Attiva la distribuzione delle credenziali

L'attivazione della modalità di distribuzione delle credenziali per un catalogo REST Apache Iceberg esistente configura Lakehouse senza confini per distribuire token di archiviazione di breve durata e con ambito ridotto ai motori di query o ai carichi di lavoro autorizzati.

All'interno del catalogo runtime Lakehouse, questo metodo di autenticazione elimina la necessità che tu o i runtime di query disponiate di autorizzazioni di lettura e scrittura dirette sul bucket Cloud Storage sottostante.

Nota: puoi attivare la modalità di distribuzione delle credenziali solo per i cataloghi REST Apache Iceberg; non è supportata per i cataloghi Apache Hive.

Prima di iniziare

1. Leggi Informazioni sul catalogo runtime Lakehouse per capire come funziona il catalogo runtime Lakehouse e le limitazioni del servizio.
Accedi al tuo Google Cloud account. Se non hai mai utilizzato Google Cloud, crea un account per valutare il rendimento dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti senza costi per l'esecuzione, il test e il deployment dei carichi di lavoro.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the BigLake API.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the BigLake API.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per attivare la distribuzione delle credenziali, chiedi all'amministratore di concederti i seguenti ruoli IAM:

• Tutti:
  • BigLake Admin (roles/biglake.admin) sul tuo progetto
  • Storage Admin (roles/storage.admin) sul tuo progetto
• Account di servizio del catalogo REST Apache Iceberg con provisioning automatico: Storage Object User (roles/storage.objectUser) su tutti i bucket Cloud Storage associati. Dopo aver attivato la distribuzione delle credenziali, concedi esplicitamente il ruolo Storage Object User (roles/storage.objectUser) su tutti i bucket di archiviazione associati al account di servizio del catalogo REST Apache Iceberg con provisioning automatico del tuo catalogo.

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Nota: la creazione del account di servizio del catalogo con provisioning automatico è coerente in modo definitivo. Ciò significa che il account di servizio impiega del tempo per propagarsi nel sistema. Se provi a concedere i ruoli al account di servizio immediatamente dopo la creazione, la richiesta potrebbe non riuscire. Per scoprire il tempo medio necessario per la propagazione delle modifiche di accesso, consulta Propagazione della modifica di accesso.

Attiva la distribuzione delle credenziali

Se il metodo di autenticazione per il catalogo REST Apache Iceberg è impostato sulle credenziali dell'utente finale, puoi passare alla modalità di distribuzione delle credenziali.

Console

1. Nella Google Cloud console, apri la pagina Lakehouse.

Vai a Lakehouse

1. Nella riga del catalogo che stai aggiornando, seleziona Altre azioni del catalogo > Modifica autenticazione.

2. Nella finestra di dialogo di autenticazione, seleziona Modalità di distribuzione delle credenziali. Il account di servizio del catalogo REST Apache Iceberg con provisioning automatico richiede il ruolo esplicito Storage Object User (roles/storage.objectUser) su tutti i bucket Cloud Storage associati. Per impostazione predefinita, non ha accesso. Senza questo ruolo, le credenziali distribuite non hanno un ambito sufficiente per eseguire scritture di archiviazione.

3. Seleziona Salva.

     Your catalog is updated and the **Catalog details** page opens.
   

4. In Metodo di autenticazione, seleziona Imposta autorizzazioni bucket.

5. Nella finestra di dialogo, seleziona Conferma.

In questo modo viene verificato che il account di servizio del catalogo abbia il ruolo Storage Object User (roles/storage.objectUser) su tutti i bucket di archiviazione associati.

gcloud

Utilizza il comando gcloud biglake iceberg catalogs update.

gcloud biglake iceberg catalogs update \
    CATALOG_NAME \
    --project PROJECT_ID \
    --credential-mode vended-credentials

Sostituisci quanto segue:

• CATALOG_NAME: un nome per il catalogo. Per i cataloghi Lakehouse, questo è il nome del catalogo personalizzato. Per i cataloghi dei bucket Cloud Storage, questo corrisponde all'ID bucket Cloud Storage utilizzato con il catalogo REST. Questo nome viene utilizzato anche come identificatore del catalogo quando si eseguono query su queste tabelle da BigQuery.

• PROJECT_ID: il tuo Google Cloud ID progetto.

  Dopo aver attivato la distribuzione delle credenziali, concedi esplicitamente il ruolo Storage Object User (roles/storage.objectUser) su tutti i bucket di archiviazione associati al account di servizio del catalogo REST Apache Iceberg con provisioning automatico del tuo catalogo.

REST

Per attivare la modalità di distribuzione delle credenziali utilizzando l'API REST, invia una PATCH richiesta all'endpoint UpdateIcebergCatalog:

PATCH /iceberg/v1/restcatalog/extensions/projects/PROJECT_ID/catalogs/CATALOG_ID?updateMask=icebergCatalog.credential_mode

Il corpo della richiesta deve contenere un payload JSON IcebergCatalog con credential_mode impostato su VENDED_CREDENTIALS.

Sostituisci quanto segue:

• PROJECT_ID: l'ID del tuo Google Cloud progetto.
• CATALOG_ID: l'ID del catalogo runtime Lakehouse.