GCP控制台已启用IAM相关API但Scoutsuite输出提示IAM API未启用如何解决

• 扫描项目与核验项目不一致：运行ScoutSuite时指定的项目ID，和GCP控制台核查API时选择的项目ID不匹配，是该类误报最高发的原因
• 服务账号权限不足：ScoutSuite需要调用Service Usage API读取服务启用状态，若所用服务账号缺少serviceusage.services.list权限，会将权限不足返回的错误判定为API未启用
• ScoutSuite版本过旧：低版本ScoutSuite存在IAM API检测逻辑缺陷，会将正常启用的API误判为未启用
• 项目API继承异常：若仅在组织/文件夹层级开启IAM相关API，项目层级未显式启用或继承失效时，ScoutSuite仅读取项目级状态会出现误报
• 网络请求异常：ScoutSuite请求GCP服务端点时超时、被代理拦截，异常返回被识别为API未启用

• 核对项目ID一致性：确认运行扫描时--project-id参数传入的项目ID，和控制台核查API的项目ID完全一致，也可使用服务账号凭据执行gcloud config get-value project核对当前默认项目
• 校验服务账号权限：使用扫描所用的服务账号密钥执行命令gcloud services list --enabled --project <你的项目ID>，若输出中缺少iam.googleapis.com、iamcredentials.googleapis.com，或命令返回权限报错，给服务账号授予roles/serviceusage.viewer角色后重新扫描
• 升级ScoutSuite到最新版本：执行pip install --upgrade scoutsuite修复已知检测逻辑缺陷后重试
• 开启Debug模式定位问题：扫描时添加--debug参数，查看日志中Service Usage API的请求返回，若存在网络异常可调整代理配置或超时参数
• 临时规避：若确认API已正常启用，可在ScoutSuite规则配置中禁用IAM API启用状态检测项，不影响其他扫描结果

内容的提问来源于stack exchange，提问作者samia anjum