为 Google Cloud Storage 配置外部卷

本主题介绍如何使用外部卷，向 Snowflake 授予对您自己的 Google Cloud Storage (GCS) 桶的受限访问权限。

组织中的管理员会在 Google Cloud 账户中授予 IAM 用户权限。

备注

  • 必须在 Google Cloud 中拥有创建和管理 IAM 策略和角色的权限，才能完成本主题中的说明。如果您不是 Google Cloud 管理员，请让 Google Cloud 管理员执行这些任务。

  • 为支持数据恢复，为外部云存储位置启用版本控制。

第 1 步：在 Snowflake 中创建外部卷

使用 CREATE EXTERNAL VOLUME 命令创建外部卷。

备注

只有账户管理员（具有 ACCOUNTADMIN 角色的用户）可执行此 SQL 命令。

以下示例创建一个外部卷，该卷定义了单个 GCS 加密存储位置：

CREATE EXTERNAL VOLUME my_gcs_external_volume
  STORAGE_LOCATIONS =
    (
      (
        NAME = 'my-us-west-2'
        STORAGE_PROVIDER = 'GCS'
        STORAGE_BASE_URL = 'gcs://mybucket1/path1/'
        ENCRYPTION=(TYPE='GCS_SSE_KMS' KMS_KEY_ID = '1234abcd-12ab-34cd-56ef-1234567890ab')
      )
    );
Copy

第 2 步：检索 Snowflake 账户的 GCS 服务账户

要检索为您的 Snowflake 账户自动创建的 GCS 服务账户的 ID，请使用 DESCRIBE EXTERNAL VOLUME 命令。指定先前创建的外部卷的名称。

例如：

DESC EXTERNAL VOLUME my_gcs_external_volume;
Copy

记录输出中 STORAGE_GCP_SERVICE_ACCOUNT 属性的值（例如 service-account-id@project1-123456.iam.gserviceaccount.com）。

Snowflake 会为您的整个 Snowflake 账户预置一个 GCS 服务账户。所有 GCS 外部卷都使用该服务账户。

第 3 步：授予服务账户访问桶对象的权限

在此步骤中，您要在 Google Cloud Platform Console 中配置 Snowflake 的 IAM 访问权限。

创建自定义 IAM 角色

创建具有访问桶和获取对象所需权限的自定义角色。

  1. 以项目编辑者身份登录 Google Cloud Platform Console。

  2. 从主页仪表板中选择 IAM & Admin » Roles。

  3. 选择 Create Role。

  4. 为自定义角色输入 Title 和 :extui:`Description`（可选）。

  5. 选择 Add Permissions。

  6. 在:extui:Filter 中，选择 Service，然后选择 storage。

  7. 筛选权限列表，并从列表中添加以下内容：

    • storage.buckets.get

    • storage.objects.create

    • storage.objects.delete

    • storage.objects.get

    • storage.objects.list

  8. 选择 Add。

  9. 选择 Create。

为 GCS 服务账户分配自定义角色

  1. 以项目编辑者身份登录 Google Cloud Platform Console。

  2. 从主页仪表板中选择 Cloud Storage » Buckets。

  3. 筛选桶列表，然后选择创建外部卷时指定的桶。

  4. 选择 Permissions » View by principals，然后选择 Grant access。

  5. 在 Add principals 下，粘贴 第 2 步：检索 Snowflake 账户的 GCS 服务账户 的输出中的服务账户名称。

  6. 在 Assign roles 下，选择先前创建的自定义 IAM 角色，然后选择 Save。

备注

要验证权限配置是否正确无误，请使用此外部卷 创建一个 Iceberg 表。在您创建引用此外部卷的 Iceberg 表之前，Snowflake 不会验证权限设置是否正确。

授予 GCS 服务账户对 Google Cloud Key Management Service 密钥的权限

备注

仅当 您的 GCS 桶使用存储在 Google Cloud Key Management Service (Cloud KMS) 中的密钥进行加密时，才需要执行此步骤。

  1. 以项目编辑者身份登录 Google Cloud Platform Console。

  2. 从主页仪表板中，搜索并选择 Security » Key Management。

  3. 选择分配给 GCS 桶的密钥环。

  4. 选择右上角的 SHOW INFO PANEL。此时会显示密钥环的信息面板。

  5. 在 Add members 字段中，搜索 第 2 步：检索 Snowflake 账户的 GCS 服务账户 的 DESCRIBE EXTERNAL VOLUME 输出中的服务账户名称。

  6. 从 Select a role 下拉列表中，选择 Cloud KMS CryptoKey Encrypter/Decrypter 角色。

  7. 选择 Add。服务账户名称将添加到信息面板中的 Cloud KMS CryptoKey Encrypter/Decrypter 角色下拉列表中。

后续步骤

配置外部卷后，您可以创建 Iceberg 表。

语言: 中文