一、创建策略
1. 使用腾讯云主账号登录 访问管理控制台。
2. 在左侧导航栏选择策略，单击新建自定义策略。
3. 策略方式选择“按策略生成器创建”
4. 服务选择 iotexplorer，如果需要给子用户全部接口权限，操作选择全部操作即可。
如果需要给子用户指定接口权限，按需选择对应的 API。例如选择 API： GetCategoryPanelsByCategoryKey。
5. 资源可根据需求选择全部资源或特定资源。完成后单击下一步，进行关联策略。
二、关联策略
1. 单击“选择用户”，将权限授予给指定子用户。
2. 选择用户后，单击确定，然后继续单击完成即可生效。
三、创建策略
1. 使用腾讯云主账号登录 访问管理控制台。
2. 在左侧导航栏选择策略，单击新建自定义策略。
3. 选择“按策略语法创建”。
4. 选择模板类型，勾选空白模板，单击下一步。
5. 填写自定义策略名称，并按照策略模板编辑策略内容。
示例代码如下：
分配子账号所有权限禁用子账号部分权限
{ "version": "2.0", "statement": [ { "action": [ "*" ], "resource": [ "qcs::iotcloud:gz:uin/your_uid:*", "qcs::iotexplorer:gz:uin/your_uid:project/your_project_id", "qcs::iotexplorer:gz:uin/your_uid:project/your_project_id/", "qcs::iotexplorer:gz:uin/your_uid:project/your_project_id/product/your_product_id", "qcs::iotexplorer:gz:uin/your_uid:project/your_project_id/product/your_product_id/*" ], "effect": "allow" } ]}
策略说明如下：
·resource 对应的就是项目和产品。如果要把主账号某个项目 ID 的某个产品 ID 授权给某个子用户，则需要在 resource 部分增加下面4条，红色标注为需替换部分。your_uid 为用户账号 ID，your_project_id 为控制台项目 ID，your_product_id 为项目内产品 ID。
·action：*号表示所有操作。
·effect：allow 表示允许， deny 表示不允许。
·项目策略语法使用说明，请参见 策略语法说明。
此处示例禁用了子账号删除产品和设备：
{ "version": "2.0", "statement": [ { "action": [ "*" ], "resource": [ "qcs::iotcloud:gz:uin/your_uid:*", "qcs::iotexplorer:gz:uin/your_uid:project/your-project-id", "qcs::iotexplorer:gz:uin/your_uid:project/your-project-id/", "qcs::iotexplorer:gz:uin/your_uid:project/your-project-id/product/your-product-id", "qcs::iotexplorer:gz:uin/your_uid:project/your-project-id/product/your-product-id/*" ], "effect": "allow" }, { "action": [ "iotexplorer:DeleteStudioProduct", "iotexplorer:DeleteDevice" ], "resource": [ "qcs::iotcloud:gz:uin/your_uid:*", "qcs::iotexplorer:gz:uin/your_uid:project/your-project-id", "qcs::iotexplorer:gz:uin/your_uid:project/your-project-id/", "qcs::iotexplorer:gz:uin/your_uid:project/your-project-id/product/your-product-id", "qcs::iotexplorer:gz:uin/your_uid:project/your-project-id/product/your-product-id/*" ], "effect": "deny" } ]}
子账号登录控制台，删除项目或产品，会弹出窗口提示无权限：
·action：输入相关的接口名称，例如：DeleteStudioProduct（删除产品），DeleteDevice（删除设备）等。具体其他接口名称请查阅 API 概览 相关接口。
·effect：allow 表示允许， deny 表示不允许。
四、关联策略
1. 自定义策略创建完毕后，进入用户 > 用户列表页面，选择想要赋予权限的子账号。
2. 单击用户名称，进入用户详情页，在“权限”栏中，单击关联策略。
3. 搜索刚才创建的策略名称，选择后单击确定，完成授予策略中定义的权限。