Anforderungen, Kontingente und Einschränkungen für Zeilenfilter- und Spaltenformatrichtlinien

Auf dieser Seite werden Anforderungen, Richtlinienkontingente und aktuelle Einschränkungen für ABAC-Zeilenfilter- und Spaltenformatrichtlinien im Unity-Katalog aufgeführt.

Computeanforderungen

Um ABAC-Richtlinien zu verwenden, müssen Sie eine der folgenden Computekonfigurationen verwenden:

• Serverloses Computing
• Standard compute auf Databricks Runtime 16.4 oder höher
• Dedizierte Rechnerleistung auf Databricks Runtime 16.4 oder höher mit aktivierter feingranularer Zugriffssteuerungsfilterung

Anleitungen zum Ausführen von Workloads, die ältere Laufzeiten erfordern, finden Sie unter Access von älteren Runtimes.

Anforderung für geregelte Tags

ABAC-Richtlinien verwenden geregelte Tags und keine nicht geregelten Tags. Geregelte Tags werden auf Kontoebene mit Zugriffssteuerungen definiert, die bestimmen, wer sie erstellen, zuweisen und verwalten kann. Ausführliche Informationen finden Sie unter "Governed tags".

Richtlinienkontingente

Weitere Informationen, einschließlich unterliegter Kategorienkontingente, finden Sie unter Dienstgrenzwerte.

ABAC-Einschränkungen

Identitätsattribute in Richtlinienbedingungen

Die has_identity_attribute_value und-Funktionen has_identity_attribute_tag_match bewerten die Identitätsattribute des Benutzers, der die Abfrage ausführt. Sie werden in der WHEN Klausel der Spaltenmaskenrichtlinien unterstützt. Es gelten die folgenden Einschränkungen:

• Sie werden in der MATCH COLUMNS Klausel der Spaltenmaskenrichtlinien nicht unterstützt.
• Sie werden nicht in GRANT oder DENY Politiken unterstützt.
• Die Richtlinienerstellungsoberfläche im Catalog Explorer unterstützt keine Attributfunktionen. Verwenden Sie SQL, um diese Richtlinien zu erstellen.

Für Nutzungsmuster siehe Maskieren, eine Spalte basierend auf den Attributen des suchenden Benutzers.

Zugriff von älteren Runtimes

Standard- und dedizierte Compute für Databricks-Runtime-Versionen vor 16.4 können nicht auf ABAC-gesicherte Tabellen zugreifen. Wenn Sie bestimmte Workloads benötigen, um weiterhin auf einer älteren Laufzeit ausgeführt zu werden, legen Sie die ABAC-Richtlinie auf eine bestimmte Gruppe fest, anstatt sie allgemein anzuwenden. Fügen Sie nur die Benutzer oder Prinzipale hinzu, die die Richtlinie auf diese Gruppe anwenden soll, und schließen Sie den Prinzipal aus, der die Arbeitsauslastung für ältere Laufzeit mithilfe der EXCEPT Klausel ausführt. Benutzer außerhalb der Gruppe behalten vollzugriff auf die zugrunde liegenden Tabellen. Auf diese Weise kann diese Workload weiterhin auf die Tabellen zugreifen, während Sie zu einer unterstützten Laufzeit wechseln.

ABAC-Richtlinien zu Ansichten

Die folgenden Anforderungen und Einschränkungen gelten für Richtlinien zu Ansichten:

• Metrikansichten werden nicht unterstützt: Sie können ABAC-Richtlinien nicht auf Metrikansichten anwenden.
• Eine einzelne Abfrage kann höchstens 20 Richtlinien schichten: Eine Basistabelle kann eine Richtlinie haben, und jede darauf basierende Ansicht kann ihre eigene Richtlinie haben. Wenn eine Abfrage eine Ansicht durchliest, gelten alle relevanten Richtlinien auf jeder Ebene der Hierarchie. Wenn mehr als 20 Richtlinien angewendet würden, schlägt die Abfrage fehl.
• CREATE OR REPLACE VIEW Entfernt verwaltete Tags und direkt angehängte Richtlinien: Das Ersetzen einer Ansicht durch eine CREATE OR REPLACE Anweisung löscht die Metadaten der Ansicht sowie deren verwaltete Tags und direkt angehängte Richtlinien. Um Metadaten zu erhalten, verwenden ALTER VIEW Sie stattdessen. Wenn du es verwendest CREATE OR REPLACE, wende die betreuten Tags und Richtlinien danach erneut an.
• Spalten mit regulierten Tags können nicht entfernt werden, bevor die Tags entfernt wurden: Wie bei Basistabellen müssen regulierte Tags vor dem Entfernen aus der Spalte einer Ansicht entfernt werden. Andernfalls könnten Richtlinien, die vom Tag abhängen, unbeabsichtigt fallen.

ABAC-Richtlinien für materialisierte Ansichten und Streamingtabellen

Wenn eine Pipeline eine materialisierte View- oder Streaming-Tabelle aktualisiert, bewertet sie Richtlinien anhand der Identität des Pipeline-Besitzers oder der Run-as-Identität. Wenn diese Identität einer ABAC-Richtlinie unterliegt, enthält die materialisierte Ansicht oder Streaming-Tabelle dauerhaft maskierte oder gefilterte Daten. Um dies zu vermeiden, fügen Sie den Pipeline-Owner oder die Run-as-Identität in die EXCEPT Klausel der ABAC-Richtlinien hinzu, die mit allen Tabellen verbunden sind, die während der Pipeline-Aktualisierung gelesen werden. Verwenden Sie die TO Klausel, um anzugeben, welche Benutzer und Gruppen maskierte oder gefilterte Daten erhalten.

OpenSharing-Tabellen mit ABAC-Richtlinien oder Ansichten, die darauf verweisen

Tabellen mit ABAC-Richtlinien oder Ansichten, die auf Tabellen mit ABAC-Richtlinien verweisen, können nur über OpenSharing freigegeben werden, wenn der Freigabebesitzer von der Richtlinie ausgenommen ist (in der EXCEPT Klausel aufgeführt). Die Richtlinie steuert nicht den Zugriff des Empfängers. Empfänger können ihre eigenen ABAC-Richtlinien auf geteilte Tabellen, Ansichten (Beta), materialisierte Ansichten und Streaming-Tabellen anwenden, um die Zugriffskontrolle auf ihrer Seite durchzusetzen.

• Informationen zu Freigabeanbietern finden Sie unter Hinzufügen von Tabellen und Schemas, die durch ABAC-Richtlinien gesichert sind, zu einer Freigabe.
• Für Empfänger von Freigaben siehe Lesen von ABAC-gesicherten Daten und Anwenden von ABAC-Richtlinien.

Ausführliche Informationen zur Verwendung von OpenSharing mit ABAC finden Sie unter OpenSharing und ABAC.

Klonierung von Tabellen mit ABAC-Richtlinien

Tiefe und flache Klone werden in Tabellen mit ABAC-Richtlinien nicht unterstützt. Um eine Tabelle zu klonen, verwenden Sie einen Service-Principal oder eine Gruppe, die in der EXCEPT Klausel jeder auf die Tabelle angewendeten Policy aufgeführt ist.

Zum Beispiel maskiert die folgende Richtlinie PII-Spalten für alle Benutzer außer , etl_service_principaldie die Tabelle klonen können:

CREATE POLICY mask_pii
ON CATALOG prod
COLUMN MASK prod.governance.mask_value
TO `account users`
EXCEPT `etl_service_principal`
FOR TABLES
MATCH COLUMNS
  has_tag_value('pii', 'ssn') AS ssn
ON COLUMN ssn;

KI-Suchindizes und ABAC-Richtlinien

ABAC-Richtlinien für eine Quelltabelle gelten nicht für AI Search-Indizes, die aus dieser Tabelle erstellt wurden. Der Index synchronisiert alle Zeilen aus der Quelltabelle und erzwingt beim Bereitstellen von Abfragen keine Zeilenfilter- oder Spaltenformatrichtlinien.

Bei Tabellen mit Spaltenformaten können Sie maskierte Spalten mithilfe der Zusynchronisierungseinstellung aus dem Index ausschließen.

Mehrere Richtlinien für dieselbe Tabelle oder Spalte für denselben Benutzer

Nur ein eindeutiger Zeilenfilter kann zur Laufzeit für eine bestimmte Tabelle und einen bestimmten Benutzer aufgelöst werden, und nur eine unterschiedliche Spaltenmaske kann für eine bestimmte Spalte und einen bestimmten Benutzer aufgelöst werden. Sie können mehrere Richtlinien definieren, aber wenn ein Benutzer die Tabelle abfragt, müssen nur die Bedingungen einer Richtlinie übereinstimmen. Wenn mehrere unterschiedliche Zeilenfilter oder Spaltenformate auf denselben Benutzer und dieselbe Tabelle oder Spalte angewendet werden, blockiert Azure Databricks den Zugriff und gibt einen Fehler zurück. Mehrere Richtlinien sind zulässig, wenn sie mit denselben Argumenten in denselben Zeilenfilter oder spaltenformat aufgelöst werden.

Details finden Sie unter Widersprüchliche Filter und Masken.

ABAC für dedizierte Compute

Einschränkungen von ABAC auf dedizierter Compute-Umgebung finden Sie unter Einschränkungen.

Allgemeine Einschränkungen für ABAC- und Zeilenfilter auf Tabellenebene und Spaltenformate

Allgemeine Einschränkungen von Zeilenfiltern und Spaltenformaten, die sowohl für ABAC- als auch Zeilenfilter auf Tabellenebene und Spaltenmasken gelten, finden Sie unter "Einschränkungen".