给同事开 IAM 子账号，权限别一上来就给满

团队协作时，经常要给同事开 IAM 子账号。最图省事的做法是直接给个管理员权限——能用是能用，但风险也最大：对方误删资源、乱改配置，出问题时还分不清是谁干的。

更稳妥的做法分三步：

第一，按需给权。先问清楚对方到底要做什么。比如只需要看账单、对账，就只给费用中心的只读权限，别附带任何云资源的权限；只读和操作权限要分开给。

第二，用用户组管，别逐个账号授。把权限授给用户组，再把子账号拉进组里。以后同类同事入职直接进组、离职直接移出，不用每次重新配一遍，也不容易漏收。

第三，安全设置别省。给子账号开 MFA（虚拟 MFA 就行），账号层面设好密码策略：最小长度、定期改密、输错锁定。管理员权限能不开就不开，真要给，也尽量限定到具体的资源范围。

最后，配完别急着收工：用子账号实际登录一次，试试该看的能不能看到、不该动的能不能动，确认无误再交付。权限这东西，事前多花十分钟，胜过事后擦屁股。