yun

创建用户组并完成授权后，可以以为用户组添加或移除子账号，快速实现用户的权限变更。

新建子用户/用户组时，默认没有任何权限，需要主账号或管理员为其绑定策略，才能使用户/用户组有某些云资源的操作权限。

创建用户/用户组时，默认没有任何权限，可以以通过为其关联策略，使用户/用户组获得对应的操作权限。

策略（policy）由版本（version）元素和语句（statement）元素组成，用来描述授权的具体信息。version 元素应位于 statement 元素之前，每个策略仅允许包含一个 version 元素。其中，statement 元素用于定义一条或多条授权规则，核心元素包括委托人（principal）、操作（action）、资源（resource）、生效条件（condition）以及效力（effect）。元。

整个策略的语法结构如下图所示。策略 policy 由版本 version 和语句 statement 构成。
语句 statement 是由若干个子语句构成。每条子语句包括操作 action、资源 resource、生效条件 condition 以及效力 effect 四个元素，其中生效条件 condition、委托人信息 principal 是非必填项。

腾讯云用户访问云资源时， CAM 通过以下评估逻辑决定允许或拒绝。
2.1 判断是否匹配策略，是则进行下一步判断；否则最终判断为 deny，不允许访问云资源。

资源（resource）元素描述一个或多个操作对象，如 CVM 资源、COS 存储桶等。这篇档主要介绍 CAM 的资源描述信息。

场景假设：你希望给每个 CAM 用户授予其创建资源的访问权限。例如，你想要设置 COS 资源的创建者默认拥有该资源的访问权限。
如果由资源拥有者（主账号）将资源逐个授权给资源创建者，授权成本很高，需要为每种资源都编写策略并授权给创建者。在这种情况下，可以以通过使用策略变量来实现你的需求。在策略的资源定义中增加占位符描述创建人的子账号 uin，该占位符即是策略变量。当鉴权时，策略变量将被替换为来自请求本身的上下面信息。

在通过 CAM 控制台的 策略生成器创建策略 时，可以以根据需要设置策略生效条件。

使用场景： 当前角色为云缓存Redis服务相关角色，用于授权访问SSL证书云资源，操作更高效、更安全。该角色将在已关联策略的权限范围内访问你的其他云服务资源权限策略。