В данной статье рассматриваются различия в поведении авторизации конечных точек AWS Glue REST Catalog и S3 Tables при взаимодействии с таблицами Iceberg. В то время как конечная точка Glue полагается как на политики IAM, так и на разрешения Lake Formation, конечная точка S3 Tables использует только IAM для авторизации. Тесты проводились путем изменения разрешений IAM и предоставления разрешений Lake Formation для наблюдения за результатами. Базовый сценарий, при котором были предоставлены разрешения IAM и Lake Formation, привел к успешным ответам 200 от обеих конечных точек. При удалении разрешений Lake Formation конечная точка Glue вернула ошибку 403, что указывает на ее зависимость от Lake Formation, в то время как конечная точка S3 Tables осталась доступной с ответом 200. И наоборот, удаление действий IAM для s3tables привело к ошибкам 403 от обеих конечных точек. Журналы CloudTrail использовались для отслеживания потока авторизации, показывая, что Glue вызывает GetDataAccess для оценки Lake Formation, даже если в конечном итоге отказано. Однако конечная точка S3 Tables не инициирует вызовы GetDataAccess. Это подтверждает, что конечная точка Glue оркестрирует двухэтапный процесс авторизации, сначала проверяя IAM, а затем делегируя Lake Formation, в то время как конечная точка S3 Tables выполняет одну проверку авторизации IAM.