子账号创建资源被拒主因是CAM策略权限不足，需依次检查：一、Action是否含Create类操作；二、Resource是否匹配目标ARN；三、有无Deny规则覆盖；四、用户组继承链是否截断权限；五、策略是否已同步生效。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在使用 WorkBuddy 子账号尝试创建设备、项目或模型实例等资源时遭遇拒绝，并提示“无权限”“Forbidden”或“UnauthorizedOperation”，则极可能是子账号所绑定的 CAM 策略未覆盖目标资源类型、操作动作或资源范围。以下是核对此类权限边界的步骤：
一、检查策略是否授予资源创建类 Action
CAM 策略必须显式声明允许执行创建类操作的动作（Action），例如 workbuddy:CreateDevice、workbuddy:CreateProject 或 cloudapi:CallApi（若涉及调用后端服务API）。仅授予只读权限（如 workbuddy:Describe*）无法支撑新建行为。
1、登录腾讯云控制台，进入「访问管理（CAM）」→「策略」页面。
2、在已关联至该子账号的策略列表中，点击任一策略名称进入编辑页。
3、切换至「策略语法」标签，查找 Statement 数组中 Effect 为 "Allow" 的条目。
4、确认其 Action 字段是否包含与创建动作匹配的精确值，如 workbuddy:CreateDevice、workbuddy:CreateModelEndpoint 等，不可仅依赖通配符 * 或 Describe 类动作替代。
二、验证 Resource 字段是否允许目标资源ARN
即使 Action 正确，若策略中 Resource 字段限定过窄（如指定特定地域、标签或ID前缀），而子账号尝试创建的资源不满足该约束，则请求仍被拒绝。Resource 值需与实际创建目标兼容。
1、在策略 JSON 中定位 Resource 字段，查看其值是否为通配符 "*"。
2、若为具体 ARN（如 qcs::workbuddy:ap-shanghai:uin/123456789:device/dev-abc123），确认该格式与待创建资源类型一致且地域匹配。
3、若需支持跨地域创建，应将 Resource 改为 qcs::workbuddy:*:*:* 或明确列出多个地域ARN，而非保留单一地域限定。
三、确认策略未被 Deny 规则覆盖
CAM 权限评估遵循“显式拒绝优先”原则。若任一已关联策略中存在 Effect 为 "Deny" 且匹配当前操作的语句，无论其他 Allow 规则如何，该请求均会被拦截。
1、逐条检查子账号「已关联策略」列表中的每项策略 JSON 内容。
WorkBuddy 桌宠工厂 —— 给一张角色图、一个 codex.pet 链接、一条 codex-pets.net 下载 URL、或一份现成的精灵表，就能自动创建一只可联动 WorkBuddy 状态的桌面宠物。当用户说"创建桌宠"、"做一只桌宠"、"用这张图做桌宠"、"从 codex.pet 安装桌宠"、"导入 codex 桌宠 XX"、"装一下 codex-pets.net 上的 XX&quo
2、搜索所有 Statement 中 Effect 值为 "Deny" 的条目。
3、核查其 Action 是否包含 workbuddy:* 或通用创建动作，尤其注意是否存在 "Deny": {"Action": "workbuddy:*", "Resource": "*"} 类全局禁止规则。
四、排查用户组继承链中是否存在权限截断
子账号可能通过用户组间接获得权限，但若某中间用户组绑定了 Deny 策略，或其上级策略未传递创建权限，则实际生效权限低于预期。
1、进入子账号详情页，切换至「用户组」标签，记录其所属全部用户组名称。
2、依次点击各用户组名称，进入对应策略管理页。
3、对每个用户组检查其「已关联策略」中是否包含创建类 Allow 动作，并确认无任一策略含冲突的 Deny 条款。
4、若发现某用户组仅绑定只读策略，而子账号又未直接绑定 FullAccess 策略，则必须为其单独添加创建权限策略，不可依赖用户组默认继承。
五、验证策略是否已同步生效
CAM 策略变更后存在短暂同步延迟（通常 ≤2 分钟），在此期间子账号发起的创建请求可能仍沿用旧权限缓存，导致报错。
1、完成策略修改后，勿立即重试创建操作。
2、等待至少 120 秒，期间可刷新子账号详情页的「已关联策略」列表，观察策略状态是否稳定显示为“生效中”。
3、同步完成后，再执行创建操作；若仍失败，说明策略内容本身存在边界缺陷，非延迟问题。
