R2 Data Catalog 现在支持只读 API 令牌
R2 Data Catalog 现在接受只读 API 令牌，因此仅读取数据的查询引擎和客户端不再需要读写令牌。此前，每个目录操作都需要管理员读写令牌，这意味着只读客户端被授予了超出实际需要的访问权限。
您现在可以根据工作负载对 Iceberg 引擎进行身份验证：
- 只读操作（例如列出命名空间、加载表和查询数据）可使用管理员只读令牌（R2 Data Catalog 读取和 R2 存储读取）。
- 写入操作（例如创建或删除表以及提交事务）继续需要管理员读写令牌。
这让您可以遵循最小权限原则——例如，为向表写入数据的管道使用读写令牌，为 R2 SQL、DuckDB 或 PyIceberg 等查询引擎使用只读令牌。
请注意，目录颁发的凭证继承用于身份验证的令牌的 R2 存储权限。为确保对底层数据的只读访问，请将 R2 存储权限也限定为只读。
有关选择和创建正确令牌的详细信息，请参阅对 Iceberg 引擎进行身份验证。