認証情報のベンディングを有効にする

Lakehouse ランタイム カタログを使用すると、ボーダーレス Lakehouse のカタログ エンドポイントで認証情報自動販売モードを有効にできます。

認証情報ベンディング モードでは、承認されたクエリエンジンとワークロードに、有効期間が短く、スコープが限定されたストレージ トークンが提供されます。この認証方法を使用すると、ユーザーまたはクエリ ランタイムが、基盤となる Cloud Storage バケットに対する直接の読み取り権限と書き込み権限を保持する必要がなくなります。

注: 認証情報提供モードは、Apache Iceberg REST カタログ エンドポイントでのみ有効にできます。Apache Hive カタログ エンドポイントではサポートされていません。

始める前に

1. Lakehouse ランタイム カタログについてを読み、Lakehouse ランタイム カタログの仕組みとサービスの制限事項を理解する。
Google Cloud アカウントにログインします。 Google Cloudを初めて使用する場合は、 アカウントを作成して、実際のシナリオで Google プロダクトのパフォーマンスを評価してください。新規のお客様には、ワークロードの実行、テスト、デプロイができる無料クレジット $300 分を差し上げます。

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the BigLake API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the BigLake API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

必要なロール

認証情報の自動販売を有効にするために必要な権限を取得するには、次の IAM ロールを付与するよう管理者に依頼してください。

• すべて:
  • プロジェクトに対する BigLake 管理者 （roles/biglake.admin）
  • プロジェクトに対するストレージ管理者 （roles/storage.admin）
• 自動プロビジョニングされた Apache Iceberg REST カタログ サービス アカウント: 関連付けられているすべての Cloud Storage バケットに対する Storage オブジェクト ユーザー （roles/storage.objectUser）。認証情報の自動販売を有効にした後、関連するすべてのストレージ バケットに対する Storage オブジェクト ユーザーロール（roles/storage.objectUser）を、カタログの自動プロビジョニングされた Apache Iceberg REST カタログ サービス アカウントに明示的に付与します。

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

注: 自動プロビジョニングされたカタログ サービス アカウントの作成には、結果整合性があります。つまり、サービス アカウントがシステム全体に反映されるまで時間がかかります。作成直後にサービス アカウントにロールを付与しようとすると、リクエストが失敗することがあります。アクセス権の変更が伝播されるまでの時間については、アクセス変更の伝播をご覧ください。

認証情報の提供を有効にする

Apache Iceberg REST カタログ エンドポイントの認証方法がエンドユーザー認証情報に設定されている場合は、認証情報ベンディング モードに切り替えることができます。

コンソール

1. Google Cloud コンソールで、[Lakehouse] ページを開きます。

[レイクハウス] に移動

1. 更新するカタログの行で、 [その他のカタログ アクション] > [認証を編集] を選択します。

2. 認証ダイアログで、[認証情報自動販売モード] を選択します。自動プロビジョニングされた Apache Iceberg REST カタログ サービス アカウントには、関連付けられているすべての Cloud Storage バケットに対する明示的な Storage オブジェクト ユーザーロール（roles/storage.objectUser）が必要です。デフォルトでは、アクセス権はありません。このロールがないと、提供された認証情報にストレージ書き込みを実行するための十分なスコープがありません。

3. [保存] を選択します。

     Your catalog is updated and the **Catalog details** page opens.
   

4. [認証方法] で、[バケットの権限を設定する] を選択します。

5. ダイアログで [確認] を選択します。

これにより、カタログのサービス アカウントに、関連付けられているすべてのストレージ バケットに対する Storage オブジェクト ユーザーロール（roles/storage.objectUser）が付与されていることが確認されます。

gcloud

gcloud biglake iceberg catalogs update コマンドを使用します。

gcloud biglake iceberg catalogs update \
    CATALOG_NAME \
    --project PROJECT_ID \
    --credential-mode vended-credentials

次のように置き換えます。

• CATALOG_NAME: カタログの名前。Lakehouse カタログの場合、これはカスタム カタログ名です。Cloud Storage バケット カタログの場合、これは REST カタログで使用される Cloud Storage バケット ID と一致します。この名前は、BigQuery からこれらのテーブルをクエリするときにカタログ識別子としても使用されます。

• PROJECT_ID: 実際の Google Cloudプロジェクト ID。

  認証情報の自動提供を有効にした後、関連するすべてのストレージ バケットに対する Storage オブジェクト ユーザーロール（roles/storage.objectUser）を、カタログの自動プロビジョニングされた Apache Iceberg REST カタログ サービス アカウントに明示的に付与します。

REST

REST API を使用して認証情報提供モードを有効にするには、UpdateIcebergCatalog エンドポイントに PATCH リクエストを送信します。

PATCH /iceberg/v1/restcatalog/extensions/projects/PROJECT_ID/catalogs/CATALOG_ID?updateMask=icebergCatalog.credential_mode

リクエストの本文には、credential_mode が VENDED_CREDENTIALS に設定された IcebergCatalog JSON ペイロードを含める必要があります。

次のように置き換えます。

• PROJECT_ID: 実際の Google Cloud プロジェクト ID。
• CATALOG_ID: Lakehouse ランタイム カタログの ID。