华为云余额查询：IAM AK/SK、账号 ID 与只读授权接入教程

在 Quota Monitor 中接入 华为云 / 盘古（中国站）

1. 01

   确认中国站付款账号和管理员

   打开费用与成本，确认是实际给盘古或其他云服务承担扣费的中国站人民币账号。IAM 是华为云的身份与权限管理服务；接下来在这个账号下创建监控专用用户，不是重新注册云账号。

   完成后检查：您能看到目标账号的费用总览，并由有权创建 IAM 用户、策略和密钥的管理员完成设置。管理员只负责配置，不把自己的密钥交给本站。

   打开华为云费用与成本（在新标签页打开）
2. 02

   复制所属账号 ID，不要复制用户或项目 ID

   在华为云控制台右上角打开用户名菜单，进入「我的凭证」，找到并复制「账号 ID」。这个 Domain ID 是一串 32 位十六进制字符；不是 IAM 用户 ID、企业项目 ID 或项目 ID。

   完成后检查：记录的是这组 AK/SK 所属的华为云账号 ID。管理员可代为复制，无需为了查看页面给监控用户开启控制台访问；随后会与 AK/SK 一起加密保存。

   打开华为云控制台（在新标签页打开）
3. 03

   创建 Version 1.1 的自定义策略

   打开下方 IAM，在「权限管理 → 权限」（部分页面称「角色与策略」）中点击「创建自定义策略」，不是「创建自定义身份策略」。策略名称填写 QuotaMonitorBalanceReadOnly，配置方式选择「JSON视图」，用下方完整 JSON 替换编辑框内容，点击「确定」。如果页面只显示身份策略，先进入角色与策略的配置入口，不要把本段 JSON 粘到 5.0 身份策略编辑器里。

   只允许 bss:balance:view，不添加 bss:*、充值、提现或管理员权限。这项权限也能读取其他账户信息。名称已存在时先核对内容，或另取新名，不覆盖业务正在使用的策略。

   完成后检查：策略列表出现刚创建的策略，Version 为 1.1，Action 只有 bss:balance:view。创建策略不等于已授权，下一步还要给专用用户组授权。

   Version 1.1 · 余额及相关账户读取权限

   复制 JSON

   {
     "Version": "1.1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "bss:balance:view"
         ]
       }
     ]
   }

   复制的是完整 JSON，不含密钥或账号信息。

   打开 IAM 角色与策略入口（在新标签页打开）
4. 04

   创建专用用户组并授予这条策略

   在 IAM 左侧进入「用户组 → 创建用户组」，名称可填 quota-monitor-balance-readers，点击「确定」。找到该组，点击「授权」，搜索并仅勾选 QuotaMonitorBalanceReadOnly，授权范围选择「所有资源」，确认完成。不要选择管理员或整套财务管理策略。

   费用中心旧版 BSS 权限需要覆盖所有区域；不要只授权一个区域项目或企业项目。「所有资源」是这一个读取动作的生效范围，不等于所有操作权限。

   完成后检查：用户组的授权记录包含 QuotaMonitorBalanceReadOnly，作用范围是所有资源；没有额外管理员权限。下一步把专用用户加入这个组，策略才对用户生效。

   打开 IAM 用户组管理（在新标签页打开）
5. 05

   创建专用用户并检查用户组成员关系

   左侧进入「用户 → 创建用户」，用户名可填 quota-monitor。访问方式只勾选「编程访问」，凭证类型选「访问密钥」，不要开启「管理控制台访问」。下一步勾选刚创建的 quota-monitor-balance-readers 用户组，点击「创建用户」并按要求完成验证；如果此时提供密钥下载，立即保存，不要关闭后再找 SK。

   不要加入 admin 用户组，也不要选择管理员模板。已有专用监控用户时，可在该用户的用户组设置中加入上述组，无需重建用户或影响现有业务。

   完成后检查：用户的用户组列表中有 quota-monitor-balance-readers，组的成员列表也有这个用户；同时核对组上的策略名称、授权范围及用户的其他权限。只有策略保存成功还不够，用户必须实际获得授权。

   打开 IAM 用户管理（在新标签页打开）
6. 06

   获取专用用户的同一组 AK/SK

   如果创建用户时已下载密钥，直接使用那一组，无需重复新建。若还没有密钥，由管理员在「用户」列表找到专用用户，点击「安全设置」，在「访问密钥」区域点击「新增访问密钥」，完成身份验证后下载密钥文件。不要在管理员自己的「我的凭证」里新建密钥，否则生成的是管理员凭据。

   完成后检查：拿到同一组 Access Key ID（AK）和 Secret Access Key（SK），密钥处于启用状态。这两项用于签名，不是盘古的 Bearer API Key；不要发送到聊天、截图或代码仓库。

   打开 IAM 用户安全设置（在新标签页打开）
7. 07

   妥善保存密钥并核对三项资料

   SK 只在创建时提供，关闭后不能重新取回完整值。若漏存，先确认新建密钥未被业务使用，再由管理员补建并保存新的一组；不要删除其他业务的旧密钥。用户最多两组密钥，已满时需先确认各自用途。

   完成后检查：账号 ID、AK 和 SK 属于同一个中国站账号下的专用 IAM 用户，三项完整，没有把文件中的字段名、引号或换行一起复制。不支持 STS 临时凭据，无需地域或 API 地址。

8. 08

   在目标项目添加华为云连接

   回到 Quota Monitor，进入目标项目，选择「添加新连接」，供应商选「华为云 / 盘古（中国站·人民币）」。填写连接名称，在「账号 ID（Domain ID）」「Access Key ID（AK）」「Secret Access Key（SK）」三个遮蔽输入框粘贴相应内容，点击「保存并接入项目」。

   完成后检查：项目出现华为云卡片，等待首次同步。三项凭据一起加密保存，列表仅展示 AK 末四位；通过 MCP 安全录入链接添加时也使用相同表单，不在 MCP 参数中发送 AK/SK。

9. 09

   刷新并按相同资金类型核对

   点击「查询最新余额」，等待成功查询时间更新，再与同一华为云账号费用总览的「余额」核对。展开「余额说明」可分别看信用余额与额度、奖励金、保证金、欠款及各账户专款专用部分；这些不是应与主余额相加的独立可花金额。

   完成后检查：账号、人民币单位、余额类型和查询时间对应。官方未返回的分类不会显示为零；失败时旧快照不是本次余额。需要充值可用「前往平台」打开费用与成本，本站不会代为充值。

   打开华为云费用总览核对（在新标签页打开）

Quota Monitor 读取的 华为云 / 盘古（中国站） 数据范围

• 仅接入中国站 bss.myhuaweicloud.com，并校验官方返回 CNY、单位为元；国际站单独计费，本连接不会跨站尝试凭据。不支持需要额外 Security Token 的 STS 临时凭据。
• 主余额不代表可提现现金，也不保证全部可用于模型扣费。资源包、免费 Token、代金券清单和套餐余量不在本接口范围；余额为零不能单独证明模型已经停服。
• 查询结果是最近一次成功获取的官方快照，上游入账和结算可能延迟。官方没返回的分类显示未返回，不当作零；转售子客户等无独立余额的账号不能套用其他资金或预算冒充余额。
• 先看编辑器类型：本教程按「角色与策略 → 创建自定义策略」操作，Version 必须为 1.1，Action 为 bss:balance:view。新版「创建自定义身份策略」使用 5.0 与 billing:balance:view，不是同一份配置；不要只改版本号或混用授权项。专用用户实际权限还受其他用户组、策略和组织限制影响。
• 看板展示最近一次成功查询的快照。手动刷新会重新请求供应商，但不保证上游账务没有入账延迟；失败时旧余额不能当成新结果。

华为云 / 盘古（中国站） 常见问题与排查

编辑器要求 Version 1.1，原来的 5.0 配置怎么办？

这说明使用的是「角色与策略」的自定义策略编辑器。请完整复制上方 1.1 JSON，Action 同时使用 bss:balance:view，不要只把 5.0 改成 1.1 而保留 billing:balance:view。新版「身份策略」的 5.0 配置是另一种授权模型，并非所有入口都通用。不要改成 Action=* 或管理员策略。

我的页面是创建自定义身份策略，要求 5.0？

新版身份策略使用 Version 5.0 与 billing:balance:view，按身份策略附加至用户；本页可复制 JSON 和用户组步骤则对应 1.1 的角色与策略模式。两者不能混用，请先进入本教程的角色与策略入口。已使用新版且查询正常的用户不必改动现有授权。

403、CBC.0151 或没有权限？

请管理员核对三件事：专用用户已加入正确用户组；该组已被授予 QuotaMonitorBalanceReadOnly；作用范围覆盖所有资源而非单个区域项目。再检查账号 ID 是否属于这组 AK、是否存在组织限制或显式拒绝，授权生效后重试。不要用管理员密钥排错；仍失败时只提供脱敏错误码与时间，不要发送密钥。

账号 ID 到底是哪一个？

从控制台右上角用户名 → 我的凭证复制「账号 ID」（Domain ID，32 位十六进制）。IAM 用户 ID、项目 ID 和企业项目 ID 即使外观相似也不正确。无需为此额外授予 IAM 查询权限；本站不会自动遍历您的账号。

SK 已经看不到，或者提示凭据被拒绝？

SK 无法再次取回。由管理员在专用用户的安全设置中补建，确认同组 AK/SK 与所属账号 ID、密钥启用状态和中国站，再通过本站安全录入方式更新。不要混用模型 Key 或 STS 凭据，也不要停用其他业务密钥。

CBC.99000049 或没有独立余额？

官方说明转售子客户可能没有账户余额。请与实际付款账号管理员确认结算关系，本连接不会用信用、预算、空值或零代替缺失的余额；不要为排错托管不属于您的付款账号凭据。

为什么和总可用额度、盘古可用量不一样？

这里只把余额账户的 amount 作为主金额，其他资金分类原样分开。专款专用属于相应账户的一部分，欠款不再次从主金额扣除；资源包、代金券清单和模型调用权限需另行核对。国际站也不在本连接范围。

华为云 / 盘古（中国站） 官方资料

• 官方余额 API、账户类型与身份策略（在新标签页打开）
• 官方全局服务 Domain ID 与签名准备（在新标签页打开）
• 官方角色与策略的 bss:balance:view 权限（在新标签页打开）
• 官方自定义策略创建与固定 Version 1.1（在新标签页打开）
• 官方创建用户组并授权（在新标签页打开）
• 官方创建 IAM 用户与编程访问（在新标签页打开）
• 官方 BSS 所有区域授权范围（在新标签页打开）
• 官方 1.1 策略与 5.0 身份策略兼容说明（在新标签页打开）
• 新版身份策略的 billing:balance:view 权限（非本页 JSON）（在新标签页打开）
• 官方密钥只在创建时下载的说明（在新标签页打开）

教程由 Quota Monitor 整理，非供应商官方教程。平台界面和权限可能变化，请以官方页面为准；实测范围以本页说明为准。