来源: GitCode Issue #151 by 陈晶杰 (https://gitcode.com/developer-skill/vod-skill/issues/151)

描述问题 (Description)

当前 AK/SK 凭证调用 IAM KeystoneListProjects API 返回 401 Unauthorized。两种方式均失败：1) urllib + HMAC-SHA1 签名 → 401；2) huaweicloudsdkiam SDK → 401（在 client.build() 阶段就失败，因为 SDK 内部也要调 IAM 获取 project_id）。但 BSS API 能正常调用（check_env 通过了 IAM 用户列表验证），hcloud CLI 也能成功调用 IAM API。说明当前凭证对 IAM projects:list 权限不足，但 check_env.sh 的验证步骤不够严格，没有检测到这个权限缺失。

复现步骤 (To Reproduce)

调用定价脚本需要 project_id，尝试自动获取时发现 IAM API 权限不足

预期行为 (Expected behavior)

修改建议：1) check_env.sh 应增加 IAM projects:list 权限检测，如果失败则提示'当前凭证缺少 IAM 项目列表权限，请手动设置 HW_PROJECT_ID 环境变量'；2) 定价脚本在 --project_id 未提供时，应先尝试自动获取，失败后给出清晰的错误提示和解决方案（如'请执行: hcloud IAM KeystoneListProjects --cli-region=cn-north-4 获取项目ID，或设置 HW_PROJECT_ID 环境变量'）；3) 在 SKILL.md 的 Prerequisites 部分增加 IAM 权限要求说明；4) 考虑在 check_env.sh 中自动获取 project_id 并设置为 HW_PROJECT_ID 环境变量

实际行为 (Actual behavior)

IAM API 401，被迫改用 hcloud CLI 获取 project_id，浪费3轮额外调用

错误堆栈 (Stack Trace)

``` 【问题描述】 当前 AK/SK 凭证调用 IAM KeystoneListProjects API 返回 401 Unauthorized。两种方式均失败：1) urllib + HMAC-SHA1 签名 → 401；2) huaweicloudsdkiam SDK → 401（在 client.build() 阶段就失败，因为 SDK 内部也要调 IAM 获取 project_id）。但 BSS API 能正常调用（check_env 通过了 IAM 用户列表验证），hcloud CLI 也能成功调用 IAM API。说明当前凭证对 IAM projects:list 权限不足，但 check_env.sh 的验证步骤不够严格，没有检测到这个权限缺失。

【复现场景】 调用定价脚本需要 project_id，尝试自动获取时发现 IAM API 权限不足

【预期行为】 修改建议：1) check_env.sh 应增加 IAM projects:list 权限检测，如果失败则提示'当前凭证缺少 IAM 项目列表权限，请手动设置 HW_PROJECT_ID 环境变量'；2) 定价脚本在 --project_id 未提供时，应先尝试自动获取，失败后给出清晰的错误提示和解决方案（如'请执行: hcloud IAM KeystoneListProjects --cli-region=cn-north-4 获取项目ID，或设置 HW_PROJECT_ID 环境变量'）；3) 在 SKILL.md 的 Prerequisites 部分增加 IAM 权限要求说明；4) 考虑在 check_env.sh 中自动获取 project_id 并设置为 HW_PROJECT_ID 环境变量

【实际行为】 IAM API 401，被迫改用 hcloud CLI 获取 project_id，浪费3轮额外调用 ```