用范围内费用中心的读写权限，如通过费用中心充值、续费、退订实例等。说明如果子用户需要为云搜索服务实例进行充值、续费或退订操作，需要为子用户在全局范围内添加该权限。若将按量计费的云搜索服务实例计费类型转化为了包年包月，即使子用户拥有该实例在对应项目下的 BillingCenterFullAccess 权限，您仍需要为子用户重新在全局范围内添加 BillingCenterFullAccess 权限，否则子用户在退订或续费该实例时会提示权限不足的报错。
标签资源	TagFullAccess	该策略允许您管理账户内标签服务相关的内容，例如按标签查询等相关内容。关于标签的更多详细信息，请参见标签管理。说明如果子用户需要为云搜索服务实例添加标签时，能直接在标签键和标签值的下拉列表中看到主账号下的已有标签，主账号需要为子用户在全局范围内添加该权限，否则子用户看到的下拉列表为空。子用户即使没有 TagFullAccess 权限，也可以为实例添加新标签。添加标签的具体操作，请参见绑定或添加标签。

操作步骤

创建子用户。

说明

您需要使用主账号或拥有管理员权限的用户登录 IAM 控制台创建子用户。

您可以在创建子用户时，直接为新建用户添加云搜索服务及其他关联服务的系统预设策略，并指定策略作用范围。

为子用户添加权限。

说明

若您为子用户授予的 ESCloudFullAccess 或 ESCloudReadOnlyAccess 策略作用范围为项目权限时，为保证子用户能正常使用对应云搜索服务功能，您还需要为子用户创建自定义策略，并将这些策略的作用范围设置为全局权限，来满足子用户使用对应的云搜索服务功能。关于相关功能及对应的自定义语法示例详情，请参见注意事项。

使用子用户登录云搜索服务控制台并使用云搜索服务。

说明

为保障云资源的安全性，降低主账号 AK/SK 的泄露风险，建议您以为子用户创建单独的 AK/SK 来调用云搜索服务相关的 API 接口。关于创建 AK/SK 的详细信息，请参见 API 访问密钥管理。

最近更新时间：2025.10.21 16:19:37

这个页面对您有帮助吗？

有用

无用