百度智能云账号管理员（或拥有系统管理员权限的子用户）除了可以直接为子用户或用户组授予百舸预置策略外，还可以基于百舸预置策略创建自定义策略，实现更细粒度的权限控制。

本文将介绍如何通过 IAM 自定义策略，按需限制子用户对关联存储资源（如对象存储 BOS、文件存储 CFS）的访问范围。

应用场景

为简化授权流程，百舸预置策略默认包含了常用关联云产品（如 BOS、CFS）的列表和读取权限，适用于快速授权场景。

如果您希望子用户在使用百舸进行算法开发（如管理开发机、分布式训练、推理服务等）时，仅能查看和访问指定的存储实例（例如仅允许访问某个指定的 BOS 存储桶，而不能查看主账号下的全部存储桶列表），可以通过创建 IAM 自定义策略来实现精细化权限管理。

配置思路

以开发者策略 AIHCDevelopPolicy 为例，限制子用户仅能访问指定 BOS 存储桶 bucket01 的配置思路如下：

1. 创建自定义策略：以 AIHCDevelopPolicy 预置策略为模板创建自定义策略，保留百舸平台功能权限，并将策略中 BOS 的资源范围（resource）置空。
2. 授予自定义策略：在 IAM 中为目标子用户（或用户组）授予该自定义策略（替换原有的 AIHCDevelopPolicy 预置策略）。
3. 配置存储实例权限：在 BOS 控制台中，单独为该子用户授予目标存储桶（如 bucket01）的访问权限。

前提条件

• 已使用百度智能云主账号或具备 IAM 管理权限的子用户登录控制台。
• 已创建需要授权的 IAM 子用户。
• 已准备需要向子用户开放的目标存储资源（本文以 BOS 存储桶 bucket01 为例）。

操作步骤

步骤一：基于预置策略创建自定义策略

1. 进入多用户访问控制（IAM）控制台，在左侧导航栏选择策略管理。
2. 单击创建策略，选择按策略语法创建。
3. 填写策略基本信息（如策略名称设置为 AIHCDevelopPolicyUserDefined），并选择百舸预置策略 AIHCDevelopPolicy 作为策略模板。
4. 在策略语法配置中，找到 bce:bos 服务对应的权限配置项，将其 resource 字段的值由 ["*"] 修改为空数组 []，其他权限配置保持不变：

1{
2  "service": "bce:bos",
3  "region": "*",
4  "resource": [],
5  "effect": "Allow",
6  "permission": [
7    "READ",
8    "LIST",
9    "ListBuckets"
10  ],
11  "eid": "bos_list_and_read_access"
12}

说明：将 resource 设置为 [] 后，该策略不再默认授予子用户查看所有 BOS 存储桶的权限，具体可访问的存储桶将由后续在 BOS 控制台中的授权决定。

5. 单击确定，完成自定义策略创建。

步骤二：为子用户授予自定义策略

您可以直接为子用户授权，也可以通过用户组进行授权：

• 直接给子用户授权

  1. 在 IAM 控制台左侧导航栏选择用户管理 > 子用户。
  2. 找到目标子用户，单击授权（或进入用户详情页单击添加授权）。
  3. 在弹窗中搜索并勾选步骤一创建的自定义策略 AIHCDevelopPolicyUserDefined。
  4. 单击确定完成授权。

• 通过用户组给子用户授权

  1. 在 IAM 控制台左侧导航栏选择组管理。
  2. 选择目标用户组，单击编辑，勾选自定义策略 AIHCDevelopPolicyUserDefined 并添加对应子用户。
  3. 单击确认完成授权。

注意：若该子用户或所属用户组此前已绑定 AIHCDevelopPolicy 或其他包含 BOS 全局读取权限（如 resource: ["*"]）的策略，请将其移除，否则子用户仍会继承全局列表权限。

步骤三：在 BOS 控制台授予指定存储桶权限

1. 进入对象存储 BOS 控制台。
2. 在存储桶列表中单击目标存储桶（如 bucket01），进入存储桶详情页。
3. 在访问权限相关配置页面中，为目标子用户添加该存储桶的访问权限（根据业务需求授予读取、列表或读写权限）。
4. 保存配置使授权生效。

完成以上配置并结合百舸 RBAC 授权后，该子用户登录百舸控制台时，即可正常使用被授权队列的算法开发功能，且在选择 BOS 存储时仅对已授权的 bucket01 具备访问权限。

注意事项

• 配合百舸 RBAC 权限使用：IAM 自定义策略仅完成第一阶段的云产品访问控制，子用户仍需在百舸控制台的资源池或队列成员管理中完成 RBAC 角色授权，才能在对应资源池或队列中执行操作。
• IAM 权限叠加规则：当子用户同时关联多个 IAM 策略时，权限取并集。如需收敛存储访问范围，请确保子用户未同时绑定包含存储全局访问权限（resource: ["*"]）的其他策略。
• CFS 权限精细化控制：如需对文件存储 CFS 进行同等粒度的权限控制，可参照上述方式修改自定义策略中的 bce:cfs 资源配置，并按需为子用户授予指定 CFS 实例的访问权限。