遇到“invalid_api_key”或“100013:AccessDenied”报错，说明子账号缺少联网问答Agent服务调用权限，需通过IAM手动附加TorchlightApiFullAccess系统策略或自定义策略授权，并验证健康检查接口返回200。

遇到“invalid_api_key”或“100013:AccessDenied”报错，说明子账号虽已创建，但未获得联网问答Agent服务的调用权限，必须通过IAM手动附加策略才能正常调用API。

确认子账号已具备基础访问能力

登录火山引擎控制台→使用主账号进入【访问控制（IAM）】→左侧导航栏点击【用户】→在用户列表中找到目标子账号→点击用户名进入详情页→切换到【密钥】页签，确认已生成有效的Access Key（AK/SK）或已配置API Key。若无密钥，请先返回【登录设置】启用“编程访问”并创建密钥。

为子账号授予联网问答Agent权限

方法一：直接附加系统预设策略（推荐，一步到位）

在子账号详情页→点击【权限】→在【直接附加权限】区域点击【添加权限】→在搜索框输入 TorchlightApiFullAccess →勾选该策略→点击【提交】。

注意：该策略名称区分大小写，必须完整输入，漏一个字母或大小写错误都会导致策略不可见；若搜索无结果，请确认主账号已开通联网问答Agent服务（进入【产品与服务中心】→搜索“联网问答Agent”，至少完成试用开通）。

方法二：通过自定义策略精确授权（适用于安全审计强要求场景）

① 在IAM控制台左侧导航栏点击【策略管理】→【用户自定义策略】→【新建策略】；

② 策略名称填“TorchlightApiReadOnly”（或其他有意义名称），策略内容粘贴以下最小化JSON：

{ "Version": "1", "Statement": [ { "Effect": "Allow", "Action": [ "torchlight:QueryAnswer" ], "Resource": "*" } ] }

③ 提交策略后，回到子账号【权限】页→【添加权限】→选择【自定义策略】→勾选刚创建的策略→提交。

验证权限是否生效

使用子账号的AK/SK或API Key，调用一次联网问答Agent的健康检查接口（如GET /v1/health），状态码返回200即表示权限配置成功。

若仍报错，请检查请求Header中Authorization字段是否严格按格式填写：Bearer <API_KEY>（API Key方式）或按AK/SK签名规范构造（Access Key方式）。