子账号需主账号授予IAM只读权限才能通过联网问答访问IAM资源，可选系统策略IAMReadOnlyAccess或自定义最小化策略，且必须启用控制台访问并设置密码。

要在火山引擎中让子账号能通过联网问答功能访问 IAM 相关资源，必须由主账号为其精确分配对应权限策略，否则子账号登录后将看不到 IAM 控制台入口或无法执行用户管理、策略查看等操作。

确认子账号已创建并启用控制台访问

使用主账号登录火山引擎访问控制（IAM）控制台→在左侧导航栏单击「用户」→找到目标子用户→检查其「登录设置」中是否已启用「控制台访问」并设置了有效密码。【未启用控制台访问的子用户无法打开 IAM 控制台页面】

若该子用户仅配置了编程访问（AK/SK），则无法直接登录 IAM 控制台，必须额外勾选「控制台访问」并设置密码才能进行可视化权限操作。

为子账号授予 IAM 管理所需的核心权限

子账号默认没有任何权限。要使其能正常使用联网问答中涉及的 IAM 功能（如查看用户列表、读取策略内容、查看权限绑定关系），至少需授予以下两类权限之一：

方法一：附加系统预设策略 IAMReadOnlyAccess

在子用户详情页 →「权限」页签 →「添加权限」→搜索框输入 IAMReadOnlyAccess →勾选该策略 →单击「确定」。此策略允许子账号查看所有 IAM 资源，但不可修改。

方法二：自定义最小化只读策略（推荐用于敏感场景）

进入「策略管理」→「新建策略」→策略名称填 IAM-QueryOnly →策略内容粘贴如下 JSON：

{ "Statement": [ { "Effect": "Allow", "Action": [ "iam:GetUser", "iam:ListUsers", "iam:ListPolicies", "iam:ListAttachedUserPolicies", "iam:GetPolicy", "iam:GetPolicyVersion" ], "Resource": "*" } ] }

保存后回到子用户权限页，添加该自定义策略。此策略严格限制仅可查询，不包含任何写操作，避免误删或越权暴露密钥信息。

验证子账号能否正常访问 IAM 控制台并执行查询

第一步：用子账号凭据登录火山引擎正式，在登录页选择「IAM 子用户登录」→输入用户名与密码。

第二步：成功登录后，在顶部搜索栏输入「IAM」或进入「产品与服务中心」→找到「访问控制（IAM）」并点击进入。

第三步：在 IAM 控制台左侧导航栏，确认可展开「用户」「策略管理」「权限」等菜单项；点击「用户」应能列出当前账号下全部子用户（含自己）；点击任意用户可查看其权限绑定状态。【若点击「用户」后提示“无权限”或页面空白，说明策略未生效或策略内容缺失 iam:ListUsers 权限】