访问权限
EdgeOne Makers 通过腾讯云访问管理（CAM）控制访问权限。主账号默认拥有全部权限；子账号、协作者和角色需要由管理员授权后，才能使用控制台或 EdgeOne CLI。
Makers 的接口归属于边缘安全加速平台 EO（
teo）服务。本文中的“工作空间”以下简称“空间”，对应 EO 中的站点（Zone）。场景 | 推荐方式 |
团队成员都需要正常使用 Makers，无需细分权限 | 快速授权：直接授予 teo 服务的预设策略 |
需要区分只读、开发、管理等角色 | 按角色精细授权 |
需要按团队或业务隔离空间 | 按空间隔离权限 |
快速授权
预设策略 | 权限范围 |
QcloudTEOFullAccess | teo 服务全读写权限，可以完整使用 Makers |
QcloudTEOReadOnlyAccess | teo 服务只读权限，只能查看，不能创建、修改或删除 |
说明：
预设策略覆盖
teo 服务的全部接口和全部空间，配置最简单。如需按角色或空间收窄权限，请参见下文进阶用法。进阶：按角色精细授权
Makers 只使用 EO 的部分接口。如需按最小权限授权，可以基于下文的接口清单创建自定义策略：
1. 在 CAM 控制台 进入「策略」>「新建自定义策略」，选择「按策略语法创建」，粘贴预设角色策略中的内容；也可以选择「按策略生成器创建」，服务选择边缘安全加速平台 EO（
teo），操作按接口清单勾选，资源选择全部资源（*）。2. 在「用户」、「用户组」或「角色」中找到目标身份，关联该策略。
没有 CAM 管理权限的子账号，可以把所需角色的策略内容发给管理员代为配置。
接口清单
接口 | 说明 | 可限定到空间 | 只读 | 开发者 | 管理员 |
DescribeZones | 查询空间列表（用于选择、切换空间和校验状态） | 是 | ✓ | ✓ | ✓ |
CheckCnameStatus | 校验域名 CNAME 状态 | 是 | ✓ | ✓ | ✓ |
DescribeAccountInfo | 查询账户信息 | 否 | ✓ | ✓ | ✓ |
DescribeBotData | 查询 Bot 时序数据 | 是 | ✓ | ✓ | ✓ |
DescribePacks | 查询套餐功能列表 | 否 | ✓ | ✓ | ✓ |
DescribePagesResources | 查询 Makers 资源 | 是 | ✓ | ✓ | ✓ |
DescribeTimingFunctionAnalysisData | 查询边缘函数分析时序数据 | 是 | ✓ | ✓ | ✓ |
DescribeTimingL7AnalysisData | 查询七层流量时序数据 | 是 | ✓ | ✓ | ✓ |
DescribeTopDomainSuffix | 查询顶级域后缀 | 否 | ✓ | ✓ | ✓ |
DescribeUserStatus | 查询用户业务状态 | 否 | ✓ | ✓ | ✓ |
DescribeWebManagedRulesData | 查询 Web 托管规则数据 | 是 | ✓ | ✓ | ✓ |
DescribeWebProtectionData | 查询 Web 防护数据 | 是 | ✓ | ✓ | ✓ |
DescribeHostCertificates | 查询域名证书 | 是 | ✓ | ✓ | ✓ |
DescribeOpenEdgeResources | 查询 OpenEdge 资源（部署使用） | 否 | ✓ | ✓ | ✓ |
CreatePagesResources | 创建 Makers 资源 | 是 | — | ✓ | ✓ |
ModifyPagesResources | 修改 Makers 资源 | 是 | — | ✓ | ✓ |
CreateOpenEdgeResources | 创建 OpenEdge 资源（部署使用） | 否 | — | ✓ | ✓ |
ModifyOpenEdgeResources | 修改 OpenEdge 资源（部署使用） | 否 | — | ✓ | ✓ |
DeletePagesResources | 删除 Makers 资源 | 是 | — | — | ✓ |
DeleteOpenEdgeResources | 删除 OpenEdge 资源（部署使用） | 否 | — | — | ✓ |
说明：
接口名称沿用 EO 的命名，名称中的
Pages 即 Makers。“可限定到空间”对应 CAM 接口列表中的授权粒度：“是”为资源级，可以在策略中指定空间；“否”为操作级，资源只能填写 *。预设角色
以下三种角色的策略可以直接复制使用，也可以按需增删接口。
只读（Viewer）
可以查看控制台、统计数据和部署状态，不能创建、修改或删除。适用于产品、运营和审计人员。
{"version": "2.0","statement": [{"effect": "allow","action": ["teo:DescribeZones","teo:CheckCnameStatus","teo:DescribePagesResources","teo:DescribeHostCertificates","teo:DescribeBotData","teo:DescribeTimingFunctionAnalysisData","teo:DescribeTimingL7AnalysisData","teo:DescribeWebManagedRulesData","teo:DescribeWebProtectionData","teo:DescribeOpenEdgeResources","teo:DescribeAccountInfo","teo:DescribeUserStatus","teo:DescribePacks","teo:DescribeTopDomainSuffix"],"resource": ["*"]}]}
开发者（Developer）
在只读基础上，可以创建项目、部署和修改配置，不能删除。适用于日常研发，建议作为默认角色。
{"version": "2.0","statement": [{"effect": "allow","action": ["teo:DescribeZones","teo:CheckCnameStatus","teo:DescribePagesResources","teo:DescribeHostCertificates","teo:DescribeBotData","teo:DescribeTimingFunctionAnalysisData","teo:DescribeTimingL7AnalysisData","teo:DescribeWebManagedRulesData","teo:DescribeWebProtectionData","teo:DescribeOpenEdgeResources","teo:DescribeAccountInfo","teo:DescribeUserStatus","teo:DescribePacks","teo:DescribeTopDomainSuffix","teo:CreatePagesResources","teo:ModifyPagesResources","teo:CreateOpenEdgeResources","teo:ModifyOpenEdgeResources"],"resource": ["*"]}]}
管理员（Admin）
在开发者基础上，可以删除资源。适用于负责资源清理的人员。
{"version": "2.0","statement": [{"effect": "allow","action": ["teo:DescribeZones","teo:CheckCnameStatus","teo:DescribePagesResources","teo:DescribeHostCertificates","teo:DescribeBotData","teo:DescribeTimingFunctionAnalysisData","teo:DescribeTimingL7AnalysisData","teo:DescribeWebManagedRulesData","teo:DescribeWebProtectionData","teo:DescribeOpenEdgeResources","teo:DescribeAccountInfo","teo:DescribeUserStatus","teo:DescribePacks","teo:DescribeTopDomainSuffix","teo:CreatePagesResources","teo:ModifyPagesResources","teo:CreateOpenEdgeResources","teo:ModifyOpenEdgeResources","teo:DeletePagesResources","teo:DeleteOpenEdgeResources"],"resource": ["*"]}]}
进阶：按空间隔离权限
需要让不同团队或业务互相隔离时，可以限定子账号只能访问部分空间。以下两种方式可以同时使用，都只对接口清单中“可限定到空间”为“是”的接口生效。
按标签授权
把带有指定标签的空间一次性授权给子账号。之后新增空间时，只需添加相同标签即可纳入授权范围，无需修改策略。
1. 在 Makers 控制台首页进入「设置」>「工作空间」，为目标空间添加标签，例如
team = team-a。详见 工作空间。2. 在 CAM 控制台 进入「策略」>「新建自定义策略」，选择「按标签授权」。
3. 在「编辑策略」步骤中完成以下配置：
配置项 | 取值 |
服务 | 边缘安全加速平台 EO（ teo） |
操作 | 按所需角色勾选接口清单中的接口 |
选择标签 | 与第 1 步相同的标签键和标签值 |
条件运算符 | 或（ for_any_value） |
是否授予不支持标签的接口 "resource": "*" 权限 | 是 |
4. 在「关联用户/用户组/角色」步骤中选择目标身份，完成创建。
5. 该子账号登录后，只能看到并操作标签匹配的空间。
注意：
“是否授予不支持标签的接口权限”必须选“是”。接口清单中“可限定到空间”为“否”的接口不支持按标签授权，选“否”会导致这些接口无权限，控制台和部署无法正常使用。
条件运算符不要选“组（
string_equal）”。该方式不支持列表类接口，子账号将无法查看空间列表。在策略中指定空间
将策略的资源从
* 改为具体空间，格式为 qcs::teo::uin/:zone/${ZoneId}，其中 ${ZoneId} 为空间 ID。由于部分接口不能限定到空间，策略需要拆成两段：可限定的接口指定空间 ID，其余接口仍填写
*。以下示例将开发者角色限定为两个空间（空间 ID 以实际值为准）：{"version": "2.0","statement": [{"effect": "allow","action": ["teo:DescribeZones","teo:CheckCnameStatus","teo:DescribePagesResources","teo:DescribeHostCertificates","teo:DescribeBotData","teo:DescribeTimingFunctionAnalysisData","teo:DescribeTimingL7AnalysisData","teo:DescribeWebManagedRulesData","teo:DescribeWebProtectionData","teo:CreatePagesResources","teo:ModifyPagesResources"],"resource": ["qcs::teo::uin/:zone/zone-xxxx","qcs::teo::uin/:zone/zone-yyyy"]},{"effect": "allow","action": ["teo:DescribeOpenEdgeResources","teo:DescribeAccountInfo","teo:DescribeUserStatus","teo:DescribePacks","teo:DescribeTopDomainSuffix","teo:CreateOpenEdgeResources","teo:ModifyOpenEdgeResources"],"resource": ["*"]}]}
空间新增或删除后，需要同步更新策略中的资源列表。
权限控制范围
CAM 按接口授权，部分接口可以进一步限定到空间。下表列出常见需求能否通过 CAM 实现：
需求 | 是否支持 | 做法 |
只能查看，不能变更 | 支持 | 授予只读角色 |
可以创建和部署，不能删除 | 支持 | 授予开发者角色 |
只能访问指定空间 | 部分支持 | 见限定可访问的空间。接口清单中“可限定到空间”为“否”的接口不受此限制，仍对全部空间生效 |
只能访问空间内的部分项目 | 不支持 | CAM 最细只能限定到空间，不能限定到项目 |
只能部署预览环境，或不能修改环境变量等指定配置 | 不支持 | CAM 不能按环境或具体配置项授权 |
购买、升级或续费套餐 | 不在本文范围 | 计费相关接口不在上述清单中，需另行授权 |
建议：
日常研发授予开发者角色，删除权限只授予少数负责人。
需要互相隔离的团队或业务，放在不同的空间中，再按空间限定访问范围。
验证配置
1. 使用该子账号登录控制台，确认空间列表正常展示，且只包含授权范围内的空间。
2. 进入项目详情页，确认统计数据和部署记录正常加载。
3. 执行一次部署，确认流程正常完成。
4. CLI 场景：执行
edgeone login 后运行 edgeone deploy，确认部署成功。如果仍然失败，请记录报错中的 RequestId 和缺失的接口名称，联系管理员补充授权。