Naslaginformatie over Unity Catalog-bevoegdheden

Deze pagina is een verwijzing voor Unity Catalog-bevoegdheden en de beveiligbare objecten waarop ze van toepassing zijn.

Zie de naslaginformatie over beveiligbare objecten in Unity Catalog voor gedetailleerde beschrijvingen van elk beveiligbaar objecttype. Zie Machtigingen weergeven, verlenen en intrekken voor meer informatie over het verlenen van bevoegdheden in Unity Catalog.

Beveiligbare objecten in Unity Catalog

Een beveiligbaar object is een object dat is gedefinieerd in de Unity Catalog-metastore waarop bevoegdheden kunnen worden verleend aan een principal (gebruiker, service-principal of groep). Beveiligbare objecten in Unity Catalog zijn hiërarchisch, vanuit de metastore bovenaan, via catalogi en schema's, tot aan de gegevensobjecten die ze bevatten (tabellen, weergaven, volumes, functies en modellen). Aanvullende beveiligbare objecten bepalen de toegang tot externe opslag, externe services en OpenSharing.

Zie de naslaginformatie over beveiligbare objecten in Unity Catalog voor gedetailleerde beschrijvingen van elk beveiligbaar objecttype.

Welke bevoegdheden zijn van toepassing op elk beveiligbaar object?

De volgende tabel bevat de bevoegdheden die van toepassing zijn op elk beveiligbaar object in Unity Catalog. Zie Machtigingen weergeven, verlenen en intrekken voor meer informatie over het verlenen van bevoegdheden in Unity Catalog.

Overzicht van bevoegdheden in Unity Catalog

De volgende tabel bevat een overzicht van de mogelijkheid die elke Unity Catalog-bevoegdheid verleent. Zie gedetailleerde naslaginformatie over Unity Catalog-bevoegdheden voor volledige beschrijvingen.

Gedetailleerde naslaginformatie over Unity Catalog-bevoegdheden

In deze sectie vindt u informatie over de bevoegdheden die algemeen van toepassing zijn op Unity Catalog. Zie Machtigingen weergeven, verlenen en intrekken voor meer informatie over het verlenen van bevoegdheden in Unity Catalog.

ACCESS

• Toepasselijke objecttypen: SERVICE CREDENTIAL

Hiermee kan een gebruiker een servicereferentie gebruiken voor toegang tot externe services.

ALLE BEVOEGDHEDEN

• Toepasselijke objecttypen: CONNECTION, EXTERNAL LOCATION, EXTERNAL METADATA, FEATURE, ( FUNCTION inclusief modellen), MATERIALIZED VIEW, , SERVICE CREDENTIALSTORAGE CREDENTIAL, TABLEVIEWVOLUME
• Toepasselijke containerobjecten: SCHEMA, CATALOG

ALL PRIVILEGES is een speciale bevoegdheid waarmee een gebruiker alle mogelijkheden op het beveiligbare object en de onderliggende objecten kan uitvoeren. ALL PRIVILEGES impliceert alle toepasselijke bevoegdheden voor een specifiek objecttype en Azure Databricks verleent niet expliciet elke afzonderlijke bevoegdheid.

In de volgende tabel wordt beschreven wat ALL PRIVILEGES betekent voor gegevensobjecten in de Unity Catalog-hiërarchie:

In de volgende tabel wordt beschreven wat ALL PRIVILEGES betekent voor niet-gegevens beveiligbare objecten:

*Om per ongeluk data-exfiltratie of privilege-escalatie te voorkomen, ALL PRIVILEGES omvat niet de EXTERNAL USE SCHEMA, EXTERNAL USE LOCATION, MANAGE, of READ METADATA privileges.

Bij het weergeven van machtigingen met behulp van de Databricks-API of met een SHOW GRANTS opdracht voor een gebruiker met ALL PRIVILEGES, wordt alleen ALL PRIVILEGES geretourneerd, niet de afzonderlijke impliciete bevoegdheden, zoals SELECT of MODIFY.

Wanneer ALL PRIVILEGES de machtiging wordt ingetrokken, worden zowel de ALL PRIVILEGES toekenning als eventuele afzonderlijke bevoegdheden die er door worden geïmpliceerd, verwijderd. De EXTERNAL USE SCHEMA, EXTERNAL USE LOCATION, MANAGE, en READ METADATA privileges worden niet beïnvloed.

Om compatibiliteit met eerdere versies te behouden, ALL PRIVILEGES wordt geëvalueerd op het moment dat rechten worden gecontroleerd. Dit betekent dat wanneer Azure Databricks nieuwe bevoegdheden en beveiligbare objecten vrijgeeft, een bestaande ALL PRIVILEGES toekenning automatisch nieuwe bevoegdheden bevat die van toepassing zijn op het beveiligbare object en alle nieuwe en bestaande onderliggende objecten.

TAG TOEPASSEN

• Toepasselijke objecttypen: EXTERNAL METADATA, FUNCTION (alleen geregistreerde modellen), MATERIALIZED VIEW, TABLE, VIEWVOLUME
• Toepasselijke containerobjecten: SCHEMA, CATALOG

Hiermee kan een gebruiker tags toevoegen en bewerken op een beveiligbaar object. Bovendien:

• Voor een tabel of weergave kunt APPLY TAG u ook taggen op kolomniveau inschakelen.
• Voor een geregistreerd modelAPPLY TAG kunt u ook taggen op versieniveau inschakelen.

De gebruiker moet ook de bovenliggende catalogus en USE CATALOG het bovenliggende schema hebbenUSE SCHEMA. Externe metagegevensobjecten zijn niet opgenomen in een catalogus of schema, dus deze gebruiksbevoegdheden zijn niet van toepassing.

Als u een beheerde tag wilt toepassen, moet u ook over de ASSIGN bevoegdheid beschikken voor de beheerde tag. Zie Machtigingen beheren voor beheerde tags.

BROWSE

• Toepasselijke objecttypen: CLEAN ROOM, EXTERNAL LOCATIONEXTERNAL METADATA
• Toepasselijke containerobjecten: CATALOG

De BROWSE bevoegdheid is een speciale bevoegdheid waarmee gebruikers metagegevens over objecten kunnen detecteren en weergeven zonder toegang te verlenen tot de onderliggende gegevens. Gebruikers met BROWSE kunnen:

• Zien dat er een object bestaat
• De naam, beschrijving en tags weergeven
• Toegang aanvragen

Voor gegevensobjecten (tabellen, weergaven, volumes en functies) BROWSE kan alleen op catalogusniveau worden verleend. Hiermee kunt u alle objecten in die catalogus detecteren en weergeven, maar deze worden niet expliciet weergegeven als een overgenomen bevoegdheid bij het weergeven van machtigingen voor schema's en onderliggende objecten in Catalog Explorer.

Voor externe locaties, externe metagegevens en schone ruimten kunt u rechtstreeks aan het object zelf verlenen BROWSE .

Gebruikers met BROWSE hebben geen toegangsrechten nodig, zoals USE CATALOG of USE SCHEMA, om metagegevens te ontdekken en weer te geven.

Databricks raadt u aan BROWSE toe te kennen aan de All account users groep om gegevens in uw hele organisatie te detecteren. Hierdoor kunnen gebruikers gegevens vinden en toegang aanvragen zonder dat beheerders vooraf machtigingen hoeven te verlenen.

CREATE CATALOG

• Toepasselijke containerobjecten: Unity Catalog-metastore

Hiermee kan een gebruiker een catalogus maken in een Unity Catalog-metastore. Als u een refererende catalogus wilt maken, moet u ook de bevoegdheid CREATE FOREIGN CATALOG hebben voor de verbinding die de refererende catalogus of in de metastore bevat.

CLEANROOM CREËREN

• Toepasselijke containerobjecten: Unity Catalog-metastore

Hiermee kan een gebruiker een schone ruimte maken om veilig samen te werken aan projecten met andere organisaties zonder onderliggende gegevens te delen.

CREATE CONNECTION

• Toepasselijke objecttypen: SERVICE CREDENTIAL
• Toepasselijke containerobjecten: Unity Catalog-metastore

Hiermee kan een gebruiker een verbinding maken met een externe database in een Lakehouse Federation-scenario. Als u een servicereferentie wilt gebruiken om een verbinding te maken, moet de gebruiker deze bevoegdheid hebben voor zowel de metastore als de servicereferentie.

CREATE EXTERNAL LOCATION

• Toepasselijke objecttypen: STORAGE CREDENTIAL
• Toepasselijke containerobjecten: Unity Catalog-metastore

Als u een externe locatie wilt maken, moet de gebruiker deze bevoegdheid hebben voor zowel de metastore als de opslagreferentie waarnaar wordt verwezen op de externe locatie.

EXTERNE METAGEGEVENS CREËREN

• Toepasselijke containerobjecten: Unity Catalog-metastore

Hiermee kan een gebruiker een extern metagegevensobject maken voor gebruik in aangepaste herkomst. Als u herkomstrelaties wilt toevoegen aan het externe metagegevensobject, moet de gebruiker de MODIFY bevoegdheid hebben voor het externe metagegevensobject, samen met bevoegdheden voor het Unity Catalog-object waarmee ze de relatie opgeven.

MAAK EXTERNE TABLE

• Toepasselijke objecttypen: EXTERNAL LOCATION, STORAGE CREDENTIAL

Hiermee kan een gebruiker rechtstreeks externe tabellen in uw cloudtenant maken met behulp van een externe locatie of opslagreferentie. Databricks raadt u aan deze bevoegdheid toe te kennen op een externe locatie in plaats van opslagreferenties, omdat deze is afgestemd op een pad, zodat gebruikers meer controle hebben over waar gebruikers externe tabellen in uw cloudtenant kunnen maken.

EXTERN VOLUME AANMAKEN

• Toepasselijke objecttypen: EXTERNAL LOCATION

Hiermee kan een gebruiker externe volumes maken met behulp van een externe locatie.

FUNCTIE MAKEN

• Toepasselijke containerobjecten: SCHEMA, CATALOG

Hiermee kan een gebruiker een functie maken in een schema waaraan CREATE FEATURE wordt verleend. Databricks raadt u aan om op schemaniveau het principe van minimale bevoegdheden te verlenen CREATE FEATURE . U kunt een CREATE FEATURE ook verlenen zodat een gebruiker functies kan maken in een bestaand of toekomstig schema in de catalogus.

De gebruiker moet ook het USE CATALOG privilege hebben op de catalogus en het USE SCHEMA privilege op het schema waar de feature is gemaakt.

MAAK VREEMD CATALOG

• Toepasselijke objecttypen: CONNECTION

Hiermee kan een gebruiker refererende catalogi maken met behulp van een verbinding met een externe database in een Lakehouse Federation-scenario.

EXTERNE BEVEILIGBARE MAKEN

• Toepasselijke objecttypen: EXTERNAL LOCATION

Hiermee kan een gebruiker die een refererende catalogus maakt , geautoriseerde paden opgeven die worden gedekt door de externe locatie.

De gebruiker moet ook CREATE CATALOG beschikken over de metastore en CREATE FOREIGN CATALOG de verbinding.

CREATE FUNCTION

• Toepasselijke containerobjecten: SCHEMA, CATALOG

Hiermee kan een gebruiker een functie maken. Databricks raadt u aan om op schemaniveau te verlenen CREATE FUNCTION op basis van het principe van minimale bevoegdheden, zodat gebruikers functies in dat schema kunnen maken. U kunt een CREATE FUNCTION ook verlenen zodat een gebruiker functies kan maken in een bestaand of toekomstig schema in de catalogus.

De gebruiker moet ook het USE CATALOG privilege hebben op de catalogus en USE SCHEMA op het schema waarin de functie wordt gemaakt.

MAAK BEHEERDE OPSLAG

• Toepasselijke objecttypen: EXTERNAL LOCATION

Hiermee kan een gebruiker een aangepaste beheerde opslaglocatie configureren binnen een externe locatie bij het maken van een catalogus of schema. Wanneer deze wordt gebruikt tijdens het maken van de catalogus, wordt de opgegeven locatie de standaard beheerde opslag voor alle schema's in die catalogus (waarbij de standaardwaarde van de metastore wordt overschreven). Wanneer deze wordt gebruikt tijdens het maken van het schema, is de opgegeven locatie alleen van toepassing op dat schema (waarbij standaardwaarden op catalogusniveau worden overschreven).

CREATE MATERIALIZED VIEW

• Toepasselijke containerobjecten: SCHEMA, CATALOG

Hiermee kan een gebruiker een gerealiseerde weergave maken in een schema waaraan CREATE MATERIALIZED VIEW wordt verleend. Databricks raadt u aan om op schemaniveau het principe van minimale bevoegdheden te verlenen CREATE MATERIALIZED VIEW . U kunt een CREATE MATERIALIZED VIEW ook verlenen zodat een gebruiker gerealiseerde weergaven kan maken in een bestaand of toekomstig schema in de catalogus.

De gebruiker moet ook het USE CATALOG privilege hebben op de catalogus en USE SCHEMA op het schema waar de gematerialiseerde weergave wordt gemaakt.

MODEL MAKEN

• Toepasselijke containerobjecten: SCHEMA, CATALOG

Hiermee kan een gebruiker een geregistreerd MLflow-model (een type functie) maken in een schema waaraan wordt verleend.CREATE MODEL Databricks raadt u aan om op schemaniveau het principe van minimale bevoegdheden te verlenen CREATE MODEL . U kunt ook een CREATE MODEL verlenen zodat een gebruiker geregistreerde modellen kan maken in een bestaand of toekomstig schema in de catalogus.

De gebruiker moet ook het USE CATALOG privilege hebben op de catalogus en USE SCHEMA op het schema waar het model is gemaakt.

MODELVERSIE MAKEN

• Toepasselijke objecttypen: MODEL

Hiermee kan een gebruiker een nieuwe versie van een geregistreerde MLflow-model registreren (een type functie). Verleent geen machtiging om tags uit te voeren, te wijzigen of toe te voegen aan een modelversie.

De gebruiker moet ook de USE CATALOG privilege hebben op de bovenliggende catalogus en USE SCHEMA op het bovenliggende schema.

CREATE SCHEMA

• Toepasselijke containerobjecten: CATALOG

Hiermee kan een gebruiker een schema maken in een catalogus waaraan CREATE SCHEMA wordt verleend. De gebruiker moet ook beschikken over de USE CATALOG bevoegdheid voor de catalogus.

CREËER GEHEIM

• Toepasselijke containerobjecten: SCHEMA, CATALOG

Stelt een gebruiker in staat een geheim te creëren in een schema waarop CREATE SECRET wordt toegekend. De gebruiker moet ook USE CATALOG op de catalogus en USE SCHEMA op het schema hebben waar het geheim wordt aangemaakt. Je kunt ook een CREATE SECRET toewijzen zodat een gebruiker geheimen kan maken in elk huidig of toekomstig schema in de catalogus. Voor meer informatie over geheimen, zie Secrets in Unity Catalog.

SERVICE CREËREN

• Toepasselijke containerobjecten: SCHEMA, CATALOG

Hiermee kan een gebruiker een service, zoals een modelservice of MCP-service, maken in een schema waaraan CREATE SERVICE wordt verleend. Databricks raadt u aan om op schemaniveau het principe van minimale bevoegdheden te verlenen CREATE SERVICE . U kunt een CREATE SERVICE ook verlenen zodat een gebruiker services kan maken in een bestaand of toekomstig schema in de catalogus.

De gebruiker moet ook het USE CATALOG privilege hebben op de catalogus en USE SCHEMA op het schema waar de dienst is gemaakt.

SERVICEREFERENTIE MAKEN

• Toepasselijke containerobjecten: Unity Catalog-metastore

Hiermee kan een gebruiker een servicereferentie maken in een Unity Catalog-metastore.

OPSLAGCREDENTIAAL MAKEN

• Toepasselijke containerobjecten: Unity Catalog-metastore

Hiermee kan een gebruiker een opslagreferentie maken in een Unity Catalog-metastore.

CREATE TABLE

• Toepasselijke containerobjecten: SCHEMA, CATALOG

Hiermee kan een gebruiker een tabel of weergave maken in een schema waaraan CREATE TABLE wordt verleend. Databricks raadt u aan om op schemaniveau het principe van minimale bevoegdheden te verlenen CREATE TABLE . U kunt een CREATE TABLE ook verlenen zodat een gebruiker tabellen of weergaven kan maken in een bestaand of toekomstig schema in de catalogus.

De gebruiker moet ook het USE CATALOG privilege hebben op de catalogus en het USE SCHEMA privilege op het schema waarin de tabel of view wordt aangemaakt.

CREATE VOLUME

• Toepasselijke containerobjecten: SCHEMA, CATALOG

Hiermee kan een gebruiker een volume maken in een schema waaraan CREATE VOLUME wordt verleend. Databricks raadt u aan om op schemaniveau het principe van minimale bevoegdheden te verlenen CREATE VOLUME . U kunt een CREATE VOLUME ook verlenen zodat een gebruiker volumes kan maken in een bestaand of toekomstig schema in de catalogus.

De gebruiker moet ook het USE CATALOG privilege hebben op de catalogus en het USE SCHEMA privilege op het schema waarin het volume is aangemaakt.

DELETE

• Toepasselijke objecttypen: TABLE
• Toepasselijke containerobjecten: SCHEMA, CATALOG

Stelt een gebruiker in staat bestaande gegevens uit een tabel te verwijderen. DELETE is een van de fijnmazige DML-privileges, een least-privilege alternatief voor MODIFY. Zie Fijnmazige DML-privileges.

EXECUTE

• Toepasselijke objecttypen: FUNCTION
• Toepasselijke containerobjecten: SCHEMA, CATALOG

Hiermee kan een gebruiker een functie aanroepen of een geregistreerd model laden voor deductie. Voor functies EXECUTE verleent u ook de mogelijkheid om de functiedefinitie en metagegevens weer te geven. Voor geregistreerde modellen EXECUTE verleent u ook de mogelijkheid om metagegevens voor alle modelversies weer te geven en modelbestanden te downloaden.

Databricks raadt EXECUTE het verlenen van afzonderlijke functies aan op basis van het principe van minimale bevoegdheden. U kunt ook een EXECUTE of catalogus verlenen zodat een gebruiker alle huidige en toekomstige functies binnen dat schema of die catalogus kan uitvoeren.

De gebruiker moet ook de bovenliggende catalogus en USE CATALOG het bovenliggende schema hebbenUSE SCHEMA.

SCHOONRUIMTETAAK UITVOEREN

• Toepasselijke objecttypen: CLEAN ROOM

Hiermee kan een gebruiker taken (notebooks) uitvoeren in een schone ruimte. Hiermee kan de gebruiker ook de details van de clean room bekijken.

LOCATIE VOOR EXTERN GEBRUIK

• Toepasselijke objecttypen: EXTERNAL LOCATION

Hiermee kan een gebruiker een tijdelijke referentie verkrijgen voor toegang tot een externe locatie vanuit een externe verwerkingsengine met behulp van de Open API's van Unity Catalog of Apache Spark.

Als u onbedoelde gegevensexfiltratie wilt voorkomen, ALL PRIVILEGES neemt u de EXTERNAL USE LOCATION bevoegdheid niet op en hebben eigenaren van externe locaties deze bevoegdheid niet standaard. Dit betekent dat alleen gebruikers met de MANAGE bevoegdheid op de externe locatie deze bevoegdheid kunnen verlenen.

Zie Externe gegevenstoegang tot Unity Catalog inschakelen.

EXTERN USE SCHEMA

• Toepasselijke containerobjecten: SCHEMA

Hiermee kan een gebruiker een tijdelijke referentie krijgen om toegang te krijgen tot Unity Catalog-tabellen vanuit een externe verwerkingsengine met behulp van de open API's van Unity Catalog of Iceberg REST API's.

Om onbedoelde gegevensexfiltratie te voorkomen, wordt de ALL PRIVILEGES bevoegdheid niet toegekend aan EXTERNAL USE SCHEMA, en hebben schema-eigenaren deze bevoegdheid standaard niet. Alleen de cataloguseigenaar kan deze bevoegdheid verlenen.

Zie Externe gegevenstoegang tot Unity Catalog inschakelen.

INSERT

• Toepasselijke objecttypen: TABLE
• Toepasselijke containerobjecten: SCHEMA, CATALOG

Stelt een gebruiker in staat nieuwe gegevens aan een tabel toe te voegen. INSERT is een van de fijnmazige DML-privileges, een least-privilege alternatief voor MODIFY. Zie Fijnmazige DML-privileges.

MANAGE

• Toepasselijke objecttypen: CLEAN ROOM, CONNECTION, EXTERNAL LOCATION, EXTERNAL METADATA, FEATURE, ( FUNCTION inclusief modellen), MATERIALIZED VIEW, , SERVICE CREDENTIALSTORAGE CREDENTIAL, TABLEVIEWVOLUME
• Toepasselijke containerobjecten: SCHEMA, CATALOG

Hiermee kan een gebruiker bevoegdheden beheren voor, het eigendom van een object overdragen en verwijderen zonder de eigenaar te zijn. MANAGE is vergelijkbaar met het eigendom van objecten, maar er zijn enkele belangrijke verschillen. Zie Eigendom versus de MANAGE bevoegdheid.

Gebruikers met MANAGE krijgen niet automatisch alle bevoegdheden op het object. Ze moeten elke specifieke bevoegdheid afzonderlijk worden verleend, maar gebruikers met MANAGE wie ze expliciet deze bevoegdheden kunnen verlenen.

Om uit te oefenen MANAGEmoet de gebruiker ook de vereiste gebruiksrechten hebben op de oudercontainers van het object. MANAGE vereist geen gebruiksrecht op hetzelfde niveau als het wordt toegekend. Zie Gebruiksprivilege-vereisten voor MANAGE.

Als MANAGE aan een containerobject wordt verleend, krijgt MANAGE de gebruiker ook alle onderliggende objecten. Het verlenen MANAGE van een catalogus verleent bijvoorbeeld ook expliciet aan MANAGE alle onderliggende schema's en tabellen.

ALL PRIVILEGES bevat niet de MANAGE bevoegdheid.

ALLOWLIST BEHEREN

• Toepasselijke containerobjecten: Unity Catalog-metastore

Hiermee kan een gebruiker vermeldingen toevoegen, wijzigen en verwijderen in de acceptatielijst die bepaalt welke init-scripts, JAR-bestanden en Maven-coördinaten kunnen worden uitgevoerd op clusters met Unity Catalog die zijn geconfigureerd met de standaardtoegangsmodus. De acceptatielijst is standaard leeg.

Omdat gebruikers met MANAGE ALLOWLIST welke code wordt uitgevoerd op standaardtoegangsmodus berekenen, raadt Databricks aan om deze bevoegdheid alleen toe te kennen aan metastore-beheerders en vertrouwde platformbeheerders.

Zie Allowlist-bibliotheken en init-scripts voor berekening met de standaardtoegangsmodus (voorheen gedeelde toegangsmodus).

MODIFY

• Toepasselijke objecttypen: EXTERNAL METADATA, TABLE
• Toepasselijke containerobjecten: SCHEMA, CATALOG

Wanneer deze wordt toegepast op een tabel, kan een gebruiker gegevens in de tabel invoegen, bijwerken en verwijderen. De gebruiker moet ook de tabel, SELECT het bovenliggende schema en USE SCHEMA de bovenliggende catalogus hebbenUSE CATALOG.

Vanwege overname van bevoegdheden kunt u aan een MODIFY automatisch toekennen MODIFY aan alle huidige en toekomstige tabellen in het schema. Op dezelfde manier kunt u aan een MODIFY verlenen dat automatisch alle huidige en toekomstige tabellen in de catalogus worden verleend.MODIFY

Wanneer dit wordt toegepast op een extern metagegevensobject , kan een gebruiker herkomstrelaties aan dat object toevoegen.

WIJZIG SCHONE RUIMTE

• Toepasselijke objecttypen: CLEAN ROOM

Hiermee kan een gebruiker een schone ruimte bijwerken, waaronder het toevoegen en verwijderen van gegevensassets, het toevoegen en verwijderen van notitieblokken en het bijwerken van opmerkingen. Hiermee kan de gebruiker ook de details van de clean room bekijken.

LEESFUNCTIE

• Toepasselijke objecttypen: FEATURE
• Toepasselijke containerobjecten: SCHEMA, CATALOG

Hiermee kan een gebruiker de metagegevens en gerealiseerde gegevens van een functie lezen en de functie gebruiken voor modeldeductie en training. De gebruiker moet ook de bovenliggende catalogus en USE CATALOG het bovenliggende schema hebbenUSE SCHEMA.

Als gevolg van overname van bevoegdheden kunt u aan een READ FEATURE automatisch verlenen READ FEATURE voor alle huidige en toekomstige functies in het schema. Op dezelfde manier kunt u aan een READ FEATURE verlenen dat automatisch alle huidige en toekomstige functies in de catalogus worden verleend.READ FEATURE

BESTANDEN LEZEN

• Toepasselijke objecttypen: EXTERNAL LOCATION

Hiermee kan een gebruiker bestanden rechtstreeks lezen vanuit de opslag van cloudobjecten die zijn geconfigureerd als een externe locatie. Databricks raadt aan bestanden rechtstreeks vanuit cloudobjectopslag te lezen. Beheer in plaats daarvan leestoegang tot gegevens in de opslag van cloudobjecten met behulp van volumes en de READ VOLUME bevoegdheid. Zie Externe locaties.

READ FILES is ook vereist voor schrijfbewerkingen op externe locaties. Elke principal met de WRITE FILES bevoegdheid alleen op een externe locatie ontvangt een PERMISSION_DENIED fout bij het schrijven van bestanden. Zie SCHRIJFBESTANDEN.

LEES METADATA

• Toepasselijke objecttypes: , , , , , CLEAN ROOM( CONNECTION inclusief modellen), EXTERNAL LOCATION, , EXTERNAL METADATA, FEATURE, FUNCTION, MATERIALIZED VIEW, , SERVICE, SERVICE CREDENTIALSTORAGE CREDENTIALTABLEVIEWVOLUME
• Toepasselijke containerobjecten: Unity Catalog metastore, SCHEMA, CATALOG

Stelt een gebruiker in staat alle metadata van een object te bekijken zonder de mogelijkheid te geven het object te wijzigen of de data te lezen. READ METADATA biedt alleen-lezen zichtbaarheid in dezelfde metadata die beschikbaar is voor de eigenaar van het object of een gebruiker met MANAGE, inclusief beveiligingsgevoelige informatie die BROWSE niet wordt blootgesteld. Dit omvat, maar is niet beperkt tot:

• Privilege-toekenningen
• Rijfilters en kolommaskers
• Attribuutgebaseerde toegangscontrole (ABAC) beleidsregels
• Weergave en functiedefinities
• Gegevens van inloggegevens, zoals opslaggegevens en ID's

READ METADATA is bedoeld voor gebruikers die toegangscontroles inspecteren en debuggen, zoals security auditors, data governance-teams en site reliability engineers (SRE's). Omdat READ METADATA gevoelige metadata blootgesteld wordt, raadt Databricks aan dit privilege alleen aan vertrouwde principals te geven. Om gebruikers objecten te laten ontdekken en basismetadata te bekijken zonder deze gevoelige informatie bloot te stellen, geef BROWSE in plaats daarvan. Zie NAVIGEREN.

READ METADATA is een kinderprivilege van MANAGE. Zoals MANAGE, is het niet opgenomen in ALL PRIVILEGES en moet expliciet worden toegekend. Zie BEHEREN.

Om uit te oefenen READ METADATAmoet de gebruiker ook de vereiste gebruiksrechten hebben op de oudercontainers van het object. READ METADATA vereist geen gebruiksrecht op hetzelfde niveau als het wordt toegekend. Er zijn geen gebruiksrechten vereist wanneer READ METADATA deze wordt verleend op de metastore of in een catalogus. Zie Gebruiksprivilege-vereisten voor MANAGE.

Vanwege privilege-overerving wordt het automatisch READ METADATA toegekend op een catalogus of schema toegekend aan alle huidige en toekomstige objecten die ze bevatten. In tegenstelling tot andere privileges op metastore-niveau, READ METADATA erven op de metastore ook alle objecten in de metastore.

LEES SECRET

• Toepasselijke objecttypen: SECRET
• Toepasselijke containerobjecten: SCHEMA, CATALOG

Stelt een gebruiker in staat een geheime waarde op te halen uit een notebook of taak, met dbutils behulp van de Unity Catalog REST API. De gebruiker moet ook het bovenliggende schema en USE SCHEMA de bovenliggende catalogus hebbenUSE CATALOG.

Vanwege privilege-erfenis kun je op een READ SECRET of catalogus automatisch toekennen op alle huidige en toekomstige geheimen in het schema of catalogus. Voor meer informatie over geheimen, zie Secrets in Unity Catalog.

VOLUME LEZEN

• Toepasselijke objecttypen: VOLUME
• Toepasselijke containerobjecten: SCHEMA, CATALOG

Hiermee kan een gebruiker bestanden en mappen lezen die zijn opgeslagen in een volume. De gebruiker moet ook het bovenliggende schema en USE SCHEMA de bovenliggende catalogus hebbenUSE CATALOG.

Vanwege overname van bevoegdheden kunt u aan een READ VOLUME automatisch verlenen READ VOLUME voor alle huidige en toekomstige volumes in het schema. Op dezelfde manier kunt u aan een READ VOLUME verlenen dat automatisch alle huidige en toekomstige volumes in de catalogus worden verleend.READ VOLUME

REFERENTIEGEHEIM

• Toepasselijke objecttypen: SECRET
• Toepasselijke containerobjecten: SCHEMA, CATALOG

Staat een Unity Catalog-object toe om een geheim bij naam te refereren, zodat het object de geheimwaarde tijdens runtime kan gebruiken zonder deze aan de gebruiker bloot te stellen. De gebruiker moet ook het bovenliggende schema en USE SCHEMA de bovenliggende catalogus hebbenUSE CATALOG.

Afhankelijk van het object vereist het verwijzen naar een geheim REFERENCE SECRET of READ SECRET. Bijvoorbeeld, het aanmaken of bijwerken van een verbinding die naar een geheim verwijst, vereist READ SECRET.

Vanwege privilege-erfenis kun je op een REFERENCE SECRET of catalogus automatisch toekennen op alle huidige en toekomstige geheimen in het schema of catalogus. Voor meer informatie over geheimen, zie Secrets in Unity Catalog.

REFRESH

• Toepasselijke objecttypen: MATERIALIZED VIEW
• Toepasselijke containerobjecten: SCHEMA, CATALOG

Hiermee kan een gebruiker een gerealiseerde weergave vernieuwen. De gebruiker moet ook het bovenliggende schema en USE SCHEMA de bovenliggende catalogus hebbenUSE CATALOG.

Vanwege overname van bevoegdheden kunt u aan een REFRESH automatisch verlenen REFRESH voor alle huidige en toekomstige gerealiseerde weergaven in het schema. Op dezelfde manier kunt u aan een REFRESH verlenen dat automatisch alle huidige en toekomstige gerealiseerde weergaven in de catalogus worden verleend.REFRESH

SELECT

• Toepasselijke objecttypen: MATERIALIZED VIEW, SHARE, TABLEVIEW
• Toepasselijke containerobjecten: SCHEMA, CATALOG

Wanneer deze wordt toegepast op een tabel, weergave of gerealiseerde weergave, kan een gebruiker een keuze maken uit het object. De gebruiker moet ook de bovenliggende catalogus en USE CATALOG het bovenliggende schema hebbenUSE SCHEMA. Wanneer deze wordt toegepast op een share, kan een ontvanger een keuze maken uit de share.

Vanwege overname van bevoegdheden kunt u aan een SELECT automatisch verlenen SELECT voor alle huidige en toekomstige tabellen en weergaven in het schema. Op dezelfde manier kunt u aan een SELECT verlenen dat automatisch alle huidige en toekomstige tabellen en weergaven in de catalogus worden verleend.SELECT

UPDATE

• Toepasselijke objecttypen: TABLE
• Toepasselijke containerobjecten: SCHEMA, CATALOG

Stelt een gebruiker in staat bestaande gegevens in een tabel te wijzigen. UPDATE is een van de fijnmazige DML-privileges, een least-privilege alternatief voor MODIFY. Zie Fijnmazige DML-privileges.

USE CATALOG

• Toepasselijke containerobjecten: CATALOG

USE CATALOG is een gebruiksbevoegdheden. Over het algemeen hebben gebruikers deze bevoegdheid nodig om te communiceren met elk object in de catalogus. USE CATALOG verleent geen toegang tot de catalogus zelf of aan specifieke objecten hierin.

Als u bijvoorbeeld wilt lezen uit een tabel, moet SELECT een gebruiker de tabel, USE CATALOG de bovenliggende catalogus en USE SCHEMA het bovenliggende schema lezen.

USE CATALOG biedt ook een belangrijke grens voor toegangsbeheer voor cataloguseigenaren. Zelfs als de eigenaar van een tabel aan een tabel aan een andere gebruiker verleent SELECT , heeft die gebruiker geen toegang tot de tabel, tenzij deze ook in de bovenliggende catalogus staat USE CATALOG . Omdat alleen cataloguseigenaren of gebruikers met MANAGE in de catalogus kunnen verlenen USE CATALOG, behouden cataloguseigenaren de controle over welke gebruikers toegang hebben tot hun objecten, ongeacht wat individuele tabel- of schema-eigenaren verlenen.

USE CATALOG is niet vereist om objectmetagegevens te detecteren of te lezen als de gebruiker de BROWSE bevoegdheid voor die catalogus heeft.

VERBINDING GEBRUIKEN

• Toepasselijke objecttypen: CONNECTION

Hiermee kan een gebruiker details weergeven en weergeven over verbindingen met externe databases in een Lakehouse Federation-scenario . USE CONNECTION is ook vereist om de remote_query functie te gebruiken om SQL-query's rechtstreeks op externe databases uit te voeren.

USE SCHEMA

• Toepasselijke containerobjecten: SCHEMA, CATALOG

USE SCHEMA is een gebruiksbevoegdheden. Over het algemeen hebben gebruikers deze bevoegdheid nodig om te communiceren met elk object in het schema. USE SCHEMA verleent geen toegang tot het schema zelf of aan specifieke objecten in het schema.

Als u bijvoorbeeld wilt lezen uit een tabel, moet SELECT een gebruiker de tabel, USE SCHEMA het bovenliggende schema en USE CATALOG de bovenliggende catalogus lezen.

USE SCHEMA biedt ook een belangrijke grens voor toegangsbeheer voor schema-eigenaren. Zelfs als een eigenaar van een tabel een tabel aan een andere gebruiker verleent SELECT , heeft die gebruiker geen toegang tot de tabel, tenzij deze ook het bovenliggende schema heeft USE SCHEMA . Omdat alleen schema-eigenaren of gebruikers met MANAGE in het schema kunnen verlenen USE SCHEMA, behouden schema-eigenaren de controle over welke gebruikers toegang hebben tot hun objecten, ongeacht wat individuele tabeleigenaren verlenen.

Vanwege overname van bevoegdheden kunt u aan een USE SCHEMA verlenen om automatisch alle huidige en toekomstige schema's in de catalogus te verlenen.USE SCHEMA

USE SCHEMA is niet vereist om objectmetagegevens te detecteren of te lezen als de gebruiker de BROWSE bevoegdheid heeft voor de bovenliggende catalogus.

BESTANDEN SCHRIJVEN

• Toepasselijke objecttypen: EXTERNAL LOCATION

Hiermee kan een gebruiker bestanden rechtstreeks naar de cloudobjectopslag schrijven die is geconfigureerd als een externe locatie. Databricks raadt aan om bestanden rechtstreeks naar de cloudobjectopslag te schrijven. Beheer in plaats daarvan schrijftoegang tot gegevens in cloudobjectopslag met behulp van volumes en de WRITE VOLUME bevoegdheid. Zie Beheerde en externe volumes voor meer informatie.

SCHRIJF GEHEIM

• Toepasselijke objecttypen: SECRET
• Toepasselijke containerobjecten: SCHEMA, CATALOG

Hiermee kan een gebruiker een geheime waarde bijwerken. De gebruiker moet ook het bovenliggende schema en USE SCHEMA de bovenliggende catalogus hebbenUSE CATALOG.

Vanwege privilege-erfenis kun je op een WRITE SECRET of catalogus automatisch toekennen op alle huidige en toekomstige geheimen in het schema of catalogus. Voor meer informatie over geheimen, zie Secrets in Unity Catalog.

VOLUME BESCHRIJVEN

• Toepasselijke objecttypen: VOLUME
• Toepasselijke containerobjecten: SCHEMA, CATALOG

Hiermee kan een gebruiker bestanden en mappen toevoegen, verwijderen of wijzigen die zijn opgeslagen in een volume. De gebruiker moet ook de bovenliggende catalogus en USE CATALOG het bovenliggende schema hebbenUSE SCHEMA.

Vanwege overname van bevoegdheden kunt u aan een WRITE VOLUME automatisch verlenen WRITE VOLUME voor alle huidige en toekomstige volumes in het schema. Op dezelfde manier kunt u aan een WRITE VOLUME verlenen dat automatisch alle huidige en toekomstige volumes in de catalogus worden verleend.WRITE VOLUME

Bevoegdheden die alleen van toepassing zijn op OpenSharing of Databricks Marketplace

In deze sectie vindt u informatie over de bevoegdheden die alleen van toepassing zijn op OpenSharing.

Maak provider aan

• Toepasselijke containerobjecten: Unity Catalog-metastore

Hiermee kan een gebruiker een OpenSharing-providerobject maken in de metastore. Een provider identificeert een organisatie of groep gebruikers die gegevens deelt met behulp van OpenSharing. Providerobjecten worden gemaakt door een gebruiker in het Databricks-account van de ontvanger. Zie Wat is OpenSharing?

CREATE RECIPIENT

• Toepasselijke containerobjecten: Unity Catalog-metastore

Hiermee kan een gebruiker een OpenSharing-ontvangerobject maken in de metastore. Een ontvanger identificeert een organisatie of groep gebruikers die gedeelde gegevens ontvangt met behulp van OpenSharing. Ontvangersobjecten worden gemaakt door een gebruiker in het Databricks-account van de provider. Zie Wat is OpenSharing?

CREATE SHARE

• Toepasselijke containerobjecten: Unity Catalog-metastore

Hiermee kan een gebruiker een share maken in de metastore. Een share is een logische groepering van tabellen en andere assets die een provider wil delen met behulp van OpenSharing.

SET DEELTOESTEMMING

• Toepasselijke containerobjecten: Unity Catalog-metastore

In OpenSharing SET SHARE PERMISSION kan een providergebruiker machtigingen instellen voor een share, waaronder het verlenen van toegang tot ontvangers en het overdragen van eigendom. Als u een geadresseerde toegang wilt verlenen tot een share, moet de gebruiker ook USE SHAREbeschikken over of USE RECIPIENT eigenaar zijn van het ontvangerobject . Als u het eigendom van een share wilt overdragen, moet de gebruiker ook USE SHAREbeschikken over .

Marktplaatsmiddelen gebruiken

• Toepasselijke containerobjecten: Unity Catalog-metastore

Standaard ingeschakeld voor alle Unity Catalog-metastores. In Databricks Marketplace USE MARKETPLACE ASSETS kan een gebruiker toegang krijgen tot gegevensproducten in Marketplace-vermeldingen of aanvragen. Hiermee heeft een gebruiker ook toegang tot de catalogus met het kenmerk Alleen-lezen die wordt gemaakt wanneer een provider een gegevensproduct deelt.

Zonder deze bevoegdheid moeten gebruikers beschikken over de CREATE CATALOG en USE PROVIDER bevoegdheden of de beheerdersrol metastore. Door in plaats daarvan te verlenen USE MARKETPLACE ASSETS , kunnen beheerders het aantal gebruikers beperken met die krachtigere bevoegdheden.

GEBRUIK PROVIDER

• Toepasselijke containerobjecten: Unity Catalog-metastore

In OpenSharing USE PROVIDER kan een ontvanger alle providers in de metastore en de bijbehorende shares bekijken (alleen-lezen). In combinatie met CREATE CATALOG, USE PROVIDER kan ook een ontvangergebruiker die geen metastore-beheerder is, een share koppelen als een catalogus. Hierdoor kunnen beheerders het aantal gebruikers met de beheerdersrol metastore beperken.

GEADRESSEERDE GEBRUIKEN

• Toepasselijke containerobjecten: Unity Catalog-metastore

In OpenSharing USE RECIPIENT kan een providergebruiker alle geadresseerden weergeven in de metastore (alleen-lezen), inclusief details van geadresseerden, verificatiestatus en de shares die de provider heeft gedeeld met elke geadresseerde. Een providergebruiker hoeft geen metastore-beheerder te zijn om deze bevoegdheid te gebruiken.

In Databricks MarketplaceUSE RECIPIENT kunnen providergebruikers vermeldingen en consumentenaanvragen bekijken in de providerconsole.

GEBRUIK DELEN

• Toepasselijke containerobjecten: Unity Catalog-metastore

In OpenSharing USE SHARE kan een providergebruiker alle shares weergeven in de metastore (alleen-lezen), inclusief de assets (tabellen en notitieblokken) in elke share en de ontvangers van de share. Een providergebruiker hoeft geen metastore-beheerder te zijn om deze bevoegdheid te gebruiken.

In Databricks MarketplaceUSE SHARE kunnen providergebruikers details bekijken over de gegevens die in een vermelding worden gedeeld.