云大佬有的企业不希望运维子用户在非工作时间登录腾讯云控制台，以减少无人值守时段的误操作。云大佬在协助采购和安全岗位对接时看到，这项限制不是在“用户资料”里勾一个开关就能完成，而要写进 CAM 策略的条件表达式，并且时间格式写错就会导致策略不生效，或把所有人拒之门外。
先理解条件是“附加限制”，不是单独的功能开关
CAM 策略由效果、操作、资源和条件等部分组成。要限制登录时段，通常是在允许控制台相关操作的语句上，增加关于请求时间的条件。条件键、时间区和日期格式必须以官方元素参考为准，不能凭记忆写一个“周一到周五”的中文描述。写完后，策略只会作用于被关联的用户或用户组，不会自动覆盖主账号登录。
配图为流程示意，非控制台截图或交易凭据。
落笔前要先定这张表
| 需要事先确定的事项 | 建议做法 | 容易忽略的点 |
|---|---|---|
| 适用对象 | 先选一个测试子用户，不要一开始绑定整个部门 | 值班、应急人员可能需要排除 |
| 允许的星期与时段 | 写成明确的起止时间，例如工作日九点到十八点 | 要声明使用哪个时区，避免差了八小时 |
| 允许的操作范围 | 只限制控制台登录，还是连 API 调用一并限制 | API 自动化任务可能在夜间运行 |
| 紧急入口 | 指定哪一位管理员可以在非工作时间解除限制 | 把解除步骤写成书面流程 |
| 验证方法 | 在允许和拒绝两个时段分别尝试登录 | 只在允许时段测试会漏掉拒绝是否生效 |
发布前用测试用户走两遍
把策略关联到测试用户后，分别在允许时段和刚过截止时间各登录一次，记录页面提示。如果拒绝没有出现，先检查条件键名称、时间格式和时区，而不是再叠加一条更复杂的策略。确认效果符合预期后，再关联到正式用户组，并通知相关人员新的登录窗口。
配图为流程示意，非控制台截图或交易凭据。
示例：一条策略差了时区，晚上六点就登不上
某连锁零售的信息部门希望子用户只在北京时间工作日登录。第一版策略写了时间，却没有核对时区，测试当天傍晚六点过后，门店值班人员无法进入控制台处理告警。他们保留了一位未关联该策略的管理员作为紧急入口，当晚解除了限制，修正时区后再重新验证，第二天才推广到全组。
写了时间条件，主账号还会受限制吗？
主账号通常不受这条针对子用户的策略限制，但这不是放松主账号保护的理由。主账号应尽量少用于日常登录，应急操作由管理员子用户承担，并保留独立的解除流程。
节假日加班需要临时放开，要怎么处理？
不要口头告诉对方“你直接登录试试”。由管理员按书面流程，在约定的起止时间内调整策略或把该人员临时移出限制组，到点再改回。每次临时放开都应留下操作人和原因，方便事后对账。
只限制控制台、不限制 API，这样合理吗？
对有夜间自动化任务的团队，这是常见做法。但要确认自动化使用的是专离子用户和最小权限密钥，而不是某位同事的控制台账号。若 API 也可以改资源，夜间风险并没有消失，只是换了入口，需要另做密钥和审计安排。
延伸阅读与办理
可继续阅读腾讯云账号的旧密钥怎么退役？先禁用观察，再确认删除。需要办理时，先查看腾讯云账号服务说明，再通过云大佬咨询入口说明用途与待核对事项。
官方资料
腾讯云：CAM 策略元素参考；腾讯云：CAM 基本概念；腾讯云：用户类型。资料核对日期：2026-11-12。文中清单为操作准备建议；产品条件、实际收费和可用功能以相应账号的官方页面及有效订单为准。
