1. 创建子用户
登录负责域名解析的腾讯云账号，进入访问管理后台，创建一个用于 CertSvc 的子用户。建议使用自定义创建方式，只授予所需的 DNS 和 CDN 权限。
2. 添加 DNS 权限
搜索并授予 QcloudDNSPodFullAccess，这样平台就能自动写入和清理 DNS 验证记录。
3. 复制 SecretId / SecretKey 并绑定到平台
在子用户中生成并复制 SecretId 与 SecretKey，回到 CertSvc 的解析配置管理中新增一条腾讯云配置。
4. 如需 CDN 自动部署，再添加 CDN 权限
如果你还打算让平台在证书续签后自动把新证书同步到腾讯云 CDN，请额外授予 QcloudCDNFullAccess。
