AWS Glue Data Catalog תומך כעת באימות OAuth 2.0 עבור ממשקי Apache Iceberg REST Catalog. התמיכה מאפשרת למנועי שאילתות ולשותפים חיצוניים לקבל אסימון קצר־חיים ומוגבל ל‑Glue, במקום להפיץ להם פרטי גישה קבועים של AWS.
מה נוסף ל‑Glue Data Catalog
Apache Iceberg REST Catalog מגדיר OAuth 2.0 כמנגנון אימות תקני. מנועים נפוצים כמו Apache Spark, Trino ו‑Apache Flink כבר מיישמים את הדפוס הזה. בעקבות העדכון, הם יכולים להתחבר לנקודת הקצה של Iceberg ב‑Glue Data Catalog באמצעות Bearer Token תקני, בנוסף לאימות AWS Signature Version 4.
לפי AWS, תהליך ההתחברות מבוסס על OAuth 2.0 Token Exchange לפי RFC 8693. המערכת מחליפה אסימון זהות של OpenID Connect באסימון קצר־חיים שהיקפו מוגבל ל‑Glue. את האסימון החדש שולחים בבקשות ל‑Iceberg REST Catalog, בעוד ההרשאות עצמן נשארות כפופות ל‑AWS IAM ול‑AWS Lake Formation.
למה זה משמעותי לפלטפורמות נתונים
ארגונים רבים מפעילים Lakehouse שבו קטלוג המטא־דאטה נמצא ב‑AWS, אבל כלי העיבוד, פלטפורמת האנליטיקה או השותף העסקי פועלים מחוץ לחשבון או מחוץ ל‑AWS. בעבר, אינטגרציות כאלה דרשו לעיתים הפצת מפתחות, תהליך חתימה ייחודי או רכיב תיווך שניהל זהויות.
OAuth מספק נתיב אחיד יותר: ספק הזהות מאמת את המשתמש או השירות, מתבצעת החלפת אסימון, והלקוח מקבל הרשאה זמנית ומוגבלת. זה אינו מבטל את IAM או Lake Formation; להפך, הם ממשיכים לקבוע לאילו טבלאות ולפעולות מותרת הגישה.
מה צוותי נתונים ואבטחה צריכים לבדוק
- היקף האסימון: להגדיר אסימונים קצרים ומוגבלים ליעד הנדרש, ולא להשתמש בהרשאות כלליות לכל קטלוג הנתונים.
- זהות ה‑OIDC: לוודא מי מנפיק את אסימון המקור, כיצד נבדקים audience ו‑issuer, ואיך מבטלים אמון במקרה של אירוע אבטחה.
- Lake Formation: לבדוק שהרשאות בסיס הנתונים, הטבלאות והעמודות תואמות לזהות שהוחלפה ואינן נשענות על ברירת מחדל רחבה.
- רישום וניטור: לתעד את החלפת האסימונים ואת בקשות הקטלוג, ולבנות התראות על שיעור כישלונות חריג, שימוש מאזורים לא צפויים או בקשות בהיקף חריג.
- חידוש אסימונים: לבדוק כיצד Spark, Trino, Flink וכלי צד שלישי מחדשים אסימון במהלך שאילתה ארוכה, ומה קורה כאשר החידוש נכשל.
לא רק נוחות למפתחים
הפחתת השימוש בפרטי גישה ארוכי־חיים היא יתרון אבטחה מובהק, אך OAuth אינו פתרון קסם. תצורה שגויה של ספק זהות, audience רחב מדי או הרשאות Lake Formation עודפות עלולים לפתוח נתיב גישה משמעותי. לכן רצוי להפריד בין סביבת בדיקה לייצור, לבצע בדיקות שליליות ולוודא שאסימון של מערכת אחת אינו מתקבל במערכת אחרת.
מבחינת תפעול, נתיב אימות תקני יכול לצמצם קוד מותאם ולשפר תאימות בין מנועי נתונים. עבור שותפים חיצוניים, הוא מאפשר גישה מאוחדת יותר לטבלאות Iceberg מבלי למסור מפתחות AWS. עבור צוותי ממשל, הוא יוצר נקודת בקרה ברורה יותר סביב זהות זמנית והרשאות קטלוג.
זמינות
AWS מציינת שהתכונה זמינה בכל האזורים שבהם AWS Glue ו‑Lake Formation פעילים. לפני הטמעה יש לבדוק את זמינות השירות באזור הספציפי, את התמיכה בלקוח ואת מדיניות הארגון לגבי ספקי זהות חיצוניים.
מקור: הודעת AWS הרשמית, 26.10.2026.
קרדיט תמונה: Vitaly Gariev / Pexels. רישיון Pexels מאפשר שימוש באתר, בפרסום וברשתות חברתיות.
