WorkBuddy提示未授权访问该资源为何_检查IAM子账号策略设置-人工智能-PHP中文网

若遇“未授权访问该资源”提示且日志指向iam子账号权限异常，需依次验证：一、子账号是否已通过企业邀请加入并激活；二、是否被授予模板分配管理员或模板管理员角色；三、所绑iam模板是否启用且含workbuddy必需权限（如codebuddy:invoke）；四、是否存在显式deny策略拦截；五、审计日志中是否有policyconflict告警。

☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜

workbuddy提示未授权访问该资源为何_检查iam子账号策略设置

如果您在使用 WorkBuddy 过程中收到“未授权访问该资源”提示，且系统日志或错误详情中明确指向 IAM 子账号权限异常，则极可能源于子账号所绑定的 IAM 策略未包含 WorkBuddy 所需的最小操作权限。以下是定位与修正该问题的具体步骤：

一、验证子账号是否被正确纳入企业账户管理体系

WorkBuddy 依赖企业级 IAM 统一鉴权，若子账号未通过企业邀请流程加入，或未被分配至有效账户组，则无法继承任何策略授权。该状态将直接导致所有资源访问请求被拒绝。

1、登录 IBM Cloud 企业管理控制台，进入「所有IAM账户管理服务」。

2、在左侧菜单选择「账户与账户组」，确认当前使用的子账号已出现在目标账户或账户组成员列表中。

3、检查该子账号右侧显示的「状态」字段，必须为已激活且无“待批准”“已退出”等异常标识。

4、若未找到该账号，需由企业管理员重新发起邀请，并确保邀请链接已由子账号用户点击并完成注册绑定。

二、检查子账号是否被授予模板分配管理员或模板管理员角色

WorkBuddy 的核心能力（如调用 MCP Server、读取组织单元结构、同步 Claw 插件索引）需通过企业 IAM 模板策略下发。仅拥有子账户本地 IAM 权限不足以支撑跨账户资源访问，必须具备模板级策略分配权限。

1、在企业管理控制台中，切换至「用户管理」页签。

2、搜索目标子账号，点击其用户名进入详情页。

3、查看「分配的角色」区域，确认至少存在一项来自「企业管理服务」的角色，例如模板分配管理员或模板管理员。

4、若仅显示「子账户管理员」或「查看者」等非企业管理角色，则需由更高权限管理员为其追加对应角色。

三、核查已分配的 IAM 模板是否启用且包含 WorkBuddy 必需权限节点

即使子账号拥有模板管理角色，若所绑定的 IAM 模板本身未配置 WorkBuddy 相关权限，或模板处于禁用状态，仍将导致授权失效。模板内容需显式声明对 WorkBuddy 所依赖的服务（如 codebuddy.cn 域名下的 API、Claw Settings 后端、MCP 注册服务）的访问许可。

1、进入「IAM 模板」管理页面，筛选出已分配给该子账号的模板。

WorkBuddy Visio — Visio 兼容架构图生成器

使用 draw.io（.drawio 格式）和 SVG 生成兼容 Microsoft Visio 的架构图。当用户需要以下任一场景时触发： - 用于 Visio 或技术文档的架构/系统/网络图 - 带连接标注的分层控制系统图 - 将 draw.io XML 转换为稳定、可嵌入的 SVG - 修复 Visio 或 draw.io 无法打开的故障排查类图表 - 任何需专业级布局且文本可编辑的图表

下载

2、点击模板名称进入编辑视图，确认右上角「状态」为已启用。

3、在策略语句（Policy Statement）区域，查找是否存在包含以下资源路径的 Allow 规则：arn:aws:codebuddy::workbuddy:*、https://workbuddy.codebuddy.cn/api/* 或 mcp-server/workbuddy/。

4、若无匹配项，点击「添加策略语句」，手动插入一条最小权限策略：Action 设为 codebuddy:Invoke、Resource 设为上述任一有效 ARN 或 URL 模式，Effect 设为 Allow。