腾讯云国际站 腾讯云国际分销版账号安全

你有没有想过——

那个被你随手创建、起名叫dev-test-01的子账号，正悄悄调用ec2:TerminateInstances删掉生产环境三台核心数据库？

那串贴在钉钉群公告栏里的AK/SK，已被爬虫抓走，在黑产论坛标价$12.99包年租用？

而你那位合作三年的分销伙伴，上周刚把你的客户资源导出后，注册了同名竞品官网？

别急着截图报警——先看看你手里这张腾讯云国际分销版账号，是不是正躺在“高危舒适区”里睡大觉。

一、不是所有“云账号”，都叫“安全账号”

腾讯云国际站（Tencent Cloud International）的分销版（Reseller Program），和国内版压根不是同一套逻辑。它不走企业微信审批流，不强制SSO集成，不自动同步AD域控，更不会在你新建子账号时弹窗提醒：“亲，这个AdministratorAccess权限相当于把保险柜钥匙焊死在对方裤腰带上哦～”

它只静静给你一个控制台，一个API密钥生成器，和一份写着“请自行承担安全责任”的Terms of Service小字条款。

换句话说：分销版账号，是“自助式军火库”——枪支弹药管够，但上不上保险栓、装不装瞄准镜、打不打靶前报备，全看你手艺。

二、三大翻车现场，全是分销版特供款

翻车现场①｜“最小权限”？不存在的，只有“最大省事”

某跨境电商SaaS厂商，为快速接入56家分销商，批量创建子账号，统一授予QcloudAccessForAll策略——听名字就很霸气，翻译过来就是：“本账号可操作腾讯云国际站全部服务，包括但不限于删除VPC、清空COS桶、重置主账号手机绑定。”

结果？其中一家分销商的开发小哥误点“一键销毁测试集群”，顺手勾选了“连同关联资源一并删除”。37个客户订单系统瞬间离线，财务对账中断8小时。复盘发现：该子账号连cam:DeleteUser都有权限——删自己账号都能删，何况删你的集群。

翻车现场②｜AK/SK不是员工工牌，是银行金库密码

另一家教育科技公司，把API密钥硬编码进GitHub公开仓库的config.py里，还贴心加了注释：# prod env, don't touch!。不到48小时，密钥被自动化扫描脚本捕获，攻击者用它调用tcn:CreateInstance疯狂起实例挖矿，账单日涨$3200。最绝的是——他们用了整整17天才发现，因为监控告警被配成了“仅邮件通知”，而负责收邮件的运营同学，正在休婚假。

翻车现场③｜分销链路=信任黑洞，没有日志等于没发生过

某出海游戏发行商，通过分销伙伴代管海外玩家数据。某天发现COS里23TB用户行为日志莫名消失。查操作记录？空白。翻CloudTrail？未开启。问分销商？对方回复：“系统升级清理缓存，您没收到通知吗？”——而他们的分销合同里，压根没写“操作留痕”这条义务。

三、救命三板斧：不靠玄学，只靠配置

第一斧｜砍掉默认高危开关

登录腾讯云国际控制台 → 进入【访问管理 CAM】→ 【策略管理】→ 找到你分配给分销商的自定义策略（别信预设策略！）。逐行检查以下高危动作是否被放行：

• cam:*Delete*（删账号/策略/用户组）
• tcn:ModifyAccount*（改主账号手机号、邮箱、实名信息）
• cos:PutBucketPolicy（给存储桶挂公开读写策略）
• vpc:Delete*（删VPC、子网、路由表——删VPC=删整个网络世界）

记住口诀：宁可多点三次鼠标授权，绝不少设一条拒绝规则。比如想让分销商只能查CVM状态？就只给tcn:DescribeInstances，其他统统deny。

第二斧｜给API密钥穿三层盔甲

1. 物理隔离：所有AK/SK禁止出现在代码、配置文件、环境变量中。必须用腾讯云Secrets Manager托管，调用时动态拉取；
2. 时间锁死：创建密钥时务必勾选“设置有效期”，建议≤90天，到期自动失效；
3. 空间围栏：在密钥策略中绑定sourceIp条件，例如：{"IpAddress":{"qcs:source-ip":"203.123.45.0/24"}}，把调用来源钉死在分销商IDC出口IP段。

第三斧｜用CloudTrail织一张“看不见的网”

腾讯云国际站的CloudTrail不是摆设——它是你唯一能看清分销商到底干了啥的“上帝视角”。开启步骤极简：

1. 进入【CloudTrail】→ 【创建追踪器】→ 勾选“将事件投递至COS”；
2. COS桶权限设为“仅允许CloudTrail写入”，禁止任何人读取；
3. 在【事件选择器】里，务必勾选“读写事件”，且“包含所有事件”打钩；
4. 最后，用EventBridge配置告警规则：只要出现Delete*、Modify*、Put*类高危动作，立刻短信+企业微信双通道轰炸。

这不是防君子，是防“手滑的程序员”、“被黑的协作账号”、“离职没交接的外包”。日志存够90天，出了事不用扯皮，直接甩链接：“你看，第3724行，他删桶时没填备注。”

四、附赠：分销账号安全自查清单（可直接打印贴工位）

• 腾讯云国际站 □ 主账号已启用MFA（Google Authenticator或硬件Key），且禁用短信验证
• □ 所有分销子账号均使用独立策略，无*通配符权限
• □ 每个子账号绑定专属API密钥，且有效期≤90天、IP白名单已设
• □ CloudTrail已开启，日志投递至专用COS桶（非公共桶），且保留90天以上
• □ 分销合同明确约定：“所有操作须留痕，日志所有权归我方，违约可立即终止合作”
• □ 每季度执行一次“权限瘦身”：用CAM的【策略模拟器】反向检测哪些权限从未被调用，果断回收

最后说句实在话：云安全不是买个WAF就万事大吉，也不是开了MFA就能高枕无忧。它是一场持续的“权限博弈”——你松一寸，风险长一丈；你细一分，防线厚一尺。

下次当你再给分销商开账号时，请默念三遍：

“我不怕他能力差，只怕他权限大；
我不怕他动作慢，只怕他没留痕；
我不怕他不靠谱，只怕我太好说话。”

毕竟，云上世界没有后悔键，只有快照和备份——而最好的备份，永远是你按下“确认”前，那0.5秒的停顿。