子账号需主账号授予iam:CreateApiKey等四项权限才能创建API Key。主账号应绑定VolcEngineAPIKeyFullAccess策略或自定义精确策略，子账号重登后即可在「API访问密钥」页签创建并安全保存密钥。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
子账号登录火山引擎控制台后点击「API访问密钥」，页面提示“无权限创建API Key”，连「API Key」页签都不可见——这不是界面加载问题，而是子账号缺少iam:CreateApiKey策略权限，系统直接隐藏了整个功能入口。主账号未授权前，子账号连查看密钥列表的权限都没有，更别说创建。
确认子账号是否具备API Key管理权限
主账号需登录控制台→点击右上角头像→进入「IAM用户管理」→在用户列表中找到该子账号→点击右侧「详情」→切换到「权限策略」页签。
检查已绑定的自定义策略或系统策略中，是否包含以下最小必要权限：
"iam:CreateApiKey", "iam:ListApiKeys", "iam:DeleteApiKey", "iam:UpdateApiKeyStatus"
若仅含ReadOnlyAccess或VolcEngineFullAccess等宽泛策略，仍可能因策略版本陈旧而缺失API Key相关动作——必须显式声明iam:*或精确列出上述四项。
主账号为子账号授予API Key创建权限（推荐方式）
方法一：绑定系统策略（最快）
在子账号「权限策略」页签中点击「绑定策略」→搜索并勾选VolcEngineAPIKeyFullAccess→点击「确定」。
该策略由火山引擎官方维护，自动同步权限更新，无需手动维护Action列表。
方法二：创建自定义策略（精准可控）
主账号进入「策略管理」→「创建自定义策略」→选择「JSON」模式→粘贴以下内容：
{ "Version": "1", "Statement": [ { "Effect": "Allow", "Action": ["iam:CreateApiKey","iam:ListApiKeys","iam:DeleteApiKey","iam:UpdateApiKeyStatus"], "Resource": "*" } ] }
【Resource字段必须填"*"，填具体ARN会导致创建按钮灰显】
策略名称建议为AllowSubuserApiKeyOps，描述写明“仅开放API Key基础操作，不含密钥明文读取权限”。
子账号完成密钥创建的完整路径
第一步：子账号退出当前会话，重新登录控制台（权限变更非实时生效，需重登）。
第二步：点击右上角头像→「API访问密钥」→此时应可见「API Key」页签（若仍不可见，说明策略未生效或绑定失败）。
第三步：切换至「API Key」页签→点击「创建API Key」→填写名称（如sub-doubao-dev-202610）→点击「确定」。
第四步：弹窗中出现以ek-开头的密钥字符串→立即点击右侧「显示」图标→全选复制→粘贴至本地加密文本文件或密码管理器。
【关闭弹窗后密钥明文永久消失，后台不存储、不提供找回】
