統制されたタグ

このページでは、Azure Databricks の管理タグの概要について説明します。 管理タグを作成および管理するには、管理タグの 作成と管理に関するページを参照してください。 タグを適用するには、「 Unity カタログのセキュリティ保護可能なオブジェクトにタグを適用する」を参照してください。

管理タグとは

管理タグは、一貫性と制御のための組み込みの規則を持つアカウント レベルのタグです。 管理タグを作成するときは、タグ ポリシーも定義します。 このポリシーにより、タグの使用方法が適用されます。 管理タグは、テーブルやカタログなどの Unity カタログ オブジェクト、Databricks アプリ、ダッシュボード、Genie Agents、ノートブックなどのワークスペース オブジェクトに適用できます。 管理タグは、別のタグ付けメカニズムを使用する SQL ウェアハウスやジョブなどのコンピューティング リソースには適用できません。 管理タグにより、タグが一貫して適用され、組織の標準に準拠することが保証されます。 一貫性のない名前付け、未承認のタグ割り当て、または不適切なタグ値を防ぐのに役立ちます。

管理タグを使用すると、管理者は次の操作を行うことができます。

• 特定のタグ キーを管理対象としてマークします。
• 各管理タグに使用できる値のセットを定義します。
• 管理タグを割り当て、定義を管理できるユーザーとグループを制御します。

タグが管理されている場合でも、該当するオブジェクトに適用できます。 ただし、ポリシーでは、適切なアクセス許可を持つユーザーのみが、そのタグに値を割り当てることができ、定義済みの一連の許可された値からのみ割り当てられるようにします。 このガバナンスは、アカウント内のメタデータ タグ付け全体で一貫性、セキュリティ、コンプライアンスを維持するのに役立ちます。

アカウント管理者とメタストア管理者は、ガバナンス ハブの [データ] ページ で使用されている管理タグの数を確認できます。

アカウントごとに最大 1,000 個の管理タグを作成できます。

管理タグを使用する理由

ガバナンス タグを使用すると、次のような幅広いガバナンスと運用のユース ケースが可能になります。

• データ分類: 機密データ、規制コンプライアンス、またはビジネス ドメインに対して標準化されたタグの使用を強制します。
• 属性ベースのアクセス制御 (ABAC):アクセス ポリシーの属性として管理タグを使用して、データ分類に基づいてきめ細かく動的なアクセス許可を適用します。 Unity カタログの属性ベースのアクセス制御を参照してください。
• コスト管理: 正確なチャージバックとレポートを有効にするには、リソースにコスト センターまたはプロジェクト タグが必要です。
• リソース検出: カタログ、スキーマ、テーブル、その他の資産間で一貫したタグ付けを確保することで、検索可能性と組織性を向上させます。
• 信頼できるデータの認証: 準備基準を満たす資産は認証済みとしてマークし、データ利用者が信頼できると分かるようにしましょう。 「 認定済みまたは非推奨としてデータにフラグを設定する」を参照してください。
• 古いデータを非推奨する: 古いものや維持されていない資産を廃止としてフラグ付けし、消費者が古くなったデータに基づかないようにしましょう。 「 認定済みまたは非推奨としてデータにフラグを設定する」を参照してください。

管理タグのしくみ

• タグ ポリシー: 各管理タグには、その規則を適用するタグ ポリシーが関連付けられています。

• 実施： 管理タグはアカウント レベルで適用され、アカウント内のすべてのワークスペースに適用されます。

• 権限： アクセス許可は、管理タグを作成できるユーザーを決定し、許可された値を編集して割り当てることができます。 ユーザーは引き続き、管理されていないタグを作成して割り当てることができます。 詳細については、「 管理タグのアクセス許可を管理する」を参照してください。

• 可視 性： 管理タグは でマークされます。ロック アイコンは、タグの割り当てのドロップダウンで [管理] の下にグループ化されます。 システムタグ ( マーク）の表示または非表示を、システムタグを含める トグルを使用して切り替えます。

  

• 継承： カタログまたはスキーマ内のすべてのオブジェクトは、個々のテーブル列を除き、そのカタログまたはスキーマに適用する管理タグを自動的に継承します。

• 既存のタグの管理: 既にオブジェクトに割り当てられているタグと同じキーを持つ管理タグを作成すると、そのキーを持つ既存のすべてのタグ割り当てが自動的に管理されます。 これにより、既に使用されているタグにガバナンスを追加できます。 既存のタグ割り当ての管理を参照してください。

• 自動化: ガバナントタグを1つずつオブジェクトごとに割り当てたり、データの変化に応じてタグが多くの資産で正確さを保つように自動化したりできます。 手動 タグ付けと自動タグ付けの区別を参照してください。

手動タグ付けと自動タグ付けの違い

手動タグ付けは 、カタログエクスプローラーやSQLで一度に1つのオブジェクトにタグを適用します。 個別のオブジェクトや一度きりの変更に使うのが良いです。 「Unity Catalog のセキュリティ保護可能なオブジェクトにタグを適用する」をご覧ください。

自動タグ付けは 多くの資産にガバナントタグを割り当てます。 Azure Databricksは、異なる作業に適した複数の自動タグ付け機能を提供しています:

システム制御タグ

システム 管理タグは Azure Databricks によって事前に定義されており、編集または削除することはできません。 ユーザーが管理するタグと同様に、各システム タグには、その規則を適用するタグ ポリシーがあります。

• システム タグを適用または削除できるのは、適切な ASSIGN アクセス許可を持つユーザーまたはグループだけです。
• システム タグ キーごとに使用できるのは、定義済みの値のみです。
• 適用は、アカウント内のすべてのワークスペースで一貫しています。

システム 管理タグは、次の点でユーザー管理タグとは異なります。

• タグ キーと許可される値は、Azure Databricks によって定義および管理されます。

• ユーザーは定義を変更したり、新しいシステム 管理タグを作成したりすることはできません。

• システム タグは、ユーザーが管理するタグと区別するために、レンチ で UI にマークされます。

  

システム 管理タグは、管理者がカスタム ガバナンスを定義または管理する必要なく、分類、所有権、ライフサイクル追跡などのユース ケースの標準化されたタグ付けをサポートします。 詳細については、「 システム タグ」を参照してください。

システム 管理タグの例

システム タグでは、 system.、 class.、 sap.などの予約済みプレフィックスが使用されます。 Azure Databricksは、時間の経過と同時に新しいシステム タグを追加します。 よく使用される例には、認定ステータス、データ分類、SAP 個人データ分類が含まれます。

• system.certification_status: テーブルまたはその他の資産を certified または deprecated としてマークし、その信頼レベルをデータ コンシューマーに伝達します。 認定資産は、カタログ エクスプローラーにチェック マークを表示します。非推奨のアセットには、制限付きアイコンが表示されます。 タグ割り当てを 自動化 して、大規模に資産を認証または非推奨化できます。 「 認定済みまたは非推奨としてデータにフラグを設定する」を参照してください。
• class.*: Azure Databricks データ分類が、PII またはその他の機密データを含む列に自動的に適用するシステム タグ群。 たとえば、 class.email_address、 class.us_ssn、 class.credit_cardなどがあります。 概要については データ分類 を参照してください。 サポートされているタグ の完全な一覧については、サポートされている分類タグを参照してください。
• sap.PersonalData.*: SAP Business Data Cloud (SAP BDC) が Unity カタログ テーブルに同期して、基になる SAP データに個人または機密情報が含まれているかどうかを分類するシステム タグのファミリ。 このファミリのタグには、 sap.PersonalData.entitySemantics、 sap.PersonalData.fieldSemantics、 sap.PersonalData.isPotentiallyPersonal、 sap.PersonalData.isPotentiallySensitiveが含まれます。 タグと許可される値の完全な一覧については、 SAP ガバナンス タグを参照してください。

Constraints

• アカウントごとに最大 1,000 個の管理タグを作成できます。
• 各管理タグには、最大 500 個の値を指定できます。

管理タグ のキーと値には、次の制約が適用されます。