如何为S3 Table REST连接单独指定AWS凭证以实现RBAC权限管控？

通过Iceberg REST目录连接AWS S3 Tables时，你当前的凭证配置参数前缀有误——s3.access-key-id这类参数是针对直接操作S3存储的配置，不适用于REST API的身份验证逻辑，这是导致配置失效的核心原因。

正确配置方式 #

针对S3 Tables的REST API连接，需要使用rest.前缀的AWS凭证参数，调整后的代码如下：

catalog = load_catalog(
    "client1Data",
    **{
        "type": "rest",    
        "warehouse": "arn:aws:s3tables:ap-south-1:{accountId}:bucket/{bucketname}",
        "uri": "https://s3tables.ap-south-1.amazonaws.com/iceberg",
        "rest.sigv4-enabled": "true",
        "rest.signing-name": "s3tables",
        "rest.signing-region": "ap-south-1",
        "rest.access-key-id": "{accessKey}",
        "rest.secret-access-key": "{accessSecret}"
    }
)

关键配置说明 #

• 替换参数前缀：将s3.access-key-id改为rest.access-key-id，s3.secret-access-key改为rest.secret-access-key，因为REST客户端的SigV4签名逻辑需要使用自身前缀的凭证参数。
• 移除冗余配置：s3.region无需保留，REST API的签名区域已通过rest.signing-region指定，重复配置会引发冲突。
• 替换占位符：确保{accountId}、{bucketname}、{accessKey}、{accessSecret}全部替换为实际业务的有效值。

RBAC权限落地建议 #

• 为每个客户创建独立IAM用户，通过IAM策略严格限定该用户仅能访问对应客户的S3 Tables资源，实现数据隔离。
• 每个客户的catalog配置单独绑定对应IAM用户的凭证，确保权限最小化，避免跨客户数据访问风险。

内容的提问来源于stack exchange，提问作者Bhaskar Dabhi