一、权限一：CAM 访问管理
流计算 Oceanus 采用腾讯云统一的访问管理 CAM 服务来帮助客户管理企业内不同用户对资源的访问权限，详情请参见 访问管理。
二、为子用户设置 Oceanus 访问授权
主账号默认拥有访问流计算 Oceanus 所有资源的权限，子账号默认不拥有访问流计算 Oceanus 资源的权限，此时若以子账号访问 Oceanus 会受到 CAM 的鉴权错误提示。
可参考 授权管理，或者前往 访问管理 将预设策略授权给用户。
| 预设策略 | 权限范围 | 说明 |
| AdministratorAccess | 腾讯云管理权限 | 子用户自动获得 Oceanus 超级管理员权限，无需在 Oceanus 空间内额外配置角色授权（默认不出现在 Oceanus 用户列表中，如需显示可手动添加）。 |
| QcloudOceanusManageAccess | Oceanus 管理者权限 | 子用户自动获得 Oceanus 超级管理员权限，无需在 Oceanus 空间内额外配置角色授权（默认不出现在 Oceanus 用户列表中，如需显示可手动添加）。 |
| QcloudOceanusFullAccess | Oceanus 全读写权限 | 子用户获得 Oceanus 资源的访问权限，但仍需在 Oceanus 产品内由管理员配置角色后才能生效，配置后即拥有对应角色的完整操作权限，请参考 空间角色授权。 |
| QcloudOceanusReadOnlyAccess | Oceanus 只读权限 | 子用户仅可以获得 Oceanus 资源的只读访问权限，但仍需在 Oceanus 产品内由管理员配置角色后才能生效，配置后最多只拥有只读权限（即使被分配了更高权限的角色，实际生效权限仍为只读），请参考 空间角色授权。 |
三、为子用户设置标签访问授权
主账号默认拥有访问标签的权限，以子账号设置 Oceanus 作业标签或集群信息标签会受到 CAM 的鉴权错误提示。
可参考 授权管理，或者前往 访问管理 将预设策略 QcloudTAGFullAccess 授权给用户。通过主账号对子账号授予策略 QcloudTAGFullAccess，来帮助子账号拥有访问标签的权限。
四、为子用户设置腾讯云可观测平台访问授权
主账号默认拥有访问腾讯云可观测平台的权限，可以对流计算 Oceanus 实行监控告警，以子账号访问腾讯云可观测平台会受到 CAM 的鉴权错误提示。
可参考 授权管理，或者前往 访问管理 将预设策略 QcloudMonitorFullAccess 授权给用户。通过主账号对子账号授予策略 QcloudMonitorFullAccess，来帮助子账号拥有访问腾讯云可观测平台的权限。
五、权限二：服务委托授权
流计算底层的系统服务需要获得你的授权委托，来正常访问客户 VPC 下的 CKafka、COS、CLS 等各种云服务资源，这是流计算 Oceanus 系统正常运行所需的最基础授权。在使用流计算 Oceanus 过程中，涉及此授权时，系统会自动弹出授权界面，可以进行自动授权操作。
此授权将创建默认服务角色 Oceanus_QCSRole，主账号和子账号均可完成服务委托授权操作，但子账号需要具备相应的角色管理权限：
注意：说明：
注意：如果使用子账号授权，只有具备角色创建权限的子账号才能成功创建 Oceanus_QCSRole 服务角色。请先为子账号添加 QcloudCamRoleFullAccess 或 QcloudCamSubaccountsAuthorizeRoleFullAccess 权限策略后再进行操作。如果子账号没有上述任一权限策略，授权操作将失败。
六、操作步骤
1. 在首次使用流计算 Oceanus 过程中，系统会自动弹出授权界面，按提示完成授权操作即可成功创建 Oceanus_QCSRole 角色。
2. 进入授权页面：
3. 授权完成后，角色列表中出现 Oceanus_QCSRole 角色名称。