مفاهیم
هر سیاست مجموعه‌ای از عبارت‌هاست: Effect (Allow یا Deny)، Action (مثلاً cdn:PurgeCache یا mail:ManageMailboxes)، Resource (شناسهٔ WRN منبع یا *) و در صورت نیاز Condition. Deny صریح همیشه بر Allow مقدم است و هر چیزی که صریحاً مجاز نشده باشد ممنوع است. نقش‌های سازمان (مالک، مدیر، اپراتور، بیننده) سر جایشان می‌مانند و IAM دسترسی دقیق‌تر را اضافه می‌کند.
اعضا و گروه‌ها
در کنسول ← هویت ← IAM، زبانهٔ «اعضا» سیاست‌های متصل به هر عضو و گروه‌هایش را نشان می‌دهد. سیاست را ترجیحاً به گروه وصل کنید (مثلاً «تیم DevOps») و اعضا را جابه‌جا کنید تا تغییر دسترسی یک‌جا انجام شود.
ساخت سیاست
«سیاست جدید» ویرایشگر مرحله‌ای را باز می‌کند: سرویس را انتخاب کنید، عمل‌ها را تیک بزنید، منبع را محدود کنید و در صورت نیاز شرط IP (مثلاً 185.1.2.0/24) یا بازهٔ زمانی بگذارید. برای دسترسی امن، دستورات مجاز SSH و سطح kubectl هم در همین صفحه تعیین می‌شود. حالت JSON برای ویرایش مستقیم در دسترس است.
سیاست‌های مدیریت‌شده
سیاست‌هایی با پیشوند wc: (مثل wc:ReadOnly یا wc:MailAdmin) را WhyCloud نگه می‌دارد و با افزودن عمل‌های جدید به‌روز می‌شوند. آن‌ها را مستقیم وصل کنید یا به‌عنوان نقطهٔ شروع سیاست اختصاصی کپی کنید.
شبیه‌ساز
پیش از اعمال، با «شبیه‌ساز» یک عضو، یک عمل و یک منبع را انتخاب کنید؛ نتیجه (مجاز یا ممنوع) و عبارت دقیقی که تصمیم را گرفته نمایش داده می‌شود.