权限不足时需先确认身份类型，主账号默认全权限，IAM子用户需主账号显式授权；再根据报错定位缺失权限如tos:GetObject等；最后通过IAM策略授予权限并检查桶策略是否Deny。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
当你在火山引擎对象存储（TOS）中执行操作时提示“权限不足”，说明当前使用的身份（主账号或 IAM 子用户）缺少对应 API 操作所需的最小权限集，无法完成创建桶、上传对象、设置策略等关键动作。
确认当前身份类型
先判断你正在使用的是主账号还是 IAM 子用户。主账号默认拥有全部 TOS 权限；而 【IAM 子用户默认没有任何权限】，所有操作都必须由主账号显式授权。
登录火山引擎控制台 → 进入「访问控制（IAM）」→ 查看当前登录用户名右侧是否标注「子用户」字样。若为子用户，后续所有授权必须由主账号完成。
定位缺失的具体权限
根据报错场景反推所需 action：
• 下载文件失败 → 需要 tos:GetObject 权限；
• 上传文件失败 → 需要 tos:PutObject 权限；
• 设置跨域规则失败 → 需要 tos:PutBucketCORS 权限；
• 创建桶清单失败 → 需要 tos:PutBucketInventory + tos:GetBucketInventory + tos:DeleteBucketInventory；
• 设置对象 ACL 失败 → 需要 tos:PutObjectACL 或 WRITE_ACP 对象级权限。
注意：如果桶已配置 SSE-KMS 默认加密，且你要生成桶清单，则还必须确保角色 tosarchivetosinventory 具备 kms:Decrypt 权限，否则清单任务会静默失败。
通过 IAM 策略授予权限
方法一：快速绑定系统策略（推荐给测试环境）
① 主账号登录 IAM 控制台 → 「策略管理」→ 「创建策略」；
② 选择「按服务授权」→ 服务选「对象存储 TOS」→ 勾选对应操作（如 PutObject、GetObject、ListBucket 等）→ 提交；
③ 进入「用户管理」→ 找到目标子用户 → 「添加权限」→ 选择刚创建的策略 → 完成绑定。
方法二：自定义最小权限策略（生产环境必须）
直接编写 JSON 策略，精确限定资源范围。例如只允许对名为 my-bucket 的桶执行读写：
{"Version":"2018-01-01","Statement":[{"Effect":"Allow","Action":["tos:GetObject","tos:PutObject"],"Resource":["acs:tos:::my-bucket/*"]}]}
粘贴该策略内容创建后，再绑定至子用户。切勿使用 * 通配符授予全桶或全账户权限。
检查桶策略是否 deny 了必要操作
即使 IAM 策略已授权，若桶策略中存在显式的 "Deny" 规则，且匹配当前请求，仍会导致权限拒绝。
进入 TOS 控制台 → 找到目标桶 → 「权限管理」→ 「桶策略」→ 检查是否存在类似以下语句：
"Action": ["tos:PutObject", "tos:GetObject"], "Effect": "Deny"
如有，请删除该 Deny 项或调整条件。特别注意：桶策略中的 Deny 优先级高于 IAM 策略中的 Allow。
验证 STS 临时凭证权限范围
若使用 STS 临时密钥（如通过 AssumeRole 获取），其权限是主账号策略与角色信任策略共同裁决的结果。
需确认：角色本身被授予了足够权限；且调用 AssumeRole 时指定的 Policy 参数未进一步缩小权限范围。
临时凭证有效期最长 3600 秒，过期后需重新获取。可通过调用 GetCallerIdentity 接口验证当前凭证实际生效的权限边界。
