Bereitstellung von Anmeldedaten aktivieren

Mit dem Lakehouse-Laufzeitkatalog können Sie den Modus für die Bereitstellung von Anmeldedaten für Katalogendpunkte im grenzenlosen Lakehouse aktivieren.

Im Modus für die Bereitstellung von Anmeldedaten werden kurzlebige, eingeschränkte Speichertokens für autorisierte Abfrage-Engines und Arbeitslasten bereitgestellt. Bei dieser Authentifizierungsmethode benötigen Sie oder die Abfragelaufzeiten keine direkten Lese- und Schreibberechtigungen für den zugrunde liegenden Cloud Storage-Bucket.

Hinweis: Der Modus für die Bereitstellung von Anmeldedaten kann nur für Apache Iceberg-REST-Katalogendpunkte aktiviert werden. Er wird nicht für Apache Hive-Katalogendpunkte unterstützt.

Hinweis

1. Lesen Sie Informationen zum Lakehouse-Laufzeitkatalog, um zu erfahren, wie der Lakehouse-Laufzeitkatalog funktioniert und welche Einschränkungen für den Dienst gelten.
Melden Sie sich in Ihrem Google Cloud -Konto an. Wenn Sie mit Google Cloudnoch nicht vertraut sind, erstellen Sie einfach ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the BigLake API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the BigLake API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen zuzuweisen, damit Sie die nötigen Berechtigungen zum Aktivieren der Bereitstellung von Anmeldedaten haben:

• Alle:
  • BigLake-Administrator (roles/biglake.admin) für Ihr Projekt
  • Storage-Administrator (roles/storage.admin) für Ihr Projekt
• Automatisch bereitgestelltes Dienstkonto für den Apache Iceberg REST-Katalog: Storage Object User (roles/storage.objectUser) für alle zugehörigen Cloud Storage-Buckets. Nachdem Sie die Bereitstellung von Anmeldedaten aktiviert haben, weisen Sie dem automatisch bereitgestellten Dienstkonto des Apache Iceberg REST-Katalogs Ihres Katalogs explizit die Rolle „Storage Object User“ (roles/storage.objectUser) für alle zugehörigen Speicher-Buckets zu.

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Hinweis :Die Erstellung des automatisch bereitgestellten Katalogdienstkontos ist eventuell konsistent. Das bedeutet, dass es einige Zeit dauert, bis das Dienstkonto im System wirksam wird. Wenn Sie versuchen, dem Dienstkonto sofort nach der Erstellung Rollen zuzuweisen, schlägt die Anfrage möglicherweise fehl. Informationen darüber, wie lange es durchschnittlich dauert, bis Zugriffsänderungen weitergegeben werden, finden Sie unter Zugriffsänderungsverteilung.

Bereitstellung von Anmeldedaten aktivieren

Wenn die Authentifizierungsmethode für Ihren Apache Iceberg REST-Katalog auf Anmeldedaten von Endnutzern festgelegt ist, können Sie sie in den Modus für die Bereitstellung von Anmeldedaten ändern.

Console

1. Öffnen Sie in der Google Cloud Console die Seite Lakehouse.

Lakehouse aufrufen

1. Wählen Sie in der Zeile des Katalogs, den Sie aktualisieren, Weitere Katalogaktionen > Authentifizierung bearbeiten aus.

2. Wählen Sie im Authentifizierungsdialogfeld Modus für Bereitstellung von Anmeldedaten aus. Für das automatisch bereitgestellte Dienstkonto des Apache Iceberg REST-Katalogs ist die explizite Rolle Storage-Objekt-Nutzer (roles/storage.objectUser) für alle zugehörigen Cloud Storage-Buckets erforderlich. Standardmäßig hat sie keinen Zugriff. Ohne diese Rolle haben die bereitgestellten Anmeldedaten nicht genügend Berechtigungen, um Schreibvorgänge im Speicher auszuführen.

3. Klicken Sie auf Speichern.

     Your catalog is updated and the **Catalog details** page opens.
   

4. Wählen Sie unter Authentifizierungsmethode die Option Bucket-Berechtigungen festlegen aus.

5. Wählen Sie im Dialogfeld Bestätigen aus.

So wird geprüft, ob das Dienstkonto Ihres Katalogs die Rolle „Storage Object User“ (roles/storage.objectUser) für alle zugehörigen Speicher-Buckets hat.

gcloud

Führen Sie den Befehl gcloud biglake iceberg catalogs update aus.

gcloud biglake iceberg catalogs update \
    CATALOG_NAME \
    --project PROJECT_ID \
    --credential-mode vended-credentials

Ersetzen Sie Folgendes:

• CATALOG_NAME: ein Name für Ihren Katalog. Bei Lakehouse-Katalogen ist das der Name des benutzerdefinierten Katalogs. Bei Cloud Storage-Bucket-Katalogen entspricht dies der Cloud Storage-Bucket-ID, die mit dem REST-Katalog verwendet wird. Dieser Name wird auch als Katalog-ID verwendet, wenn Abfragen für diese Tabellen in BigQuery ausgeführt werden.

• PROJECT_ID: Ihre Google CloudProjekt-ID.

  Nachdem Sie die Bereitstellung von Anmeldedaten aktiviert haben, weisen Sie dem automatisch bereitgestellten Dienstkonto des Apache Iceberg REST-Katalogs Ihres Katalogs explizit die Rolle Storage Object User (roles/storage.objectUser) für alle zugehörigen Speicher-Buckets zu.

REST

Wenn Sie den Modus für die Bereitstellung von Anmeldedaten über die REST API aktivieren möchten, senden Sie eine PATCH-Anfrage an den Endpunkt UpdateIcebergCatalog:

PATCH /iceberg/v1/restcatalog/extensions/projects/PROJECT_ID/catalogs/CATALOG_ID?updateMask=icebergCatalog.credential_mode

Der Anfragetext muss eine IcebergCatalog-JSON-Nutzlast mit credential_mode auf VENDED_CREDENTIALS enthalten.

Ersetzen Sie Folgendes:

• PROJECT_ID: Projekt-ID in Google Cloud .
• CATALOG_ID: die ID Ihres Lakehouse-Laufzeitkatalogs.