Présentation de la distribution d'identifiants

Dans Google Cloud Lakehouse, vous utilisez le catalogue d'exécution Lakehouse pour gérer les métadonnées de vos tables Lakehouse Iceberg REST catalog stockées dans Cloud Storage.

Ce document explique comment obtenir et définir des stratégies IAM (Identity and Access Management) au niveau de la table pour contrôler l'accès à ces ressources à l'aide de l'CLI gcloud.

Fonctionnement de la distribution d'identifiants

Lorsque vous utilisez la distribution d'identifiants, la séquence de traitement des requêtes est légèrement modifiée pour appliquer les stratégies avant la lecture des données :

  1. Requête : un utilisateur envoie une requête SQL à un moteur compatible (par exemple, Apache Spark ou BigQuery).
  2. Recherche de métadonnées : le moteur envoie une requête au catalogue d'exécution Lakehouse pour résoudre la table.
  3. Authentification et stratégie : le catalogue authentifie l'utilisateur et vérifie ses autorisations IAM sur les ressources Google Cloud Lakehouse.
  4. Réponse : comme la distribution d'identifiants est activée, le catalogue renvoie les métadonnées et un jeton de stockage à courte durée de vie (identifiants de stockage limités) au moteur.
  5. Lecture : le moteur utilise ce jeton pour lire les fichiers autorisés spécifiques directement à partir de Cloud Storage.
  6. Calcul : le moteur traite les données et renvoie les résultats.

Moteurs compatibles

Pour utiliser la distribution d'identifiants avec des moteurs de requête, votre catalogue Lakehouse Iceberg REST doit être configuré pour la prendre en charge.

  • Moteurs Open Source : les moteurs compatibles tels qu'Apache Spark et Trino utilisent des jetons de stockage à courte durée de vie distribués par le catalogue. Votre application cliente doit spécifier la prise en charge de la distribution d'identifiants dans l'en-tête X-Iceberg-Access-Delegation.
  • BigQuery : BigQuery utilise des identifiants distribués pour accéder à Cloud Storage au lieu d'identifiants d'utilisateur final.

Étape suivante