Bereitstellung von Anmeldedaten aktivieren

Wenn Sie den Modus für die Bereitstellung von Anmeldedaten für eine vorhandene Apache Iceberg REST-Katalogkonfiguration aktivieren, konfiguriert Lakehouse for Apache Iceberg kurzlebige, eingeschränkte Speichertokens für autorisierte Abfrage-Engines oder Arbeitslasten.

Bei dieser Authentifizierungsmethode müssen Sie oder die Abfragelaufzeiten im Lakehouse-Laufzeitkatalog keine direkten Lese- und Schreibberechtigungen für den zugrunde liegenden Cloud Storage-Bucket haben.

Hinweis

  1. Prüfen Sie, ob für Ihr Google Cloud Projekt die Abrechnung aktiviert ist.

  2. Aktivieren Sie die BigLake API.

    Erforderliche Rollen zum Aktivieren von APIs

    Zum Aktivieren von APIs benötigen Sie die IAM-Rolle „Service Usage-Administrator“ (roles/serviceusage.serviceUsageAdmin), die die Berechtigung serviceusage.services.enable enthält. Weitere Informationen zum Zuweisen von Rollen.

    API aktivieren

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen zuzuweisen, um die Berechtigungen zu erhalten, die zum Aktivieren der Bereitstellung von Anmeldedaten erforderlich sind:

  • Alle:
  • Automatisch bereitgestelltes Dienstkonto für den Apache Iceberg REST-Katalog: Storage-Objekt-Nutzer (roles/storage.objectUser) für den Ziel-Cloud Storage-Bucket. Nachdem Sie die Bereitstellung von Anmeldedaten aktiviert haben, gewähren Sie dem automatisch bereitgestellten Dienstkonto für den Apache Iceberg REST-Katalog Ihres Katalogs explizit die Rolle „Storage-Objekt-Nutzer“ (roles/storage.objectUser) für Ihren Speicher-Bucket.

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Bereitstellung von Anmeldedaten aktivieren

Wenn die Authentifizierungsmethode für Ihren Apache Iceberg REST-Katalog auf Endnutzeranmeldedaten festgelegt ist, können Sie sie in den Modus für die Bereitstellung von Anmeldedaten ändern.

Console

  1. Öffnen Sie in der Google Cloud Console die Seite Lakehouse.

Zu Lakehouse

  1. Wählen Sie in der Zeile des Katalogs, den Sie aktualisieren, Weitere Katalogaktionen > Authentifizierung bearbeiten aus.

    1. Wählen Sie im Dialogfeld zur Authentifizierung die Option Modus für die Bereitstellung von Anmeldedaten aus. Das automatisch bereitgestellte Dienstkonto für den Apache Iceberg REST-Katalog erfordert die explizite Rolle Storage-Objekt-Nutzer (roles/storage.objectUser) für den Ziel-Cloud Storage-Bucket. Standardmäßig wird es mit schreibgeschütztem Zugriff erstellt. Ohne diese Rolle haben die bereitgestellten Anmeldedaten nicht den erforderlichen Umfang, um Speichervorgänge auszuführen.

    2. Klicken Sie auf Speichern. ` Ihr Katalog wird aktualisiert und die Seite Katalogdetails wird geöffnet.

  2. Wählen Sie unter Authentifizierungsmethode die Option Bucket-Berechtigungen festlegen aus.

    1. Wählen Sie im Dialogfeld Bestätigen aus.

Dadurch wird geprüft, ob das Dienstkonto Ihres Katalogs die Rolle „Storage-Objekt-Nutzer“ (roles/storage.objectUser) für Ihren Speicher-Bucket hat.

gcloud

Führen Sie den Befehl gcloud biglake iceberg catalogs create aus.

gcloud biglake iceberg catalogs create \
    CATALOG_NAME \
    --project PROJECT_ID \
    --catalog-type gcs-bucket \
    --credential-mode vended-credentials \
    [--primary-location LOCATION]

Ersetzen Sie Folgendes:

  • CATALOG_NAME: ein Name für Ihren Katalog. Dieser Name entspricht oft der Cloud Storage-Bucket-ID, die mit dem Lakehouse Iceberg REST-Katalog verwendet wird. Wenn Ihr Bucket beispielsweise gs://bucket-idist, kann der Katalogname bucket-idlauten. Dieser Name wird auch als Katalog ID verwendet, wenn diese Tabellen in BigQuery abgefragt werden.
  • PROJECT_ID: Ihre Google Cloud Projekt-ID.

  • LOCATION: (Optional) Die primäre Region für den Katalog, um die Interoperabilität mit BigQuery zu gewährleisten. Geben Sie für Cloud Storage-Buckets in der Region „USA“ (z. B. US oder us-central1) oder in der Region „EU“ (z. B. EU oder europe-west4) US bzw. EU an, damit der Katalog zugänglich ist und für Abfragen aus den entsprechenden BigQuery-Multiregionen zur Verfügung steht. Weitere Informationen finden Sie unter Bucket und Katalogregionen.

    Nachdem Sie den Katalog erstellt haben, gewähren Sie dem automatisch bereitgestellten Dienstkonto für den Apache Iceberg REST-Katalog Ihres Katalogs explizit die Rolle Storage-Objekt-Nutzer (roles/storage.objectAdmin) für Ihren Speicher-Bucket.

REST

Wenn Sie den Modus für die Bereitstellung von Anmeldedaten mit der REST API aktivieren möchten, senden Sie eine PATCH Anfrage an den UpdateIcebergCatalog Endpunkt:

PATCH /iceberg/v1/restcatalog/extensions/projects/PROJECT_ID/catalogs/CATALOG_ID?updateMask=icebergCatalog.credentialMode

Der Anfragetext muss eine IcebergCatalog-JSON-Nutzlast enthalten, bei der credentialMode auf VENDED_CREDENTIALS festgelegt ist.

Ersetzen Sie Folgendes:

  • PROJECT_ID: Ihre Google Cloud Projekt-ID.
  • CATALOG_ID: die ID Ihres Lakehouse-Laufzeitkatalogs.