本文探讨了 AWS Glue REST Catalog 与 S3 Tables 端点在访问 Iceberg 表时表现出的不同授权行为。Glue 端点同时依赖 IAM 策略和 Lake Formation 权限，而 S3 Tables 端点仅使用 IAM 进行授权。测试通过调整 IAM 权限和 Lake Formation 权限来观察结果。在同时具备 IAM 和 Lake Formation 权限的基线场景中，两个端点均返回成功的 200 响应。当移除 Lake Formation 权限时，Glue 端点返回 403 错误，表明其依赖 Lake Formation，而 S3 Tables 端点仍可访问并返回 200 响应。相反，移除 s3tables IAM 操作后，两个端点均返回 403 错误。通过 CloudTrail 日志追踪授权流程发现，Glue 会调用 GetDataAccess 以进行 Lake Formation 评估，即使最终被拒绝；而 S3 Tables 端点则不会触发 GetDataAccess 调用。这证实 Glue 端点执行两步授权流程：首先检查 IAM，然后委托给 Lake Formation，而 S3 Tables 端点仅执行一次 IAM 授权检查。