镜像已经共享，接收方却看不到或无法启动实例，常见原因不是镜像文件损坏，而是授权链条缺了一环。云平台跨账号共享自定义镜像的权限配置，通常要同时检查镜像本身的共享范围、接收方账号的操作权限，以及加密镜像所依赖的密钥权限。
先分清三类权限
镜像共享不等于把源账号的全部资源权限交给对方。源账号通常授权指定账号读取或使用镜像；接收方还需有权限查看镜像、创建实例，并使用目标网络、磁盘等资源。若镜像使用客户管理的加密密钥，还要单独允许接收方通过密钥解密。
- 镜像权限：限定哪些账号能发现或使用镜像，优先指定账号，不要为了省事设为公开。
- 身份权限：由接收方管理员通过 IAM 等访问控制机制，授予用户或角色必要的查看镜像、创建计算资源权限。
- 密钥权限：加密镜像可能需要源账号的密钥策略与接收方身份策略共同允许相关操作；具体权限名称依平台而异。
AWS EC2 的 AMI 可通过启动权限与账号共享；Azure Compute Gallery 可按角色分配访问；Google Compute Engine 的自定义镜像可通过 IAM 授权。各平台的界面和权限名称不同，不能把一个平台的配置步骤直接套到另一个平台。
按顺序完成授权与验证
- 确认镜像状态和范围。在源账号记录镜像 ID、所在区域、架构及加密方式。检查镜像是否可用，并确认接收方要在同一区域使用，还是需要先复制到目标区域。
- 授权接收方账号。在镜像的共享或访问控制页面添加准确的账号标识。若使用 Azure Compute Gallery 等图库资源，按产品要求配置图库、定义或版本的访问范围；授权层级不同，可见资源也可能不同。
- 检查加密密钥。若镜像由客户管理的密钥加密，分别核对密钥资源策略和接收方角色权限。只分享镜像、不允许使用密钥，接收方仍可能无法读取或启动相关磁盘。平台托管密钥与客户管理密钥的跨账号限制也可能不同。
- 配置接收方角色。在接收方账号内，只给实际使用者或自动化角色授予所需操作，并确认其能选择目标区域、网络和实例规格。避免直接授予账号管理员级权限来绕过问题。
- 用最小测试验证。先由接收方登录控制台或调用平台提供的管理工具，确认能检索镜像，再尝试创建测试实例。测试完成后检查实例启动状态和系统盘加密设置，并记录镜像 ID、区域与角色名称。
为什么授权后仍然不能用
列表里没有镜像
先核对是否登录了正确的接收方账号、是否选对区域，以及镜像是否只对指定账号开放。部分平台的共享镜像不会自动出现在所有默认列表中，需要按镜像 ID 搜索或切换到共享资源视图。
能看到，但创建失败
重点查接收方的实例创建权限、目标网络和磁盘权限，以及源账号的密钥授权。错误信息若涉及解密或密钥访问，应先检查密钥策略；若提示资源不可用，则核对镜像区域、架构和平台支持的实例类型。
取消共享后会怎样
撤销镜像共享通常会影响之后对共享镜像的访问或新建实例能力；已创建实例和已有磁盘如何处理，取决于平台的资源规则。不要假定撤权会自动删除接收方已有资源，变更前应核对平台说明并安排资源清点。
权限配置的稳妥做法
将源账号的镜像授权、接收方 IAM 权限和密钥访问分别记录，注明负责人、用途与复核时间。跨区域使用时，提前确认复制机制和目标区域限制；镜像更新后，也要确认接收方能访问新版本。这样的云平台跨账号共享自定义镜像的权限配置既便于排错，也能避免为了临时解决问题而扩大授权范围。
常见问题
共享镜像后，对方能修改源镜像吗？
通常共享的是使用权限，不是源账号的所有权或管理权；可执行操作以平台的共享机制为准。
是否应该把镜像设为公开？
一般不需要。只向明确的接收方账号授权，能减少镜像暴露范围。
跨区域共享一定要复制镜像吗？
视平台能力和镜像类型而定。有的平台支持区域间复制，有的平台要求先在目标区域生成可用副本。
排查时先看哪一项？
先核对账号与区域，再检查镜像授权、接收方角色和加密密钥权限，按这条链路逐项验证。