已启用Cloud Asset Inventory API仍提示未启用的权限报错排查

gcloud asset export可正常发起导出任务，说明Cloud Asset Inventory API本身已处于启用状态，gcloud beta resource-config bulk-export的报错属于beta组件的兼容性、鉴权逻辑类问题，按以下顺序排查解决：

• 第一步：升级gcloud核心组件与beta组件到最新版本
  旧版本gcloud beta组件存在已知鉴权bug，会误判API启用状态和权限，执行以下命令完成升级：

  gcloud components update
  gcloud components install beta --force
  

  升级完成后直接重新执行bulk-export命令验证，大部分场景下该步骤即可解决问题。
• 第二步：校验当前账号身份与显式权限绑定
  beta组件的权限校验逻辑无法100%识别继承来的项目所有者权限，需要显式绑定所需角色：
  1. 先确认当前gcloud激活的账号为目标操作账号，执行gcloud config get-value account核对返回邮箱是否为你的登录账号
  2. 为当前操作账号显式绑定Cloud Asset查看权限，执行命令：

     gcloud projects add-iam-policy-binding 替换为你的项目IDxxx \
       --member="user:替换为你的登录邮箱myemail" \
       --role="roles/cloudasset.viewer"
     

  3. 如果导出路径涉及GCS存储桶，额外绑定存储对象管理权限：

     gcloud projects add-iam-policy-binding 替换为你的项目IDxxx \
       --member="user:替换为你的登录邮箱myemail" \
       --role="roles/storage.objectAdmin"
     

• 第三步：检查Cloud Asset服务代理账号授权
  beta导出命令会依赖Cloud Asset的托管服务代理账号拉取资源，如果该服务账号的自动授权失效也会报权限错误：
  1. 进入GCP IAM控制台，勾选「显示Google提供的角色授权的服务账号」选项
  2. 查找格式为service-{你的项目数字编号}@gcp-sa-cloudasset.iam.gserviceaccount.com的服务账号
  3. 确认该账号已绑定roles/cloudasset.serviceAgent（Cloud Asset Service Agent）角色，若缺失则手动绑定该角色
• 第四步：清除本地gcloud认证缓存重试
  本地缓存的认证凭证过期或异常也会触发beta组件鉴权失败，执行以下命令重置认证状态：

  gcloud auth revoke --all
  gcloud auth login 替换为你的登录邮箱myemail
  gcloud config set project 替换为你的项目IDxxx
  

  重置完成后重新执行导出命令即可。

注：如果刚在控制台启用Cloud Asset Inventory API，建议等待2-3分钟等待权限全局传播完成后再执行操作，避免传播延迟导致的偶发鉴权失败。

内容的提问来源于stack exchange，提问作者katrocitus