Konzepte des Unity-Katalogberechtigungsmodells

Auf dieser Seite werden die Kernkonzepte des Unity-Katalogberechtigungsmodells erläutert, einschließlich des Objektmodells, der Rechte, des Besitzes und der Vererbung.

Eine allgemeine Referenz aller Unity-Katalogberechtigungen finden Sie unter Unity Catalog-Berechtigungsreferenz. Anweisungen zum Erteilen und Widerrufen von Berechtigungen finden Sie unter Anzeigen, Erteilen und Widerrufen von Berechtigungen.

Sicherungsfähige Objekte

Im Unity-Katalog leben Daten und Metadaten in einem Container der obersten Ebene, der als Metaspeicher bezeichnet wird. Innerhalb dieses Metaspeichers werden Daten als Objekte in einem Namespace mit drei Ebenen dargestellt: catalog.schema.table. Diese hierarchische Struktur bietet auch die Grundlage für die Zugriffssteuerung im Unity-Katalog.

Jedes Objekt in dieser Hierarchie ist ein sicherungsfähiges Objekt. Die Zugriffssteuerung im Unity-Katalog funktioniert, indem Berechtigungen wie SELECT, MODIFY oder USE SCHEMA für diese sicherheitsrelevanten Objekte gewährt werden. Dieses Modell bietet eine differenzierte Kontrolle darüber, wer auf Daten in Ihrer Organisation zugreifen und diese verwalten kann.

Eine vollständige Liste der sicherungsfähigen Objekte und der berechtigungen, die für die einzelnen Objekte gelten, finden Sie unter Unity Catalog privileges reference.

Containerobjekte

Einige sicherungsfähige Objekte im Unity-Katalog sind Containerobjekte, d. h. sie enthalten untergeordnete Objekte innerhalb der Hierarchie. Containerobjekte spielen im Berechtigungsmodell eine besondere Rolle, da sich die für sie erteilten Berechtigungen durch Vererbung auf ihre untergeordneten Objekte auswirken können.

Im Unity-Katalog sind containerobjekte aufgeführt:

• Kataloge: Die oberste Ebene des Namespace mit drei Ebenen. Kataloge enthalten Schemas als direkte untergeordnete Objekte.
• Schemas: Die mittlere Ebene des Namespace mit drei Ebenen. Schemas enthalten Tabellen, Sichten, Volumes und Funktionen als direkte untergeordnete Objekte.

Containerobjekte weisen mehrere wichtige Merkmale auf:

Nicht-Containerobjekte wie Tabellen, Sichten, Volumes und Funktionen enthalten keine untergeordneten Objekte.

Berechtigungen

Berechtigungen bestimmen, welche Aktionen ein Benutzer oder eine Gruppe für ein sicherungsfähiges Objekt ausführen kann. Zu den allgemeinen Berechtigungen gehören:

• SELECT: Lesen von Daten aus Tabellen oder Ansichten
• MODIFY: Daten in Tabellen oder Ansichten schreiben
• USE CATALOG: Zugriff auf einen Katalog (erfordert zusätzliche Berechtigungen zum Arbeiten mit Kinderobjekten)
• USE SCHEMA: Zugriff auf ein Schema (erfordert zusätzliche Zugriffsrechte für die Arbeit mit untergeordneten Objekten)
• CREATE TABLE: Erstellen von Tabellen in einem Schema

Einem Benutzer oder einer Gruppe muss explizit eine Berechtigung zum Ausführen einer Aktion gewährt werden.

In den folgenden Abschnitten werden wichtige spezielle Berechtigungen in Azure Databricks beschrieben. Eine vollständige Referenz aller Berechtigungen finden Sie unter Unity Catalog-Berechtigungsreferenz.

Verwendungsberechtigungen

USE CATALOG und USE SCHEMA sind Nutzungsberechtigungen. Im Allgemeinen sind Verwendungsberechtigungen voraussetzung für die Interaktion mit einem Objekt und dessen untergeordneten Objekten in der Hierarchie.

Um mit einem beliebigen Objekt in einem Katalog zu arbeiten, benötigt man das USE CATALOG Privileg im Katalog, und um mit einem beliebigen Objekt in einem Schema zu arbeiten, braucht man das USE SCHEMA Privileg auf dem Schema. Die Verwaltung eines Objekts mit diesem Privileg MANAGE ist eine Ausnahme, mit reduzierten Nutzungsrechtanforderungen. Siehe Nutzungsrechtanforderungen für MANAGE.

Um beispielsweise die meisten Vorgänge für Tabellen, Ansichten, Volumes oder Funktionen auszuführen, benötigen Sie Folgendes:

1. USE CATALOG im übergeordneten Katalog
2. USE SCHEMA für das übergeordnete Schema.
3. Die spezifische Berechtigung für den Vorgang (z. B. SELECT, MODIFY oder EXECUTE)

Alle drei sind erforderlich. Wenn Sie nur über die SELECT Berechtigung für eine Tabelle verfügen, reicht das nicht aus, um sie zu lesen, wenn Ihnen USE CATALOG oder USE SCHEMA für die übergeordneten Objekte fehlen.

Verwendungsberechtigungen bieten einen wichtigen Zugriffssteuerungsmechanismus für Administratoren auf höherer Ebene. Zum Beispiel, selbst wenn ein Tabellenbesitzer seine Tabelle für andere Benutzer freigeben möchte, können diese Benutzer nicht auf die Tabelle zugreifen, ohne USE CATALOG und USE SCHEMA Berechtigungen für die übergeordneten Objekte zu haben. Da nur Katalog- und Schemabesitzer oder Benutzer mit den MANAGE Berechtigungen diese Verwendungsberechtigungen gewähren können, wird verhindert, dass Tabellenbesitzer Zugang außerhalb genehmigter Grenzen gewähren.

Nutzungsrechtanforderungen für MANAGE

Das Privileg MANAGE hat die Anforderungen an Nutzungsrechte reduziert. Um MANAGE auszuüben, benötigen Sie keine Nutzungsberechtigung auf der Ebene, auf der MANAGE gewährt wird: MANAGE für einen Katalog erfordert kein USE CATALOG für diesen Katalog, und MANAGE für ein Schema erfordert kein USE SCHEMA für dieses Schema. Du brauchst das Nutzungsrecht nur auf den Container-Ebenen, die strikt oberhalb der Stufe liegen, auf der du hältst MANAGE, nicht auf oder unter dieser Ebene. Auf jeder dieser höheren Ebenen kann man die Anforderung mit USE CATALOG oder USE SCHEMA, oder mit Eigentum oder MANAGEerfüllen. Da MANAGE für einen Container an alle seine untergeordneten Objekte vererbt wird, bedeutet der Besitz von MANAGE auf einer höheren Ebene, dass Sie darunter keine Nutzungsberechtigungen benötigen. Beispiel:

• MANAGE für einen Katalog erfordert keine Nutzungsberechtigungen. Du kannst den Katalog und jedes Schema, jede Tabelle oder ein anderes Objekt darin verwalten, ohne USE CATALOG oder USE SCHEMA.
• MANAGE für ein Schema erfordert USE CATALOG für den übergeordneten Katalog (oder Besitz oder MANAGE für diesen Katalog), aber nicht USE SCHEMA für das Schema.
• MANAGE für ein Nicht-Containerobjekt wie eine Tabelle, eine Sicht, ein Volume oder eine Funktion erfordert USE CATALOG für den übergeordneten Katalog und USE SCHEMA für das übergeordnete Schema (oder Besitz oder MANAGE für eines der übergeordneten Objekte).

Diese Reduktion gilt nur für die Metadaten-Fähigkeiten, die MANAGE, und alle kindlichen Privilegien von MANAGE wie READ METADATA, gewähren. Datenzugriffsberechtigungen wie SELECT und MODIFY erfordern weiterhin USE CATALOG und USE SCHEMA, selbst für Benutzer mit MANAGE. Für weitere Informationen darüber, was MANAGE erlaubt ist, siehe Das MANAGE Privileg.

In der folgenden Tabelle sind allgemeine Vorgänge und deren erforderliche Berechtigungen aufgeführt:

ALL PRIVILEGES Verhalten

ALL PRIVILEGES impliziert alle anwendbaren Berechtigungen für einen bestimmten Objekttyp, ohne dass Azure Databricks jede einzelne Berechtigung explizit gewährt. Beispiel:

• ALL PRIVILEGES auf einer Tabelle impliziert die Möglichkeit, SELECT, MODIFY und APPLY TAG auszuführen.
• ALL PRIVILEGES für ein Volume impliziert die Möglichkeit, READ VOLUME, WRITE VOLUME und APPLY TAG auszuführen.
• ALL PRIVILEGES auf einem Schema impliziert alle Berechtigungen auf Schemaebene.
• ALL PRIVILEGES in einem Katalog impliziert alle Berechtigungen auf Katalogebene.

ALL PRIVILEGES enthält nicht die EXTERNAL USE SCHEMA, EXTERNAL USE LOCATION, MANAGE, oder READ METADATA Privilegien.

Weitere Informationen dazu, wie ALL PRIVILEGES ausgewertet und widerrufen wird, finden Sie unter "ALLE RECHTE".

Die MANAGE Berechtigung

Das MANAGE-Privileg erlaubt Benutzern, Berechtigungen zu verwalten, den Besitz eines Objekts zu übertragen und es zu löschen, ohne der Besitzer zu sein. Der Besitz von MANAGE ähnelt dem Besitz, es gibt jedoch einige wichtige Unterschiede. Siehe Besitz im Vergleich zu den MANAGE Berechtigungen.

Um MANAGE auszuüben, benötigen Benutzer die entsprechenden Nutzungsberechtigungen für die übergeordneten Container oberhalb des Objekts, für das MANAGE gewährt wird, jedoch nicht für dieses Objekt selbst. Zum Beispiel sind für MANAGE auf einem Katalog überhaupt keine Nutzungsrechte erforderlich. Für vollständige Details siehe Nutzungsrechtanforderungen für MANAGE.

Wenn MANAGE für ein Containerobjekt gewährt wird, erhält der Benutzer auch MANAGE für alle untergeordneten Objekte.

Ausführliche Informationen finden Sie unter MANAGE.

Die BROWSE Berechtigung

BROWSE ermöglicht Es Benutzern, Objekte zu ermitteln und ihre Metadaten anzuzeigen, ohne zugriff auf die zugrunde liegenden Daten zu gewähren. Benutzer mit BROWSE können sehen, dass ein Objekt vorhanden ist, den Namen, die Beschreibung und die Tags anzeigen und den Zugriff auf das Objekt anfordern, ohne dass USE CATALOG oder USE SCHEMA erforderlich sind.

BROWSE wird auf Katalogebene gewährt und gilt für alle Objekte innerhalb dieses Katalogs. Databricks empfiehlt, BROWSE für Kataloge der All account users-Gruppe zu gewähren, um Daten in Ihrer gesamten Organisation auffindbar zu machen.

Ausführliche Informationen finden Sie unter BROWSE.

Zusammengesetzte und untergeordnete Berechtigungen

Einige Berechtigungen sind durch eine Beziehung zwischen zusammengesetzten und untergeordneten Elementen miteinander verbunden. Ein zusammengesetztes Privileg gewährt eine breite Palette von Fähigkeiten, und jedes seiner Kinderprivilegien gewährt eine Teilmenge dieser Fähigkeiten. Kinderrechte erlauben es Ihnen, einen Teil des Zugangs zu einem zusammengesetzten Privileg zu delegieren, ohne das volle Privileg zu gewähren.

Zusammengesetzte und kindliche Privilegien werden unabhängig voneinander gewährt und widerrufen. Die Gewährung eines zusammengesetzten Privilegs gewährt dem Kind keine Privilegien, und der Widerruf eines zusammengesetzten Privileg widerruft kein explizit gewährtes Kinderprivileg.

Im Folgenden sind Beispiele für zusammengesetzte und kindliche Privilegien:

• MANAGE ist ein zusammengesetztes Privileg. READ METADATA ist ein untergeordnetes Element von MANAGE, das schreibgeschützte Sichtbarkeit der Metadaten eines Objekts gewährt, ohne die Änderungs- und Verwaltungsfunktionen, die MANAGE umfasst. Siehe METADATEN LESEN.
• MODIFY ist ein zusammengesetztes Privileg, und INSERT, UPDATE, und DELETE (Beta) sind seine Kinder. Jede davon gewährt einen Teil des Schreibzugriffs, den MODIFY bereitstellt. Weitere Informationen finden Sie unter Differenzierte DML-Berechtigungen.

Besitz

Jedes sicherungsfähige Objekt in Unity Catalog verfügt über eine*n Besitzer*in. Der Besitzer kann ein Benutzer, Dienstprinzipal oder eine Gruppe sein. Der Prinzipal, der ein Objekt erstellt, wird dessen ursprünglicher Eigentümer.

Der Besitz hat im Unity-Katalog eine besondere Bedeutung. Objektbesitzer können automatisch alle Funktionen für das Objekt ausführen, das sie besitzen. Azure Databricks gewährt dem Besitzer jedoch nicht explizit die ALL PRIVILEGES Berechtigung. Dies bedeutet, dass ALL PRIVILEGES nicht zurückgegeben wird, wenn Sie Berechtigungen mithilfe der Databricks-API oder mit einem SHOW GRANTS-Befehl auflisten.

Der Besitz vererbt sich im Unity-Katalog nicht nach unten. Objektbesitzer haben jedoch automatisch die Möglichkeit, alle untergeordneten Objekte zu verwalten. Wenn Sie beispielsweise Besitzer eines Katalogs sind, sind Sie nicht automatisch Besitzer der untergeordneten Schemas im Katalog, können aber alle untergeordneten Schemas verwalten. Ähnlich wie Besitzer, die alle Funktionen ihres Objekts besitzen, ohne über ALL PRIVILEGES explizit zu verfügen, gewährt Azure Databricks in diesem Fall auch nicht explizit die MANAGE Berechtigung.

Objektbesitzer können andere wichtige Vorgänge für das Objekt ausführen, darunter das Erteilen und Widerrufen von Berechtigungen, das Übertragen des Besitzes und das Ablegen des Objekts.

Zusammenfassend kann der Besitzer eines Objekts folgende Aktionen ausführen:

Informationen zum Anzeigen und Übertragen des Besitzes finden Sie unter Verwalten des Objektbesitzes.

Besitz im Vergleich zur Berechtigung MANAGE

Die MANAGE Berechtigung gewährt einem Benutzer die Möglichkeit, Berechtigungen für das Objekt zu erteilen und zu widerrufen. Er gewährt dem Benutzer nicht alle Berechtigungen für das Objekt. Benutzer mit MANAGE können sich jedoch explizit Datenzugriffsberechtigungen gewähren, z.B. SELECT.

Im Gegensatz dazu verfügen Objektbesitzer standardmäßig über alle Funktionen für ihr Objekt. Da der Besitz nicht nach unten an untergeordnete Objekte vererbt wird, benötigen Besitzer weiterhin explizite Zuweisungen für diese untergeordneten Objekte.

Die Anforderungen an die Nutzungsberechtigungen sind für beide gleich: Eigentümer und Benutzer mit MANAGE benötigen die entsprechenden Nutzungsberechtigungen für die übergeordneten Container des Objekts, jedoch nicht für das Objekt selbst. Siehe Nutzungsrechtanforderungen für MANAGE.

In der folgenden Tabelle sind die wichtigsten Unterschiede zwischen Besitz und MANAGE Berechtigungen zusammengefasst:

Um versehentliche Berechtigungseskalation zu vermeiden, enthält die ALL PRIVILEGES Berechtigung nicht die MANAGE Berechtigung.

Berechtigungsvererbung

Die Berechtigungsvererbung ist ein wichtiges Feature des Unity-Katalog-Berechtigungsmodells. Wenn Sie eine Berechtigung für ein übergeordnetes Objekt erteilen, gilt diese Berechtigung automatisch für alle aktuellen und zukünftigen untergeordneten Objekte. Dadurch wird die Zugriffsverwaltung vereinfacht, indem die Anzahl einzelner Finanzhilfen reduziert wird, die Sie vornehmen müssen.

Berechtigungen werden innerhalb der Objektmodellhierarchie abwärts vererbt.

• Ein für einen Katalog gewährtes Recht gilt für alle Schemas in diesem Katalog sowie für alle Tabellen, Ansichten, Volumes und Funktionen in diesen Schemas.
• Ein für ein Schema gewährtes Recht gilt für alle Tabellen, Ansichten, Volumes und Funktionen in diesem Schema.

Wenn Sie einem Benutzer z. B. die SELECT Berechtigung für einen Katalog erteilen, kann dieser Benutzer alle Tabellen und Ansichten in diesem Katalog lesen (mit den entsprechenden USE CATALOG und USE SCHEMA Nutzungsberechtigungen).

Der Besitz vererbt sich im Unity-Katalog nicht nach unten. Als Besitzer eines Objekts erhalten Sie automatisch alle Berechtigungen für dieses Objekt. Sie übernehmen nicht automatisch den Besitz von untergeordneten Objekten, die unter Ihrem Objekt erstellt wurden. Sie erhalten jedoch automatisch die Berechtigung MANAGE für alle neuen und vorhandenen untergeordneten Objekte.

Vererbungsbeispiele

Angenommen, Sie erteilen SELECT, USE CATALOG und USE SCHEMA auf Katalogebene an die finance_team-Gruppe:

GRANT USE CATALOG, USE SCHEMA, SELECT ON CATALOG sales TO finance_team;

Diese Gewährung ermöglicht der finance_team Gruppe Folgendes:

• Zugreifen auf den sales Katalog
• Zugreifen auf alle Schemas im Katalog
• Daten aus allen aktuellen und zukünftigen Tabellen und Ansichten im Katalog lesen

Angenommen, Sie erteilen CREATE TABLE, USE CATALOG und USE SCHEMA auf Katalogebene an die data_engineers-Gruppe:

GRANT USE CATALOG, USE SCHEMA, CREATE TABLE ON CATALOG analytics TO data_engineers;

Diese Gewährung ermöglicht der data_engineers Gruppe Folgendes:

• Zugreifen auf den analytics Katalog
• Zugreifen auf alle Schemas im Katalog
• Erstellen von Tabellen in einem aktuellen oder zukünftigen Schema im Katalog

Anweisungen zum Erteilen und Widerrufen von Berechtigungen finden Sie unter Anzeigen, Erteilen und Widerrufen von Berechtigungen.