服务（相关）角色是由腾讯云服务预定义，经用户授权后相应服务即可通过扮演服务相关角色对用户资源进行访问操作。本文档介绍具体服务相关角色的使用场景及相关权限策略信息。

CAM中产品名	角色名称	角色类型	角色载体
大模型服务平台 TokenHub	TokenHub_QCSLinkedRoleInBatchInference	服务相关角色	batchinference.tokenhub.cloud.tencent.com
大模型服务平台 TokenHub	TokenHub_QCSLinkedRoleInInitialization	服务相关角色	initialization.tokenhub.cloud.tencent.com
大模型服务平台 TokenHub	TokenHub_QCSLinkedRoleInInternalAccess	服务相关角色	internalaccess.tokenhub.cloud.tencent.com
大模型服务平台 TokenHub	TokenHub_QCSLinkedRoleInCloudLogService	服务相关角色	tokenhublog.cls.cloud.tencent.com
大模型服务平台 TokenHub	TokenHub_QCSLinkedRoleInTokenPlanEnterprise	服务相关角色	tokenplanenterprise.tokenhub.cloud.tencent.com
大模型服务平台 TokenHub	TokenHub_QCSLinkedRoleInWebApplicationFirewall	服务相关角色	tokenhublog.waf.cloud.tencent.com

TokenHub_QCSLinkedRoleInBatchInference

使用场景： 当前角色为 TokenHub 服务相关角色，用于授权 TokenHub 访问 COS ，无需用户托管密钥，操作更高效、更安全。该角色将在已关联策略的权限范围内访问您的 COS 资源
权限策略

• 策略名称： QcloudAccessForTokenhubRoleInBatchInference
• 策略内容：
  

  {
      "version": "2.0",
      "statement": [
          {
              "effect": "allow",
              "action": [
                  "cos:AbortMultipartUpload",
                  "cos:DeleteMultipleObjects",
                  "cos:DeleteObject",
                  "cos:GetBucket",
                  "cos:GetObject",
                  "cos:HeadBucket",
                  "cos:HeadObject",
                  "cos:ListMultipartUploads",
                  "cos:PutBucket",
                  "cos:PutObject",
                  "cos:ListParts",
                  "cos:UploadPart",
                  "cos:UploadPartCopy",
                  "cos:PutObjectCopy",
                  "cos:InitiateMultipartUpload",
                  "cos:CompleteMultipartUpload"
              ],
              "resource": "*"
          }
      ]
  }

TokenHub_QCSLinkedRoleInInitialization

使用场景： 当前角色为Tokenhub服务相关角色，用于授权 TokenHub访问云标签等腾讯云资源，无需用户托管密钥，操作更高效、更安全。该角色将在已关联策略的权限范围内访问您的其他云服务资源
权限策略

• 策略名称： QcloudAccessForTokenhubRoleInInitinitialization
• 策略内容：
  

  {
      "version": "2.0",
      "statement": [
          {
              "effect": "allow",
              "action": [
                  "tag:UnTagResources",
                  "tag:TagResources",
                  "tag:ModifyResourcesTagValue",
                  "tag:ModifyResourceTags",
                  "tag:UpdateResourceTagValue",
                  "tag:DescribeResourcesByTags",
                  "tag:DescribeResourceTagsByTagKeys",
                  "tag:DescribeResourceTagsByResourceIds",
                  "tag:DescribeResourceTags"
              ],
              "resource": "*"
          }
      ]
  }

TokenHub_QCSLinkedRoleInInternalAccess

使用场景： 当前角色为 TokenHub 服务相关角色，用于授权 TokenHub 访问 VPC，无需用户托管密钥，操作更高效、更安全。该角色将在已关联策略的权限范围内访问您的 VPC 资源
权限策略

• 策略名称： QcloudAccessForTokenhubRoleInInternalAccess
• 策略内容：
  

  {
      "version": "2.0",
      "statement": [
          {
              "effect": "allow",
              "action": [
                  "privatedns:ModifyPrivateZoneVpc",
                  "privatedns:ModifyPrivateZone",
                  "privatedns:DeletePrivateZoneRecord",
                  "privatedns:ModifyPrivateZoneRecord",
                  "privatedns:CreatePrivateZoneRecord",
                  "privatedns:CreatePrivateZone",
                  "vpc:CreateVpcEndPoint",
                  "vpc:DeleteVpcEndPoint",
                  "vpc:CheckVpcEndPointServiceExist",
                  "privatedns:AddSpecifyPrivateZoneVpc",
                  "privatedns:DescribePrivateZoneList",
                  "privatedns:DeletePrivateZone",
                  "privatedns:DescribePrivateZoneRecordList",
                  "privatedns:DeleteSpecifyPrivateZoneVpc",
                  "vpc:DescribeVpcEndPoint",
                  "vpc:DescribeVpcs",
                  "vpc:DescribeSubnets"
              ],
              "resource": "*"
          }
      ]
  }

TokenHub_QCSLinkedRoleInCloudLogService

使用场景： 当前角色为大模型服务平台 (Tokenhub) 服务相关角色，用于授权 Tokenhub 访问日志服务 CLS，无需用户托管密钥，操作更高效、更安全，该角色将在已关联策略的权限范围内访问您的其他云服务资源
权限策略

• 策略名称： QcloudAccessForTokenhubLinkedRoleInCloudLogService
• 策略内容：
  

  {
      "version": "2.0",
      "statement": [
          {
              "effect": "allow",
              "action": [
                  "cls:pushLog"
              ],
              "resource": "*"
          }
      ]
  }

TokenHub_QCSLinkedRoleInTokenPlanEnterprise

使用场景： 当前角色为 TokenHub 服务相关角色，用于授权 Token Plan 企业版服务访问 finance 资源。该角色将在已关联策略的权限范围内访问您的其他云服务资源。
权限策略

• 策略名称： QcloudAccessForTokenPlanEntRoleInFinance
• 策略内容：
  

  {
      "version": "2.0",
      "statement": [
          {
              "effect": "allow",
              "action": [
                  "finance:trade"
              ],
              "resource": [
                  "qcs::tokenhub:::*",
                  "qcs::lmp:::*"
              ]
          }
      ]
  }

TokenHub_QCSLinkedRoleInWebApplicationFirewall

使用场景： 当前角色为大模型服务平台 (Tokenhub) 服务相关角色，用于授权 Tokenhub 访问 Web 应用防火墙服务，无需用户托管密钥，操作更高效、更安全，该角色将在已关联策略的权限范围内访问您的其他云服务资源
权限策略

• 策略名称： QcloudAccessForTokenhubLinkedRoleInWebApplicationFirewall
• 策略内容：
  

  {
      "version": "2.0",
      "statement": [
          {
              "effect": "allow",
              "action": [
                  "waf:CreateLLMSdkInstance",
                  "waf:DescribeInstances",
                  "waf:AddLLMSdkAccess",
                  "waf:DescribeLLMSdkAccess",
                  "waf:ModifyLLMStatus",
                  "waf:DescribeLLMWafProtectRules",
                  "waf:ModifyLLMWafProtectRule",
                  "waf:DescribeLLMWafProtectRules",
                  "waf:DescribeLLMContentSecCheck"
              ],
              "resource": "*"
          }
      ]
  }