Requisitos, cotas e limitações para políticas de filtro de linha e máscara de coluna

Esta página lista requisitos, cotas de política e limitações atuais para políticas de filtro de linha abac e máscara de coluna no Catálogo do Unity.

Requisitos de computação

Para usar políticas abac, você deve usar uma das seguintes configurações de computação:

• Computação sem servidor
• Computação padrão no Databricks Runtime 16.4 ou superior
• Computação dedicada no Databricks Runtime 16.4 ou superior com filtragem de controle de acesso refinado habilitada

Para obter diretrizes sobre como executar cargas de trabalho que exigem runtimes mais antigos, consulte o Access de runtimes mais antigos.

Requisito de marcas governadas

As políticas abac usam marcas governadas, não marcas desgovernadas. As marcas governadas são definidas no nível da conta com controles de acesso que determinam quem pode criá-las, atribuir e gerenciá-las. Para obter detalhes completos, consulte Marcas governadas.

Cotas de política

Para obter mais detalhes, incluindo cotas de marcas governadas, consulte os limites de serviço.

Limitações do ABAC

Atributos de identidade em condições de política

As has_identity_attribute_value funções e has_identity_attribute_tag_match avaliam os atributos de identidade do usuário que executa a consulta. Elas são apoiadas na WHEN cláusula das políticas de máscaras em coluna. As seguintes limitações se aplicam:

• Elas não são suportadas na MATCH COLUMNS cláusula das políticas de máscara em coluna.
• Eles não são apoiados em GRANT políticas ou DENY não.
• A interface de criação de políticas no Explorador de Catálogos não suporta funções de atributos. Use SQL para criar essas políticas.

Para padrões de uso, veja Mascarar uma coluna baseada nos atributos do usuário que consultou.

Acesso de runtimes mais antigos

A computação padrão e dedicada em versões do Databricks Runtime anteriores à 16.4 não pode acessar tabelas protegidas pelo ABAC. Se você precisar de determinadas cargas de trabalho para continuar em execução em um runtime mais antigo, faça o escopo da política ABAC para um grupo específico em vez de aplicá-la amplamente. Adicione apenas os usuários ou entidades de segurança que você deseja que a política aplique a esse grupo e exclua a entidade de segurança que executa a carga de trabalho de runtime mais antiga usando a EXCEPT cláusula. Os usuários fora do grupo mantêm acesso total às tabelas subjacentes. Isso permite que essa carga de trabalho continue acessando as tabelas enquanto você faz a transição para um runtime com suporte.

Políticas abac em exibições

Você não pode aplicar políticas ABAC diretamente a exibições. No entanto, quando um usuário consulta uma exibição que faz referência a tabelas com políticas ABAC, essas políticas são respeitadas ao acessar dados por meio da exibição.

Filtros de linha ABAC e máscaras de coluna nas tabelas subjacentes são avaliados usando a identidade do usuário da sessão, o que significa que a pessoa que está executando a consulta. O usuário vê apenas as linhas e os valores de coluna que está autorizado a acessar, conforme definido pelas políticas abac nas tabelas base. Verificações de acesso à tabela base e verificações de acesso a dependências usam a identidade do proprietário da exibição, para que os usuários possam consultar exibições sem privilégios diretos nas tabelas subjacentes.

Políticas abac em exibições materializadas e tabelas de streaming

Quando um pipeline atualiza uma visualização materializada ou tabela de streaming, ele avalia políticas usando a identidade do proprietário ou do run-as. Se essa identidade estiver sujeita a uma política ABAC, a visualização materializada ou tabela de streaming contém permanentemente dados mascarados ou filtrados. Para evitar isso, adicione o proprietário do pipeline ou a identidade run-as à EXCEPT cláusula das políticas ABAC associada a todas as tabelas lidas durante a atualização do pipeline. Use a TO cláusula para especificar quais usuários e grupos recebem dados mascarados ou filtrados.

Tabelas do OpenSharing com políticas ou exibições abac que fazem referência a elas

Tabelas com políticas abac ou exibições que fazem referência a tabelas com políticas ABAC só poderão ser compartilhadas por meio do OpenSharing se o proprietário do compartilhamento estiver isento da política (listado na EXCEPT cláusula). A política não rege o acesso do destinatário. Os destinatários podem aplicar suas próprias políticas ABAC a tabelas compartilhadas para impor o controle de acesso ao seu lado.

• Para provedores de compartilhamento, consulte Adicionar tabelas e esquemas protegidos por políticas ABAC a um compartilhamento.
• Para os destinatários de compartilhamento, consulte Ler dados protegidos pelo ABAC e aplicar políticas ABAC.

Para obter detalhes sobre como usar o OpenSharing com o ABAC, consulte OpenSharing e ABAC.

Viagem no tempo e clonagem em tabelas com políticas abac

As políticas abac não podem ser avaliadas em relação a instantâneos históricos de tabela, portanto, as consultas de viagem no tempo falham em tabelas com filtros de linha ativos ou máscaras de coluna. Clones profundos e rasos também não têm suporte em tabelas com políticas ABAC.

Para habilitar essas operações, crie uma entidade de serviço ou grupo e adicione-a à cláusula da EXCEPT política. A política não é avaliada para entidades de segurança isentas, portanto, essas operações podem ser executadas.

Por exemplo, a política a seguir mascara colunas PII para todos os usuários, exceto o etl_service_principal, que pode executar consultas de viagem no tempo e clonar operações:

CREATE POLICY mask_pii
ON CATALOG prod
COLUMN MASK prod.governance.mask_value
TO `account users`
EXCEPT `etl_service_principal`
FOR TABLES
MATCH COLUMNS
  has_tag_value('pii', 'ssn') AS ssn
ON COLUMN ssn;

Índices de Pesquisa de IA e políticas ABAC

As políticas abac em uma tabela de origem não se aplicam aos índices de Pesquisa de IA criados a partir dessa tabela. O índice sincroniza todas as linhas da tabela de origem e não impõe políticas de filtro de linha ou máscara de coluna ao atender consultas.

Para tabelas com máscaras de coluna, você pode excluir colunas mascaradas do índice usando as colunas para sincronizar a configuração.

Várias políticas na mesma tabela ou coluna para o mesmo usuário

Somente um filtro de linha distinto pode ser resolvido em runtime para uma determinada tabela e um determinado usuário, e apenas uma máscara de coluna distinta pode ser resolvida para uma determinada coluna e um determinado usuário. Você pode definir várias políticas, mas quando um usuário consulta a tabela, apenas as condições de uma política devem corresponder. Se vários filtros de linha ou máscaras de coluna distintos se aplicarem ao mesmo usuário e tabela ou coluna, Azure Databricks bloqueará o acesso e retornará um erro. Várias políticas serão permitidas se forem resolvidas para o mesmo filtro de linha ou UDF de máscara de coluna com os mesmos argumentos.

Para obter detalhes, consulte Regras para vários filtros e máscaras.

ABAC na computação dedicada

Para obter limitações do ABAC na computação dedicada, consulte Limitações.

Limitações comuns ao ABAC e aos filtros de linha e máscaras de coluna no nível da tabela

Para obter limitações gerais de filtros de linha e máscaras de coluna que se aplicam a filtros de linha de nível de tabela e ABAC e máscaras de coluna, consulte Limitações.