腾讯云 API 凭证与 CAM 部署权限

保存 CAM 子账号密钥，供 CDN / EdgeOne / CLB / COS / SSL 证书库目标复用。请使用 CAM 子账号 的 API 密钥，不要使用主账号密钥。

一、创建子用户与 API 密钥

打开访问管理 · API 密钥（或使用子用户独立密钥）
「用户」→ 新建子用户 → 勾选「编程访问」
保存 SecretId 与 SecretKey（SecretKey 仅显示一次）

二、授权（二选一）

方式 A：预设策略（简单）

为子用户关联预设策略 QcloudSSLFullAccess（SSL 证书全读写）。

方式 B：最小权限（推荐）

本站各产品页会按已选目标生成 JSON，以页面生成的为准。下面是 CDN、EdgeOne、CLB、COS 与 SSL 证书库的全集。仅用 SSL 证书库时只需前两项。

JSON

{
    "version": "2.0",
    "statement": [
        {
            "effect": "allow",
            "action": [
                "ssl:UploadCertificate",
                "ssl:DescribeCertificates",
                "ssl:DeployCertificateInstance",
                "ssl:DescribeHostDeployRecordDetail",
                "ssl:DescribeHostCdnInstanceList",
                "ssl:DescribeHostTeoInstanceList",
                "ssl:DescribeHostClbInstanceList",
                "ssl:DescribeHostCosInstanceList"
            ],
            "resource": "*"
        }
    ]
}

权限	用途
`ssl:UploadCertificate`	上传证书到 SSL 证书服务
`ssl:DescribeCertificates`	测试连接（只读）
`ssl:DeployCertificateInstance`	把证书部署到 CDN、EdgeOne、CLB 或 COS
`ssl:DescribeHostDeployRecordDetail`	查询云资源部署任务结果
`ssl:DescribeHostCdnInstanceList`	查询 CDN 域名当前绑定的证书
`ssl:DescribeHostTeoInstanceList`	查询 EdgeOne 域名当前绑定的证书
`ssl:DescribeHostClbInstanceList`	查询 CLB 监听器当前绑定的证书
`ssl:DescribeHostCosInstanceList`	查询 COS 自定义域名当前绑定的证书

仅用 SSL 证书库时只需前两项：ssl:UploadCertificate、ssl:DescribeCertificates。

三、在本站配置

3.1 添加 API 凭证

证书部署 → 左侧 腾讯云 → API 凭证 → 「+ 新增凭证」
填写凭证名称、SecretId 与 SecretKey → 保存

3.2 添加部署目标

在「关联与推送」勾选目标并开启自动推送后，证书签发或续费成功会自动部署；也可以随时手动「立即推送」。

CDN：填写已接入的加速域名。部署会开启该域名的 HTTPS 计费开关（on）
EdgeOne：填写已接入的加速域名
CLB：选择资源地域，填写实例 ID（lb- 开头）和监听器 ID（lbl- 开头）。监听器开启了 SNI 时填写域名；未开启 SNI 或为 TCP_SSL 监听器时留空
COS：选择资源地域，Bucket 填写完整名称（如 examplebucket-1250000000），并填写已绑定的自定义域名

部署前，主账号需一次性授权服务角色 SSL_QCSLinkedRoleInReplaceLoadCertificate。在腾讯云 SSL 证书控制台首次使用部署功能时按提示授权。

SSL 证书库目标的添加步骤、部署效果与注意事项见 SSL 证书库。该目标仅上传，不会自动绑定到业务。

四、上传后的操作

「SSL 证书库」目标上传后，请登录腾讯云 SSL 控制台将证书绑定到业务。CDN、EdgeOne、CLB、COS 在开启自动推送后会自动部署，也可以手动立即推送。

注意事项

同一证书重复推送会复用腾讯云证书库中已有的那张；每个新证书版本会在证书库新增一条（备注含日期和任务 ID，如 nestssl-261201123），旧证书不会自动删除
部署前请确保证书记录中已保存私钥

腾讯云 API 凭证