## 一、故障还没响，费用中心先报警

别先开会追责。某中型 SaaS 团队在腾讯云主账号下，平常按量大概 **800～1200 元/日**（CVM、CBS、COS）。周一 **09:12**，费用短信先于任何故障告警弹出「可用余额不足」。点进费用中心看账单曲线：上周五夜里开始陡升，周六一天冲到约 **9600 元**，接近日常峰值的 **八倍**。

机器列表里多了一批 **SA5.4XLARGE32** 按量实例，创建时间挤在凌晨 **02:10～03:40**，操作者却不是能登控制台的同事——调用方是一把仍「启用」的 **SecretId/SecretKey**，挂在三年前给临时脚本开的 CAM 子用户 `cam-ci-legacy-****` 上。密钥曾落在演示用 `.env` 备份，后又进了可检索代码片段（虚构场景）。攻击者用**永久有效**密钥调 API 开资源；钱记在**腾讯云主账号（计费主体）**，不记在写脚本的人名下。

下文只拆三件事：**CAM 边界、访问密钥边界、账单/告警边界**——谁受损、在哪核对、怎么止血。

---
## 二、账单砸到谁：财务、安全、业务、写脚本的人

- **财务 / 出纳**
  - 直接损失：按量账单暴增、可用余额被抽干、可能触发欠费停服
  - 连带损失：对账周期被打乱；包年包月误购更难冲正
- **安全 / 合规**
  - 直接损失：凭证失控面扩大；可能伴随数据外泄或权限扩散
  - 连带损失：审计拿不出「密钥最近访问时间」与轮转记录
- **业务负责人**
  - 直接损失：核心服务因欠费或资源争抢受影响
  - 连带损失：客户侧 SLA 与内部追责交叉
- **写脚本的工程师**
  - 直接损失：个人未必被扣款，但要面对权限与密钥治理追责
  - 连带损失：「我只用过一次」无法对抗账单上的 API 轨迹

成对对照（虚构但可代入自家账单核对）：

- **日常**：日均约 **1000 元** ↔ **异常日**约 **9600 元**（约 **9.6×**）
- **发现时刻**：费用短信 **09:12** ↔ 资源实际创建 **02:10 起**（中间空窗约 **7 小时**）
- **告警时延**：费用中心「异常检测」按天 **T+1** 级别检测（见下文文档），且标注「仅供参考」↔ 预算/余额短信可能更早，但 **不等于** 已定位到哪把密钥

结论先写在前面：**账单异常的第一责任主体是腾讯云主账号（计费主体）**；CAM 子用户与 API 密钥只是「谁发起了调用」。止血顺序应是 **禁用密钥 → 切换新钥 / 清理异常资源 → 核对账单与告警 → 再谈制度**，而不是先开复盘会。

---

## 三、把 CAM、永久密钥、计费主体拆开看

### 3.1 CAM 边界：人、策略、角色，不是「一个主账号密码」

腾讯云 **访问管理 CAM** 的官方安全实践明确建议（摘要转述，以文档为准）：

1. **不要为腾讯云主账号（根用户）创建访问密钥**——主账号对名下资源与账单信息拥有完全控制权；主账号密钥泄露等于把整本账本交给对方。官方表述还包括「**不建议您为主账号创建访问密钥并使用该访问密钥进行日常工作**」「**腾讯云强烈建议您不要创建或使用主账号密钥**」。  
2. **日常操作与 API 调用应通过 CAM 子用户和角色授权**，不要共享主账号密码。  
3. **授予最小权限**——系统策略不够细时，用自定义策略收紧到刚好够用。  
4. **人员与程序分离**：人员子账号 **不创建 AccessKey、仅控制台登录**；程序子账号 **仅 AccessKey、不允许控制台登录**。  
5. 高权限控制台用户配合 MFA / 敏感操作保护（以控制台当前能力为准）；对删除资源、生成密钥等关键动作保留审计。


![fig1.png](https://developer.qcloudimg.com/http-save/yehe-12789434/5306f3e97e29018d5a44a7b76f0455bb.png)


### 3.2 访问密钥边界：永久 SecretId/SecretKey ≠ STS 临时密钥

腾讯云 API 密钥即 **SecretId / SecretKey**（亦称 AccessKey），用于 API / CLI / SDK，**不能登录控制台**。官方用户指南中的硬约束与企业侧必须记住的数字：

- **主账号与子用户 / 协作者各最多 2 个** API 密钥。  
- **自 2023-11-30 起，SecretKey 仅创建时可见，后续不可再查询**——丢失只能新建轮转。  
- **须先禁用再删除**；禁用后腾讯云拒绝该密钥全部请求；**删除后无法恢复**（勿套其他云「回收站可找回」的习惯）。  
- 「最近访问时间」与「更多访问记录」：更多访问记录覆盖最近三个月内最新 20 条（含成功/失败），**数据量较大时可能存在 2 小时以上延迟**；控制台「最近访问时间」为 **T-1 日更新**，「更多访问记录」为 **T-0 当天更新**，两处可能不一致。  
- **自 2025-06-30 起分批次默认启用**：自动禁用超过 **90 天**不活跃的 AccessKey；需保留则须在 90 天内主动调用或轮转换新。  
- 更稳妥的路径是 **CAM 角色 + STS 临时密钥**：角色本身无持久证书；`AssumeRole` 的 **DurationSeconds 默认 7200 秒，最长 43200 秒**；官方建议 **不要用主账号永久密钥调用该接口**。永久密钥应视为「不得已」选项，且子账号密钥建议 **至少 90 天一轮转**。

典型泄露场景：公开资料明文、代码仓明文、硬编码后交给第三方。企业侧再补一条：**备份盘、CI 变量、聊天记录里的「临时粘贴」**。


![fig2.png](https://developer.qcloudimg.com/http-save/yehe-12789434/4482cadcef0c2509179cf54c4b9d9ce2.png)


![fig3.png](https://developer.qcloudimg.com/http-save/yehe-12789434/299bda7c62af8c4a0f3c930b4d3594af.png)


![fig4.png](https://developer.qcloudimg.com/http-save/yehe-12789434/8317a4307d7763cb56b48227293d75d2.png)


**虚构示例（可复现核对，勿当真钥）：**

```text
CAM 子用户：cam-ci-legacy-****
SecretId：AKID********7K2M
状态：启用
最近访问：2026-10-18 02:14 (UTC+8)
对齐说明：与异常开机对齐（注意 T-1）
权限画像：曾挂 AdministratorAccess
（过宽，应立即缩权）
```

### 3.3 账单边界：费用账单看「花了什么」，预算/异常检测看「偏没偏」

- **费用中心 · 费用账单**：路径为控制台 → 费用中心 → 费用账单 → **账单查看**（可筛选/下载）；多账号可用 **账单导出中心**。突增排查建议顺序：账单概览 → 多维度汇总（产品环比）→ 资源账单（新资源 / 操作者 UIN）→ 明细账单（用量与折扣）。  
- **出账时延（按官方原文口径）**：历史月账单于 **每月 1 日 19 点**完成上月最终出账；当月 **L0～L2 层级账单 T+1 日出具**；**L3 明细账单准实时，扣费后半小时内出账**。注意：次月 1 日 19 点月结前费用 **不是最终费用，仅供参考**。账单时间按 **UTC+8**。  
- **成本管理 · 预算管理**：周期支持 **日 / 月 / 季 / 年**；每条预算最多 **3 组阈值提醒 + 3 组波动提醒**；接收渠道含邮件/短信/站内信/企业微信。零支出模板可设实际支出 ≥ **0.01** 告警；月度模板默认 **80% / 100%** 百分比告警。  
- **成本管理 · 异常检测**：按量默认开、包年包月默认关；容忍值默认 **10% 且 1000 元**；「**容忍阈值按天（T+1）级别进行检测**」；数据「仅供参考」——适合辅助发现，**不会自动关资源**。


![fig5.png](https://developer.qcloudimg.com/http-save/yehe-12789434/990a83848662256839bccd8153ca2e4b.png)


![fig6.png](https://developer.qcloudimg.com/http-save/yehe-12789434/37d99f3b377006033253284034eac12d.png)


---

## 四、控制台逐项核对：从密钥到账单曲线

以下步骤假设你具备主账号或 CAM 管理员权限；生产环境请先开变更窗，**先禁用可疑密钥再删资源**。

### 步骤 A｜费用侧：先确认「偏了多少、偏在哪类产品」

1. 登录控制台 → **费用中心** → **费用账单** → **账单查看**。  
2. 将时间调到异常前后各 3～7 天，看消费走势是否出现单日陡升（注意：月结前数据仅供参考）。  
3. 按 **产品**、**计费模式（按量计费）**、**地域** 下钻；从资源账单记下 Top 资源 ID 与操作者 UIN（后文用于关停与追钥）。  
4. （可选）打开 **成本管理 → 异常检测**，看是否已有记录；**没有记录不代表没有资损**（注意 T+1 天级检测与「仅供参考」口径）。  
5. （可选）核对是否已配置 **预算管理** 告警；未配置则补日度或月度阈值，避免下次只靠余额短信。

可核对数字写法（代入本账号真实导出即可）：

- 异常日前 7 日日均：`____` 元  
- 异常日当日：`____` 元  
- 比值：`____` ×  

### 步骤 B｜身份侧：把「陡升」对齐到「哪把密钥、哪个用户」

1. 打开 **访问管理 CAM** → **用户列表**，排查长期未用、命名含 `ci` / `tmp` / `test` / `legacy` 的子用户。  
2. 进入对应用户 → **API 密钥**：记录状态、创建时间、**最近访问时间**；必要时打开 **更多访问记录**（注意可能 **2 小时以上延迟**，以及 T-1 / T-0 刷新差异）。  
3. 若最近访问时间落在异常开资源窗口内，将该密钥视为 **优先嫌疑对象**。  
4. 同步检查：**主账号是否仍持有 API 密钥**——若有，按官方「强烈建议不要创建或使用主账号密钥」评估后 **禁用并删除**（业务确需编程访问时，应迁到最小权限程序子用户或角色）。  
5. 有 **操作审计 CloudAudit** 的，按时间窗检索密钥相关事件与 CVM `RunInstances` 等，交叉验证调用方身份（具体事件名以控制台为准）。

### 步骤 C｜权限侧：这把密钥「本来能做什么」

1. 查看该 CAM 子用户所属用户组及附加策略（预设策略 / 自定义策略）。  
2. 若存在 `AdministratorAccess`、过宽的 `*FullAccess`、或「全部资源」范围，泄露影响面接近主账号级。  
3. 对照官方建议：程序子账号仅发 AccessKey、人员子账号不发 AccessKey；编程权限尽量用自定义策略收到「刚好能完成工作」。

### 步骤 D｜资源侧：禁钥之后再清「异常开出来的东西」

1. **先禁用**嫌疑 API 密钥（删除不可恢复；官方路径：先禁用，确认业务无影响后再删）。  
2. 每个主/子账户最多 2 把钥——可走「一主一备」轮转：新建 → 业务切新钥 → 用最近访问时间 / 更多访问记录确认旧钥无合法调用 → 禁用旧钥 → 删除。  
3. 按步骤 A 记下的资源 ID，在对应地域释放异常 CVM / CBS / EIP / COS 临时桶等；保留必要快照仅用于取证，取证后按合规要求处理。  
4. 检查 **CAM 角色**、新创建的子用户 / 策略绑定，防止攻击者留下第二条通路；代码仓与 CI 变量同步检索 `AKID` / `SecretKey` 明文。

---

## 五、止血优先级清单（可打勾）

**P0｜已发生或高度疑似泄露（小时级）**

- [ ] **立即禁用**嫌疑 API 密钥；必要时同时缩权（禁止再创子用户、禁止删审计日志、禁止批量开停计算/存储）。  
- [ ] 主账号密钥若存在：业务切到 **最小权限程序子用户或角色临时密钥** 后，禁用并删除主账号密钥。  
- [ ] 释放异常按量资源（CVM / CBS / EIP 等）；确认费用账单当日走势回落。  
- [ ] 高权限控制台用户开启 MFA / 敏感操作保护（以控制台能力为准）。  
- [ ] 通知财务关注可用余额与欠费风险，避免「密钥停了但服务也停了」。

**P1｜48 小时内（防止复发）**

- [ ] 清点全部主账号与子用户 API 密钥：无「最近访问」、仅控制台登录的人员账号 → **删除多余 AccessKey**。  
- [ ] 编程负载优先改为 **CAM 角色 + STS 临时密钥**（默认 7200s / 最长 43200s）；必须用永久钥时：最小权限 + **≥90 天轮转**（双钥一主一备）。  
- [ ] 代码仓、CI、共享盘检索 `AKID` / `SecretId` / `SecretKey` / `secret` 等模式；轮转所有曾出现在明文位置的凭证。  
- [ ] 费用中心配置 **预算管理**（例如：月预算的 **80% / 100%** 阈值提醒，必要时加日度预算与波动提醒；每条最多 3+3 组）。  
- [ ] 确认 **异常检测** 已覆盖按量计费，并理解其 **T+1**、默认 **10% 且 1000 元**、「仅供参考」边界。  
- [ ] 开通并保留 **操作审计** 对 CAM 关键操作与资源创建事件的查询能力。

**P2｜制度与架构（按迭代落地）**

- [ ] 用户组按职能拆分（只读 / 运维 / 费用 / 安全），禁止「一人进多组后权限并集失控」却无人复核。  
- [ ] 自定义策略优先于过宽预设策略；授权范围优先指定地域 / 资源，慎用「全部资源」。  
- [ ] 密钥轮转节奏写入变更日历（建议每 90 天，并关注 **90 天不活跃自动禁用** 策略）；轮转记录与「最近访问时间」截图一并归档。  
- [ ] 演练一次「禁用密钥 → 业务切流 → 账单回看」桌面推演，记下真实耗时。

---

## 六、常见误判与边界条件

1. **「开了 CAM 最小权限就等于密钥安全」**  
   否。最小权限降低的是 **单次泄露的爆炸半径**；永久 SecretId/SecretKey 仍可能在权限范围内持续开资源、拉数据。临时密钥与角色解决的是 **凭证生命周期**。

2. **「异常检测会自动停机」**  
   否。官方写明数据「仅供参考」，按天 **T+1** 级别检测，默认容忍 **10% 且 1000 元**——它是辅助发现，不是熔断器，更不会自动关 CVM。

3. **「预算告警等于实时风控」**  
   否。预算有周期与阈值/波动组数上限（每条最多 **3+3**）；告警到达时，实际费用往往已经上去。告警是财务雷达，**禁用密钥才是安全刹车**。

4. **「删了密钥就万事大吉」**  
   不完整。还需：清异常资源、查是否被创建了新用户/新角色、轮转所有同源明文出现过的凭证、补 MFA、回头修 CI/代码仓。且腾讯云侧 **删除后无法恢复**，务必先禁用再删。

5. **「只有公有云黑客会搞账单」**  
   内部误配同样常见：测试账号挂了管理员策略、脚本把密钥打进构建日志、离职账号未停用。治理对象是 **凭证与权限**，不先假设攻击者画像。

6. **「主账号登录方便，日常也用主账号密钥」**  
   与官方建议相反。日常管理应使用已授权的 CAM 子用户；**强烈建议不要创建或使用主账号密钥**；主账号仅保留必要的账号级操作，并配合 MFA。

7. **「看了最近访问时间没更新，就以为密钥没人用」**  
   不完全可靠。「最近访问时间」为 **T-1** 刷新，「更多访问记录」为 **T-0** 且可能有 **2h+** 延迟——排查时两处都要看，并与操作审计交叉。

---

## 七、文档与配图出处（腾讯云官网）

1. API 密钥管理（主账号）：https://cloud.tencent.com/document/product/598/40488  
2. 子用户 API 密钥：https://cloud.tencent.com/document/product/598/37140  
3. 访问密钥活跃与自动禁用等相关说明：https://cloud.tencent.com/document/product/598/120122  
4. CAM 安全使用实践（勿为根用户建钥、角色无持久证书等）：https://cloud.tencent.com/document/product/598/10592  
5. 访问密钥轮转与「强烈建议不要创建或使用主账号密钥」：https://cloud.tencent.com/document/product/598/123925  
6. STS AssumeRole（默认 7200s / 最长 43200s）：https://cloud.tencent.com/document/product/1312/48197  
7. 账单查看与出账时延（每月 1 日 19 点 / L0～L3）：https://cloud.tencent.com/document/product/555/7465  
8. 预算管理（日/月/季/年，3 阈值 + 3 波动）：https://cloud.tencent.com/document/product/555/65784  
9. 异常检测（默认 10% 且 1000 元，T+1）：https://cloud.tencent.com/document/product/555/123736  
10. CAM FAQ（最多两个密钥、泄露处置入口等）：https://cloud.tencent.com/document/faq/598/56394  

（控制台路径以登录后实际菜单为准；文档版本随官网更新，引用时请打开链接核对更新日期。）

---

**文末**：本文为腾讯云控制台可复现的企业治理说明，示例账号与密钥均为虚构打码（`cam-ci-legacy-****`、`AKID****`）。备案期不加站外官网、不加邮箱征集。若你方已完成密钥禁用与账单回看，建议把「日均费用 vs 异常日费用」「密钥最近访问时间 vs 资源创建时间」两组数字写进内部故障报告——比任何口号都更有用。


别先开会追责。某中型 SaaS 团队在腾讯云主账号下，平常按量大概 800～1200 元/日（CVM、CBS、COS）。周一 09:12，费用短信先于任何故障告警弹出「可用余额不足」。点进费用中心看账单曲线：上周五夜里开始陡升，周六一天冲到约 9600 元，接近日常峰值的 八倍。

凌晨谁在用你的腾讯云开机？先禁用这把 CAM SecretKey 再谈对账

云计算

安全

运维

腾讯云主账号API密钥泄露致费用异常激增8倍，本文拆解CAM边界、访问密钥与账单告警三层防护，提供控制台逐步核对路径，含禁用密钥、轮转凭证、预算告警配置及最小权限治理清单，助企业快速止血并防止复发。

密钥轮转

密钥管理

代码解释

访问管理

公有云

云 API

短信

SaaS

2026上云采购 | AI焕新·智启新局

4核4G3M云服务器 新用户低至38元/年！

对象存储COS新用户低至1元！


cloudaudit

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

凌晨谁在用你的腾讯云开机？先禁用这把 CAM SecretKey 再谈对账-腾讯云开发者社区-腾讯云

凌晨谁在用你的腾讯云开机？先禁用这把 CAM SecretKey 再谈对账

凌晨谁在用你的腾讯云开机？先禁用这把 CAM SecretKey 再谈对账

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐