需主账号在cam控制台为子账号绑定qcloudhunyuanfullaccess等模型调用策略，检查用户组授权、地域arn匹配、mfa启用状态，并删除本地sts_token.json刷新临时凭证。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在WorkBuddy中尝试切换模型时触发权限报错，且系统提示涉及子账号CAM（Cloud Access Management）授权异常，则说明当前登录的子账号缺乏调用目标AI模型所需的身份凭证或策略权限。以下是解决此问题的步骤：
一、确认子账号是否具备模型服务调用权限
CAM策略需显式授予子账号对腾讯云大模型服务（如Hunyuan、Kimi、DeepSeek等后端API）的访问能力，缺失对应Action将导致模型切换失败并返回403错误。
1、使用主账号登录腾讯云访问管理控制台。
2、在左侧导航栏选择「用户」→「用户列表」，点击目标子账号名称进入详情页。
3、切换至「授权策略」标签页，检查已绑定策略中是否包含hunyuan:InvokeModel、tiangong:InvokeModel或通用模型调用动作cloudapi:CallApi。
4、若无匹配策略，点击「关联策略」→ 搜索并勾选预置策略QCloudHunyuanFullAccess或自定义策略中添加对应模型服务Action。
二、验证CAM策略是否绑定至正确用户组或直接绑定子账号
子账号若仅通过用户组继承权限，而该用户组未被授予模型服务策略，或策略绑定状态为“已解除”，则权限不生效。
1、在子账号详情页的「用户组」标签下，查看其所属用户组列表。
2、点击任一用户组名称，进入该组策略管理页，确认QCloudHunyuanFullAccess或等效策略处于“已关联”状态。
3、若用户组无相关策略，返回用户组列表页，点击「关联策略」并手动添加；若子账号未加入任何用户组，则需在「授权策略」页直接为其绑定策略。
三、检查模型服务所在地域是否与CAM策略作用范围一致
CAM策略若设置了资源级限制（Resource-level），可能限定仅允许调用指定地域（Region）下的模型服务，而WorkBuddy客户端默认请求的地域与策略约束冲突。
1、在CAM策略JSON编辑器中，查找"Resource"字段内容。
统一LLM网关 - 一个API对接70+AI模型，使用单一API密钥即可调用GPT、Claude、Gemini、Qwen、Deepseek、Grok等主流模型。
2、确认其中是否包含类似"qcs::hunyuan:ap-guangzhou:uin/123456789:service/*"的ARN格式资源路径，且ap-guangzhou等地域标识与WorkBuddy后台实际部署模型服务的地域匹配。
3、若地域不一致，修改Resource值为通配符"*"，或补充目标地域ARN，保存策略后等待策略同步延迟（通常≤1分钟）。
四、排除子账号MFA多重验证拦截调用
部分企业启用严格安全策略，要求子账号在执行敏感操作（含模型API调用）前必须完成MFA验证，未启用MFA将导致调用被拒绝。
1、在子账号详情页，切换至「安全设置」标签。
2、检查「MFA设备」状态是否显示为“已启用”。
3、若显示“未启用”，点击「绑定MFA设备」，按向导完成Google Authenticator或腾讯云OTP绑定流程。
4、绑定完成后，在WorkBuddy中重新触发模型切换操作，系统将自动携带MFA令牌发起请求。
五、手动刷新子账号临时凭证缓存
WorkBuddy客户端可能缓存了过期或无效的STS临时密钥，导致后续模型调用持续使用失效凭证，即使CAM策略已修正也无法立即恢复。
1、关闭WorkBuddy客户端，确保所有进程退出（Windows任务管理器中结束workbuddy.exe，macOS活动监视器中终止WorkBuddy进程）。
2、定位本地凭证缓存目录：Windows路径为%APPDATA%\Tencent\WorkBuddy\Credentials\sts_token.json；macOS路径为~/Library/Application Support/com.tencent.workbuddy/Credentials/sts_token.json。
3、删除该sts_token.json文件。
4、重新启动WorkBuddy，登录子账号，执行任意需模型服务的操作（如输入“写一封邮件”），触发全新凭证拉取流程。
