Der Lakehouse-Laufzeitkatalog erzwingt Regeln für Speicherort, Berechtigungen und Sicherheitshärtung, wenn Sie Tabellen mit dem Apache Iceberg REST-Katalogendpunkt erstellen und verwalten. Mit diesen Regeln können Sie zugrunde liegende Speicherpfade isolieren, Namenskonflikte vermeiden und die Tabellenregistrierung auf autorisierte Administratoren beschränken.
Speicherort der Tabelle
Tabellenpfade müssen im übergeordneten Namespace-Pfad verschachtelt sein (z. B. gs://{namespace_path}/.../{table_name}). Diese Einschränkung wird erzwungen, um die Sicherheit und den Katalog zu verbessern.
Verhaltensänderung für Tabellenpfade: Beachten Sie, dass an den resultierenden Tabellenspeicherort (unter dem der Ordner metadata/ erstellt wird) automatisch ein zufälliger String als Suffix angehängt wird, um Konflikte zu vermeiden und die Sicherheit zu verbessern:
- Wenn kein bestimmter Standort angegeben ist, ist der resultierende Standort
gs://{namespace_path}/{table_name}/{random_suffix}. - Wenn ein bestimmter Standort angegeben wird (z. B.
gs://{namespace_path}/.../{table_name}), ist der resultierende Standortgs://{namespace_path}/.../{table_name}/{random_suffix}.
Berechtigungen für die Tabellenregistrierung
Sowohl für Kataloge mit mehreren Buckets als auch für Kataloge mit einem einzelnen Bucket ist die Berechtigung biglake.tables.register erforderlich, um eine Tabelle zu registrieren. Diese Berechtigung ist auf die Rolle „BigLake-Administrator“ (roles/biglake.admin) beschränkt, damit nur Administratoren Tabellen registrieren können.