若遇“未授权访问该资源”提示且日志指向IAM子账号权限异常，需依次验证：一、子账号是否已通过企业邀请加入并激活；二、是否被授予模板分配管理员或模板管理员角色；三、所绑IAM模板是否启用且含WorkBuddy必需权限（如codebuddy:Invoke）；四、是否存在显式Deny策略拦截；五、审计日志中是否有PolicyConflict告警。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在使用 WorkBuddy 过程中收到“未授权访问该资源”提示，且系统日志或错误详情中明确指向 IAM 子账号权限异常，则极可能源于子账号所绑定的 IAM 策略未包含 WorkBuddy 所需的最小操作权限。以下是定位与修正该问题的具体步骤：
一、验证子账号是否被正确纳入企业账户管理体系
WorkBuddy 依赖企业级 IAM 统一鉴权，若子账号未通过企业邀请流程加入，或未被分配至有效账户组，则无法继承任何策略授权。该状态将直接导致所有资源访问请求被拒绝。
1、登录 IBM Cloud 企业管理控制台，进入「所有IAM账户管理服务」。
2、在左侧菜单选择「账户与账户组」，确认当前使用的子账号已出现在目标账户或账户组成员列表中。
3、检查该子账号右侧显示的「状态」字段，必须为已激活且无“待批准”“已退出”等异常标识。
4、若未找到该账号，需由企业管理员重新发起邀请，并确保邀请链接已由子账号用户点击并完成注册绑定。
二、检查子账号是否被授予模板分配管理员或模板管理员角色
WorkBuddy 的核心能力（如调用 MCP Server、读取组织单元结构、同步 Claw 插件索引）需通过企业 IAM 模板策略下发。仅拥有子账户本地 IAM 权限不足以支撑跨账户资源访问，必须具备模板级策略分配权限。
1、在企业管理控制台中，切换至「用户管理」页签。
2、搜索目标子账号，点击其用户名进入详情页。
3、查看「分配的角色」区域，确认至少存在一项来自「企业管理服务」的角色，例如模板分配管理员或模板管理员。
4、若仅显示「子账户管理员」或「查看者」等非企业管理角色，则需由更高权限管理员为其追加对应角色。
三、核查已分配的 IAM 模板是否启用且包含 WorkBuddy 必需权限节点
即使子账号拥有模板管理角色，若所绑定的 IAM 模板本身未配置 WorkBuddy 相关权限，或模板处于禁用状态，仍将导致授权失效。模板内容需显式声明对 WorkBuddy 所依赖的服务（如 codebuddy.cn 域名下的 API、Claw Settings 后端、MCP 注册服务）的访问许可。
1、进入「IAM 模板」管理页面，筛选出已分配给该子账号的模板。
使用 draw.io（.drawio 格式）和 SVG 生成兼容 Microsoft Visio 的架构图。当用户需要以下任一场景时触发： - 用于 Visio 或技术文档的架构/系统/网络图 - 带连接标注的分层控制系统图 - 将 draw.io XML 转换为稳定、可嵌入的 SVG - 修复 Visio 或 draw.io 无法打开的故障排查类图表 - 任何需专业级布局且文本可编辑的图表
2、点击模板名称进入编辑视图，确认右上角「状态」为已启用。
3、在策略语句（Policy Statement）区域，查找是否存在包含以下资源路径的 Allow 规则：arn:aws:codebuddy::workbuddy:*、https://workbuddy.codebuddy.cn/api/* 或 mcp-server/workbuddy/。
4、若无匹配项，点击「添加策略语句」，手动插入一条最小权限策略：Action 设为 codebuddy:Invoke、Resource 设为上述任一有效 ARN 或 URL 模式，Effect 设为 Allow。
四、确认子账号未被显式拒绝（Deny）相关操作
IAM 策略遵循“显式拒绝优先”原则。若子账号所属的访问组、角色或直接绑定的策略中存在 Deny 类型语句，且其 Effect 字段为 Deny、Resource 匹配 WorkBuddy 接口路径，则无论 Allow 策略如何配置，访问均会被拦截。
1、在子账号详情页中，点击「访问权限」→「策略评估」。
2、在策略评估工具中，输入测试操作：Service 选 codebuddy，Action 选 Invoke，Resource 输入 https://workbuddy.codebuddy.cn/api/v1/claw/settings。
3、运行评估后，查看结果是否出现Explicit deny标记。
4、若存在，返回对应策略文档，定位含 "Effect": "Deny" 且 Resource 匹配 workbuddy 的语句，临时注释或删除该行后保存策略。
五、检查企业级审计日志中是否存在策略冲突告警
IBM Cloud 企业审计日志会记录所有 IAM 策略变更及权限拒绝事件。若子账号持续触发“未授权访问”，审计日志中通常会生成带 PolicyConflict 或 AccessDeniedByPolicy 标识的条目，可据此反向定位冲突策略源。
1、进入「审计日志」服务，设置时间范围为最近24小时。
2、在过滤器中输入关键词：workbuddy、AccessDenied、PolicyConflict。
3、查找日志条目中「reason」字段包含The principal does not have permission to perform action on resource的记录。
4、点击该条目展开详情，在「policyId」字段中提取冲突策略唯一标识，据此回溯至 IAM 模板或访问组配置页进行修正。
