一、预设权限策略
日志服务预设两条权限策略，可满足最基本的权限管理需求。
·Cloud Mate 读写权限（QcloudCloudmateFullAccess）：具备 Cloud Mate 所有功能及所有资源的权限，例如新建空间、新建场景、编辑 MCP、删除知识库等。
·Cloud Mate 只读权限（QcloudCloudmateReadOnlyAccess）：仅具备数据查看权限，不能执行新建、编辑或删除类型的操作。
二、按标签授权
用户仅可访问具有指定标签的空间 Workspace、MCP、知识库、场景等，参考的步骤如下:
1. 在 标签列表 创建好你的标签，详情可参见 标签产品概述。
2. 在 Cloud Mate 中为你的 空间 Workspace、MCP、知识库、场景 绑定标签。你可在新建/编辑以上资源时配置标签，如下。
3. 在 CAM 策略 中配置如下策略，并绑定相关的用户。
{ "statement": [ { "action": [ "cloudmate:*" ], "condition": { "for_any_value:string_equal": { "qcs:resource_tag": [ "你的标签key&你的标签value" ] } }, "effect": "allow", "resource": [ "*" ] }, { "action": [ "cloudmate:CreateWorkspace", "cloudmate:CheckAssumeRole", "cloudmate:DescribeMCPServiceTools", "cloudmate:DescribeWorkspaceMCPTools", "cloudmate:SmartDiagnosis" ], "effect": "allow", "resource": [ "*" ] } ], "version": "2.0"}
三、按指定空间（WorkSpace）授权
仅可访问指定空间和空间下的资源，例如 MCP、知识库、场景等。
你可在 CAM 策略 中配置如下策略，并绑定相关的用户。如下示例中的访问策略代表用户仅可访问2个空间，分别是你的空间1和空间2，以及空间下的 MCP、知识库和场景。
{ "statement": [ { "action": [ "cloudmate:*" ], "effect": "allow", "resource": [ "qcs::cloudmate::uin/你的uin:workspace/你的空间1的ID", "qcs::cloudmate::uin/你的uin:workspace/你的空间1的ID/*", "qcs::cloudmate::uin/你的uin:workspace/你的空间2的ID", "qcs::cloudmate::uin/你的uin:workspace/你的空间2的ID/*" ] }, { "action": [ "cloudmate:CheckAssumeRole", "cloudmate:DescribeMCPServiceTools", "cloudmate:DescribeWorkspaceMCPTools", "cloudmate:SmartDiagnosis" ], "effect": "allow", "resource": [ "*" ] } ], "version": "2.0"}
四、MCP 鉴权
对于提供的 CLS 日志服务、腾讯云可观测平台 MCP，需要你通过鉴权之后，方可通过 MCP 来访问你的数据。
如你选择通过 Secret_Id、Secret_Key 进行鉴权，可参考如下步骤：
1. 在 CAM 新建一个子账号，使用 子账号密钥，用于 MCP 鉴权。
注意：为了你的安全，切勿使用 主账号密钥，请使用 子账号密钥。
2. 为该子账号绑定访问策略，策略参考如下：
·日志服务：你选择通过 Secret_Id、Secret_Key 对日志服务 MCP 进行鉴权时，可为子账号绑定如下访问策略。
{ "statement": [ { "action": [ "cls:EstimateRebuildIndexTask", "cls:GetAccount", "cls:GetAlarm", "cls:GetAlarmLog", "cls:GetChart", "cls:GetClsService", "cls:GetDashboard", "cls:GetDeliverFunction", "cls:GetFastAnalysis", "cls:GetHistogram", "cls:GetLog", "cls:GetResource", "cls:SearchCosRechargeInfo", "cls:SearchDashboardSubscribe", "cls:SearchLog", "cls:ShowContext", "cls:pullLogs", "cls:searchLog", "cls:CreateExport", "cls:DeleteExport", "cls:downloadLog", "cls:ListAlarm", "cls:ListChart", "cls:ListDashboard", "cls:get*", "cls:list*", "cls:Check*", "cls:Describe*", "cls:Query*", "cls:GetMetricLabelValues", "cls:GetMetricSeries", "cls:MetricsQuery*", "cls:MetricsLabel*", "cls:MetricsSeries*", "cls:Chat*" ], "effect": "allow", "resource": [ "*" ] }, { "action": [ "region:DescribeRegions" ], "effect": "allow", "resource": [ "*" ] } ], "version": "2.0"}
·可观测平台：你选择通过 Secret_Id、Secret_Key 对可观测平台 MCP 进行鉴权时，可为子账号绑定如下访问策略。
{ "statement": [ { "action": [ "monitor:Describe*", "monitor:Get*" ], "effect": "allow", "resource": [ "*" ] } ], "version": "2.0"}