主题
腾讯云获取API秘钥
yunplus 需要调用腾讯云 OpenAPI 才能自动完成 DNS 验证、更新安全组白名单、部署证书到 CDN 和负载均衡。这些都要用腾讯云的密钥来签名，所以第一步是拿到一对 SecretId / SecretKey。
腾讯云的叫法和 yunplus 表单的对应关系
腾讯云不叫 AccessKey，而是叫 SecretId 和 SecretKey，容易和别家混淆：
| yunplus 表单字段 | 腾讯云控制台里的名称 |
|---|---|
| SecretId | SecretId（一串以 AKID 开头的字符） |
| SecretKey | SecretKey（创建时只显示一次） |
操作步骤
- 登录腾讯云控制台。
- 点击右上角头像，选择「访问管理」。
- 进入「访问密钥」→「API 密钥管理」，点击「新建密钥」。创建完成后按提示保管好 SecretId 和 SecretKey。
- 回到 yunplus 的 访问秘钥 页面，选择「腾讯云」，把两个值填进去保存。
SecretKey 只显示一次
关闭创建弹窗后就再也看不到完整的 SecretKey 了。没保存的话只能删掉重建一对。
推荐用子账号而不是主账号
主账号密钥拥有账户的全部权限，一旦泄露后果严重。更稳妥的做法是在访问管理里新建一个子用户，只授予实际需要的策略。
- 访问管理 →「用户」→「新建用户」，选择「自定义创建」。
- 访问方式勾选「编程访问」（会生成 API 密钥），可以不勾选「控制台访问」。
- 在权限配置里按用途绑定策略。
各功能需要的权限
| yunplus 功能 | 需要的策略 |
|---|---|
| DNS 自动验证 / 域名解析管理 | QcloudDNSPodFullAccess |
| 安全组 IP 白名单 | QcloudDFWFullAccess |
| 轻量应用服务器白名单 | QcloudLighthouseFullAccess |
| 证书部署到 CDN | QcloudCDNFullAccess |
| 证书部署到 COS | QcloudCOSFullAccess |
| 证书部署到 CLB | QcloudCLBFullAccess |
| 上传证书到 SSL 证书服务 | QcloudSSLFullAccess |
只用其中一部分功能，就只绑对应的策略。图省事也可以直接给 AdministratorAccess，但不建议在生产账号上这么做。
权限不够会怎么表现
不会有明显的报错弹窗，而是任务执行失败。到对应功能的执行日志里看，通常会出现 UnauthorizedOperation 或 AuthFailure 之类的错误码，看到就去补权限。