使用服务账号调用gcloud asset export时遭遇403权限错误

我之前也碰到过类似的「权限配置一致但服务账号与个人账号操作结果不同」的情况，结合你的场景，分享几个实用的排查方向：

1. 验证服务账号的IAM绑定是否实际生效 #

有时候IAM权限变更会有几分钟的同步延迟，个人账号操作可能即时生效，但服务账号的权限同步可能慢一步。你可以用以下命令确认服务账号的角色是否正确绑定到目标项目：

gcloud projects get-iam-policy $PROJECT_ID \
  --filter="bindings.members:my-service-account@$PROJECT_ID.iam.gserviceaccount.com" \
  --format="value(bindings.role)"

输出应该包含你提到的roles/cloudasset.viewer、roles/bigquery.jobUser和roles/bigquery.dataEditor，如果缺少某个角色，说明绑定操作可能未成功执行。

2. 排查组织级政策限制 #

很多企业会在组织层面设置IAM约束，比如Domain Restricted Sharing或特定API访问限制，可能允许企业域内的个人账号操作，但把服务账号排除在外：

• 检查项目的组织政策，查看是否有constraints/iam.allowedPolicyMemberDomains限制，确认服务账号的域名是否在允许列表中
• 查看constraints/cloudasset.exportAssetsAllowedDestinations是否限制了BigQuery目标的范围，确保你的目标数据集符合要求

3. 确认Cloud Asset Export的权限要求是否满足 #

虽然roles/cloudasset.viewer理论上包含cloudassets.assets.export权限，但可能存在权限继承的差异：

• 个人账号可能从组织或上级文件夹继承了额外权限（比如组织级的cloudasset.viewer或owner角色），而服务账号只有项目级权限
• 你可以临时给服务账号添加roles/cloudasset.owner角色测试，如果能成功导出，说明viewer角色可能对某些资源类型存在权限限制

4. 检查gcloud配置的项目上下文 #

激活服务账号后，gcloud的项目配置可能没有自动切换到目标项目，导致你实际访问的是其他无权限的项目。执行以下命令确认当前项目：

gcloud config get-value project

如果输出不是$PROJECT_ID，执行gcloud config set project $PROJECT_ID切换后再重试。

5. 绕过gcloud直接验证API权限 #

有时候问题可能出在gcloud命令的封装逻辑上，你可以用服务账号身份直接调用Cloud Asset API测试：

# 获取服务账号的访问令牌
export ACCESS_TOKEN=$(gcloud auth print-access-token)
# 直接调用exportAssets API
curl -H "Authorization: Bearer $ACCESS_TOKEN" \
  "https://cloudasset.googleapis.com/v1/projects/$PROJECT_ID:exportAssets" \
  -X POST \
  -d '{
    "outputConfig": {
      "bigqueryDestination": {
        "dataset": "projects/'$PROJECT_ID'/datasets/'$DATASET_ID'",
        "table": "'$TABLE_ID'",
        "force": true
      }
    },
    "contentType": "RESOURCE"
  }'

如果同样返回403，说明问题确实在IAM权限配置，而非gcloud命令本身。

内容的提问来源于stack exchange，提问作者norbjd