Attiva la distribuzione delle credenziali

L'abilitazione della modalità di distribuzione delle credenziali per un catalogo REST Apache Iceberg esistente configura Lakehouse for Apache Iceberg per distribuire token di archiviazione di breve durata e con ambito limitato ai motori di query o ai carichi di lavoro autorizzati.

All'interno del catalogo runtime Lakehouse, questo metodo di autenticazione elimina la necessità che tu o i runtime di query disponiate di autorizzazioni di lettura e scrittura dirette sul bucket Cloud Storage sottostante.

Nota: puoi abilitare la modalità di distribuzione delle credenziali solo per i cataloghi REST Apache Iceberg; non è supportata per i cataloghi Apache Hive.

Prima di iniziare

1. Leggi Informazioni sul catalogo runtime Lakehouse per capire come funziona il catalogo runtime Lakehouse e le limitazioni del servizio.
Accedi al tuo Google Cloud account. Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti senza costi per l'esecuzione, il test e il deployment dei carichi di lavoro.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the BigLake API.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the API

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the BigLake API.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the API

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per abilitare la distribuzione delle credenziali, chiedi all'amministratore di concederti i seguenti ruoli IAM:

• Tutti:
  • BigLake Admin (roles/biglake.admin) sul tuo progetto
  • Amministratore Spazio di archiviazione (roles/storage.admin) sul tuo progetto
• Account di servizio del catalogo REST Apache Iceberg con provisioning automatico: Utente oggetti Storage (roles/storage.objectUser) su tutti i bucket Cloud Storage associati. Dopo aver abilitato la distribuzione delle credenziali, concedi esplicitamente il ruolo Utente oggetti Storage (roles/storage.objectUser) su tutti i bucket di archiviazione associati al account di servizio del catalogo REST Apache Iceberg con provisioning automatico.

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Nota: la creazione del account di servizio del catalogo con provisioning automatico è coerente in modo definitivo. Ciò significa che la propagazione del account di servizio nel sistema richiede tempo. Se provi a concedere i ruoli al account di servizio subito dopo la creazione, la richiesta potrebbe non riuscire. Per scoprire il tempo medio necessario per la propagazione delle modifiche di accesso, consulta Propagazione della modifica di accesso.

Abilita la distribuzione delle credenziali

Se il metodo di autenticazione per il catalogo REST Apache Iceberg è impostato su credenziali dell'utente finale, puoi passare alla modalità di distribuzione delle credenziali.

Console

1. Nella Google Cloud console, apri la pagina Lakehouse.

Vai a Lakehouse

1. Nella riga del catalogo che stai aggiornando, seleziona Altre azioni del catalogo > Modifica autenticazione.

2. Nella finestra di dialogo di autenticazione, seleziona Modalità di distribuzione delle credenziali. Il account di servizio del catalogo REST Apache Iceberg con provisioning automatico richiede il ruolo esplicito Utente oggetti Storage (roles/storage.objectUser) su tutti i bucket Cloud Storage associati. Per impostazione predefinita, non ha accesso. Senza questo ruolo, le credenziali distribuite non hanno un ambito sufficiente per eseguire scritture di archiviazione.

3. Seleziona Salva.

     Your catalog is updated and the **Catalog details** page opens.
   

4. In Metodo di autenticazione, seleziona Imposta autorizzazioni bucket.

5. Nella finestra di dialogo, seleziona Conferma.

In questo modo viene verificato che il account di servizio del catalogo abbia il ruolo Utente oggetti Storage (roles/storage.objectUser) su tutti i bucket di archiviazione associati.

gcloud

Utilizza il comando gcloud biglake iceberg catalogs update.

gcloud biglake iceberg catalogs update \
    CATALOG_NAME \
    --project PROJECT_ID \
    --credential-mode vended-credentials

Sostituisci quanto segue:

• CATALOG_NAME: un nome per il catalogo. Per i cataloghi Lakehouse, questo è il nome del catalogo personalizzato. Per i cataloghi dei bucket Cloud Storage, questo corrisponde all'ID bucket Cloud Storage utilizzato con il catalogo REST. Questo nome viene utilizzato anche come identificatore del catalogo quando si eseguono query su queste tabelle da BigQuery.

• PROJECT_ID: il tuo Google Cloud ID del progetto.

  Dopo aver abilitato la distribuzione delle credenziali, concedi esplicitamente il ruolo Utente oggetti Storage (roles/storage.objectUser) su tutti i bucket di archiviazione associati al account di servizio del catalogo REST Apache Iceberg con provisioning automatico.

REST

Per abilitare la modalità di distribuzione delle credenziali utilizzando l'API REST, invia una PATCH richiesta all'endpoint UpdateIcebergCatalog:

PATCH /iceberg/v1/restcatalog/extensions/projects/PROJECT_ID/catalogs/CATALOG_ID?updateMask=icebergCatalog.credential_mode

Il corpo della richiesta deve contenere un payload JSON IcebergCatalog con credential_mode impostato su VENDED_CREDENTIALS.

Sostituisci quanto segue:

• PROJECT_ID: l'ID del tuo Google Cloud progetto.
• CATALOG_ID: l'ID del catalogo runtime Lakehouse.