调用GrantAccountPrivileges API才能使TDSQL/MariaDB权限生效，需严格匹配账号User@Host、权限大小写全大写、全局权限省略Type/Object，且1–2分钟同步。
GrantAccountPrivileges 接口怎么赋权才生效
腾讯云 tdsql / mariadb 实例的账号权限不是靠 sql 语句（如 grant）直接执行，而是必须调用 grantaccountprivileges 这个 api 才能写入管控层。本地连上执行 grant 不会报错，但重启后或跨节点访问时权限就丢失——这是最常被忽略的前提。
-
UserName和Host必须完全匹配已存在的账号，比如账号是appuser@10.%.%，就不能只传appuser@%，否则返回 “账号不存在” - 给全局权限（
DbName=*）时，Type和Object必须省略；但若想授权到某张表，就必须同时填Type=table、Object=users、DbName=mydb - 权限列表里不能混用大小写，
["select", "Insert"]会失败，必须全大写：["SELECT", "INSERT"] - 调用后不会立即生效，一般 1–2 分钟内同步到所有节点，期间
SHOW GRANTS FOR ...可能仍显示旧权限
外网地址开了却连不上？先盯住安全组这三处
开启外网访问后控制台显示了 *.tencentcdb.com 域名，但 curl -v http://xxx.tencentcdb.com:5432 超时——90% 是安全组没配对，而不是 DNS 或网络问题。
- 如果外网域名是
*.tencentcdb.com，说明走的是 CVM 同 VPC 内网穿透 + NAT 出口，此时要检查**向量数据库实例绑定的安全组**的入站规则，放通你的本地公网 IP（不是 CVM 的内网 IP）+ 端口 - 如果域名是
*.tencentclb.com，说明走的是 CLB（负载均衡），这时不看安全组，而要看「编辑白名单」弹窗——它实际跳转到的是 CLB 的访问控制列表，填的是 CIDR，不是单 IP - 别忘了出站规则：有些用户开了入站，但安全组默认拒绝所有出站，导致数据库无法回包，连通性检测卡在 SYN_SENT
域名解析指向腾讯云服务器，但 HTTP 请求 502？检查 Nginx 认证和 Host 头
你把 db-api.example.com 解析到了 CVM 公网 IP，Nginx 也配了反代到向量数据库的外网地址，但浏览器打开就 502——大概率是反代链路中某个环节校验失败。
腾讯云跨账号资源迁移
下载
腾讯云跨账号资源迁移工具，支持将账号A的VPC、CLB、NAT、CVM、安全组等资源迁移至账号B，通过CCN云联网实现跨账号网络互通，提供自动扫描、配置生成、Terraform部署功能。
- 确认 Nginx 配置里
proxy_set_header Host没写死成localhost，否则腾讯云向量库的网关可能拒收请求（它依赖 Host 判断租户） - 如果你启用了
auth_basic，注意auth_basic_user_file路径必须是绝对路径，且 Nginx worker 进程有读取权限；用htpasswd -c生成时别漏掉-c，否则覆盖原文件导致所有用户失效 - 腾讯云向量库外网地址带端口（如
:8080），Nginxproxy_pass必须显式带上端口，写成proxy_pass https://xxx.tencentcdb.com:8080/;，少个:8080就是 502
chmod 644 和 755 乱设，会导致向量数据库 SDK 初始化失败
某些 Python/Node.js 客户端 SDK（如 tencentcloud-sdk-python）在加载证书或配置文件时，会校验文件权限。如果你把 ~/.tencentcloud/credentials 设成 755，SDK 就会静默跳过该文件，最终报错 InvalidEndpointError 或 CredentialNotReady，而不是明确说“权限太大”。
- 敏感配置文件（密钥、证书、
config.json）一律用chmod 600，目录用700；开放给 Web 服务读的静态资源才考虑644/755 - 用
ls -l看一眼真实权限：数字权限只是快捷写法，真正起作用的是 rwx 位，644对应-rw-r--r--，755是-rwxr-xr-x - 别信“chmod -R 755 /data”这种一键命令，递归改权限极易把日志文件、socket 文件、PID 文件一起改成可执行，后续进程启动失败都查不到源头
