云大佬腾讯云账号用了一段时间后，往往会冒出不少 API 密钥：有的是管理员发的，有的是子用户自己在控制台点出来的。出了事要回收时，清单对不齐。云大佬建议：把“谁可以创建密钥”当成一项单独的权限，而不是默认开放给所有子用户。
为什么要先收回“自己创建密钥”的能力
子用户一旦能自己创建密钥，就等于可以在管理员不知情时再复制一把调用资格。密钥通常能按该用户已有权限访问资源，不一定要再登录控制台。若人员离职、电脑中毒或配置文件被提交到代码仓库，管理员却不知道这把密钥存在，腾讯云账号的收口就会慢一拍。
配图为流程示意，非控制台截图或交易凭据。
收权时可以对照下面这张表
| 对象 | 建议做法 | 原因 |
|---|---|---|
| 日常运维子用户 | 默认不允许自己创建或删除密钥 | 需要调用时由管理员签发并登记 |
| 自动化程序 | 用尽量窄的子用户或角色，密钥单独台账 | 避免把程序密钥和人工登录混在同一身份下 |
| 临时协作者 | 不开放密钥权限，能不发长期密钥就不要发 | 项目结束先禁用再删除 |
| 管理员本人 | 保留签发能力，但操作写入审计说明 | 防止“谁都能发”又变成“谁都没记录” |
收权之后还要做一次存量清点
把现有密钥按“属于哪个子用户、最后使用时间、用在哪套系统”列出来。不再使用的先禁用观察，再删除；仍要使用的，确认创建人与保管人。这样腾讯云账号里不会一边收了新权限，一边还留着无人认领的旧密钥。
配图为流程示意，非控制台截图或交易凭据。
示例：开发自己补了一把密钥
一家代理商的开发人员权限里可以自己创建 API 密钥。他为了在家排查问题，另建了一把并写进个人电脑脚本。离职时管理员只回收了原来那把。一个月后才在调用记录里看到旧脚本还在尝试访问。后来他们关闭了子用户自建密钥的权限，并规定新密钥必须由管理员签发、在台账编号。
收回创建权限后，子用户已经持有的密钥还能用吗？
通常仍然可用，直到被禁用或删除。收权管的是“以后还能不能再造新的”，不会自动作废已经发出的密钥。所以收权当天必须同时做存量清点，否则只是堵住了新的缺口，旧的缺口还在。
完全不让子用户碰密钥，自动化任务怎么跑？
可以把程序专用身份和人工身份分开，由管理员为程序签发密钥或改用角色临时凭证，并把密钥保管位置写进台账。不要为了图方便，又把创建权限开回给所有人。权限收窄和任务能跑，可以同时成立。
怎样检查某个子用户是不是还能自己创建密钥？
用该子用户登录或用策略模拟查看，是否仍包含创建访问密钥相关操作；也可以在管理员侧复查其关联策略。检查结果应写下日期。策略名看起来像“只读”，也要再确认有没有被其他策略额外放开。
延伸阅读与办理
可继续阅读腾讯云账号的旧密钥怎么退役？先禁用观察，再确认删除。需要办理时，先查看腾讯云账号服务说明，再通过云大佬咨询入口说明用途与待核对事项。
官方资料
腾讯云：子账号 API 密钥管理；腾讯云：用户类型；腾讯云：创建子用户；腾讯云：CAM 策略元素参考。资料核对日期：2026-11-13。文中清单为操作准备建议；产品条件、实际收费和可用功能以相应账号的官方页面及有效订单为准。
