Referens för Behörigheter för Unity-katalog

Den här sidan är en referens för Behörigheter för Unity Catalog och de skyddsbara objekt som de gäller för.

Detaljerade beskrivningar av varje typ av skyddsbara objekt finns i Referens för skyddsbara objekt i Unity Catalog. Information om hur du beviljar behörigheter i Unity Catalog finns i Visa, bevilja och återkalla privilegier.

Skyddsbara objekt i Unity Catalog

Ett skyddsbart objekt är ett objekt som definierats i Unity Catalog-metaarkivet där behörigheter kan beviljas till ett huvudnamn (användare, tjänstens huvudnamn eller grupp). Skyddsbara objekt i Unity Catalog är hierarkiska, från metaarkivet överst, via kataloger och scheman, ned till de dataobjekt som de innehåller (tabeller, vyer, volymer, funktioner och modeller). Ytterligare skyddsbara objekt styr åtkomsten till extern lagring, externa tjänster och OpenSharing.

Detaljerade beskrivningar av varje typ av skyddsbara objekt finns i Referens för skyddsbara objekt i Unity Catalog.

Vilka behörigheter gäller för varje skyddsbart objekt?

I följande tabell visas de behörigheter som gäller för varje skyddsbart objekt i Unity Catalog. Information om hur du beviljar behörigheter i Unity Catalog finns i Visa, bevilja och återkalla privilegier.

Översikt över behörigheter i Unity Catalog

I följande tabell sammanfattas funktionen som varje Unity Catalog-behörighet beviljar. Fullständiga beskrivningar finns i Detaljerad referens för Behörigheter för Unity-katalogen.

Detaljerad referens för Behörigheter för Unity-katalog

Det här avsnittet innehåller information om de behörigheter som vanligtvis gäller för Unity Catalog. Information om hur du beviljar behörigheter i Unity Catalog finns i Visa, bevilja och återkalla privilegier.

ACCESS

• Tillämpliga objekttyper: SERVICE CREDENTIAL

Tillåter att en användare använder en tjänstautentiseringsuppgift för att få åtkomst till externa tjänster.

ALLA PRIVILEGIER

• Tillämpliga objekttyper: CONNECTION, EXTERNAL LOCATION, EXTERNAL METADATA, FEATURE, FUNCTION (inklusive modeller), MATERIALIZED VIEW, , SERVICE CREDENTIALSTORAGE CREDENTIAL, , TABLE, , VIEWVOLUME
• Tillämpliga containerobjekt: SCHEMA, CATALOG

ALL PRIVILEGES är en särskild behörighet som gör det möjligt för en användare att utföra alla funktioner på det skyddsbara objektet och dess underordnade objekt. ALL PRIVILEGES innebär alla tillämpliga privilegier för en specifik objekttyp, och Azure Databricks beviljar inte uttryckligen varje enskild behörighet.

I följande tabell beskrivs vad ALL PRIVILEGES som innebär för dataobjekt i Unity Catalog-hierarkin:

I följande tabell beskrivs vad som ALL PRIVILEGES innebär för icke-dataskyddbara objekt:

*För att förhindra oavsiktlig dataexfiltration eller privilegieeskalering, ALL PRIVILEGES inkluderar EXTERNAL USE SCHEMAinte , EXTERNAL USE LOCATION, MANAGE, eller READ METADATA privilegier.

När du listar behörigheter med databricks-API:et eller med ett SHOW GRANTS kommando för en användare med ALL PRIVILEGES, returneras endast ALL PRIVILEGES , inte de enskilda underförstådda privilegierna som SELECT eller MODIFY.

När ALL PRIVILEGES återkallas tas både ALL PRIVILEGES beviljandet och eventuella enskilda privilegier som det innebär bort. , EXTERNAL USE SCHEMAEXTERNAL USE LOCATION, MANAGE, och READ METADATA privilegierna påverkas inte.

För att upprätthålla bakåtkompatibilitet ALL PRIVILEGES utvärderas när behörighetskontroller görs. Det innebär att när Azure Databricks släpper nya privilegier och säkerhetsobjekt, innehåller en befintlig ALL PRIVILEGES tilldelning automatiskt alla nya behörigheter som gäller det säkerhetsobjektet och alla nya och befintliga underordnade objekt.

TILLÄMPA TAGG

• Tillämpliga objekttyper: EXTERNAL METADATA, FUNCTION (endast registrerade modeller), MATERIALIZED VIEW, TABLE, , VIEWVOLUME
• Tillämpliga containerobjekt: SCHEMA, CATALOG

Tillåter att en användare lägger till och redigerar taggar i ett skyddsbart objekt. Dessutom:

• För en tabell eller vy kan APPLY TAG du även aktivera taggning på kolumnnivå.
• För en registrerad modellAPPLY TAG möjliggör även taggning på versionsnivå.

Användaren måste också ha USE CATALOG i den överordnade katalogen och USE SCHEMA i det överordnade schemat. Externa metadataobjekt finns inte i en katalog eller ett schema, så dessa användningsbehörigheter gäller inte.

Om du vill tillämpa en styrd tagg måste du också ha behörigheten ASSIGN för den reglerade taggen. Se Hantera behörigheter för reglerade taggar.

BROWSE

• Tillämpliga objekttyper: CLEAN ROOM, EXTERNAL LOCATION, EXTERNAL METADATA
• Tillämpliga containerobjekt: CATALOG

Privilegiet BROWSE är ett särskilt privilegium som gör det möjligt för användare att identifiera och visa metadata om objekt utan att ge åtkomst till underliggande data. Användare med BROWSE kan:

• Se att ett objekt finns
• Visa dess namn, beskrivning och taggar
• Begär åtkomst till den

För dataobjekt (tabeller, vyer, volymer och funktioner) BROWSE kan endast beviljas på katalognivå. Det gör att du kan identifiera och visa alla objekt i katalogen, men det visas inte uttryckligen som en ärvd behörighet när du visar behörigheter för scheman och underordnade objekt i Catalog Explorer.

För externa platser, externa metadata och rena rum kan du bevilja BROWSE direkt för själva objektet.

Användare med BROWSE behöver inte användningsbehörigheter som USE CATALOG eller USE SCHEMA för att identifiera och visa metadata.

Databricks rekommenderar att du beviljar BROWSEkataloger till All account users gruppen för att göra data identifierbara i hela organisationen. Detta gör det möjligt för användare att hitta data och begära åtkomst utan att kräva att administratörer beviljar behörigheter i förebyggande syfte.

CREATE CATALOG

• Tillämpliga containerobjekt: Unity Catalog-metaarkiv

Tillåter att en användare skapar en katalog i ett Unity Catalog-metaarkiv. Om du vill skapa en sekundär katalog måste du också ha behörigheten CREATE FOREIGN CATALOG för anslutningen som innehåller den externa katalogen eller i metaarkivet.

SKAPA RENRUM

• Tillämpliga containerobjekt: Unity Catalog-metaarkiv

Gör att en användare kan skapa ett rent rum för att på ett säkert sätt samarbeta i projekt med andra organisationer utan att dela underliggande data.

CREATE CONNECTION

• Tillämpliga objekttyper: SERVICE CREDENTIAL
• Tillämpliga containerobjekt: Unity Catalog-metaarkiv

Tillåter att en användare skapar en anslutning till en extern databas i ett Lakehouse Federation-scenario. Om du vill använda en tjänstautentiseringsuppgift för att skapa en anslutning måste användaren ha den här behörigheten för både metaarkivet och tjänstens autentiseringsuppgifter.

CREATE EXTERNAL LOCATION

• Tillämpliga objekttyper: STORAGE CREDENTIAL
• Tillämpliga containerobjekt: Unity Catalog-metaarkiv

Om du vill skapa en extern plats måste användaren ha den här behörigheten för både metaarkivet och lagringsautentiseringsuppgifterna som refereras till på den externa platsen.

SKAPA EXTERNA METADATA

• Tillämpliga containerobjekt: Unity Catalog-metaarkiv

Tillåter att en användare skapar ett externt metadataobjekt för användning i anpassad härkomst. Om du vill lägga till ursprungsrelationer till det externa metadataobjektet måste användaren ha behörigheten MODIFY för det externa metadataobjektet, tillsammans med behörigheter för Unity Catalog-objektet som de anger relationen med.

SKAPA EXTERNA TABLE

• Tillämpliga objekttyper: EXTERNAL LOCATION, STORAGE CREDENTIAL

Gör att en användare kan skapa externa tabeller direkt i din molnklientorganisation med hjälp av en extern plats eller lagringsautentiseringsuppgifter. Databricks rekommenderar att du beviljar den här behörigheten på en extern plats i stället för lagringsautentiseringsuppgifter eftersom den är begränsad till en sökväg, vilket ger mer kontroll över var användare kan skapa externa tabeller i din molnklientorganisation.

SKAPA EXTERNT LAGRINGSUTRYMME

• Tillämpliga objekttyper: EXTERNAL LOCATION

Tillåter att en användare skapar externa volymer med hjälp av en extern plats.

SKAPA FUNKTION

• Tillämpliga containerobjekt: SCHEMA, CATALOG

Tillåter att en användare skapar en funktion i ett schema som CREATE FEATURE beviljas. Efter principen om lägsta behörighet rekommenderar Databricks att du beviljar CREATE FEATURE på schemanivå. Du kan också bevilja CREATE FEATURE en katalog så att en användare kan skapa funktioner i ett befintligt eller framtida schema i katalogen.

Användaren måste också ha USE CATALOG privilegiet i katalogen och privilegiet USE SCHEMA i schemat där funktionen skapas.

SKAPA FRÄMMLING CATALOG

• Tillämpliga objekttyper: CONNECTION

Tillåter att en användare skapar utländska kataloger med hjälp av en anslutning till en extern databas i ett Lakehouse Federation-scenario.

SKAPA UTLÄNDSKT SÄKERHETSMÅL

• Tillämpliga objekttyper: EXTERNAL LOCATION

Tillåter en användare som skapar en extern katalog att ange auktoriserade sökvägar som omfattas av den externa platsen.

Användaren måste också ha CREATE CATALOG på metaarkivet och CREATE FOREIGN CATALOG på anslutningen.

CREATE FUNCTION

• Tillämpliga containerobjekt: SCHEMA, CATALOG

Tillåter att en användare skapar en funktion. Enligt principen om minsta behörighet rekommenderar Databricks att du beviljar CREATE FUNCTION på schemanivå, vilket gör det möjligt för användare att skapa funktioner i schemat. Du kan också bevilja CREATE FUNCTION i en katalog så att en användare kan skapa funktioner i ett befintligt eller framtida schema i katalogen.

Användaren måste också ha privilegiet USE CATALOG på katalogen och USE SCHEMA på schemat där funktionen skapas.

SKAPA HANTERAD LAGRING

• Tillämpliga objekttyper: EXTERNAL LOCATION

Tillåter att en användare konfigurerar en anpassad hanterad lagringsplats på en extern plats när en katalog eller ett schema skapas. När den används när katalogen skapas blir den angivna platsen standardhanterad lagring för alla scheman i katalogen (vilket åsidosätter standardvärdet för metaarkivet ). När det används när schemat skapas gäller den angivna platsen endast för det schemat (vilket åsidosätter alla standardinställningar på katalognivå).

CREATE MATERIALIZED VIEW

• Tillämpliga containerobjekt: SCHEMA, CATALOG

Tillåter att en användare skapar en materialiserad vy i ett schema som CREATE MATERIALIZED VIEW beviljas. Efter principen om lägsta behörighet rekommenderar Databricks att du beviljar CREATE MATERIALIZED VIEW på schemanivå. Du kan också bevilja CREATE MATERIALIZED VIEW en katalog så att en användare kan skapa materialiserade vyer i ett befintligt eller framtida schema i katalogen.

Användaren måste också ha privilegiet USE CATALOG på katalogen och USE SCHEMA på schemat där den materialiserade vyn skapas.

SKAPA MODELL

• Tillämpliga containerobjekt: SCHEMA, CATALOG

Tillåter att en användare skapar en MLflow-registrerad modell (som är en typ av funktion) i ett schema som CREATE MODEL beviljas. Efter principen om lägsta behörighet rekommenderar Databricks att du beviljar CREATE MODEL på schemanivå. Du kan också bevilja CREATE MODEL i en katalog så att en användare kan skapa registrerade modeller i ett befintligt eller framtida schema i katalogen.

Användaren måste också ha privilegiet USE CATALOG på katalogen och USE SCHEMA på schemat där modellen skapas.

SKAPA MODELLVERSION

• Tillämpliga objekttyper: MODEL

Tillåter att en användare registrerar en ny version av en MLflow-registrerad modell (vilket är en typ av funktion). Beviljar inte behörighet att köra, ändra eller lägga till taggar i en modellversion.

Användaren måste också ha behörigheten USE CATALOG för den överordnade katalogen och USE SCHEMA det överordnade schemat.

CREATE SCHEMA

• Tillämpliga containerobjekt: CATALOG

Tillåter att en användare skapar ett schema i en katalog som CREATE SCHEMA beviljas. Användaren måste också ha privilegiet USE CATALOG i katalogen.

SKAPA HEMLIGHET

• Tillämpliga containerobjekt: SCHEMA, CATALOG

Tillåter en användare att skapa en hemlighet i ett schema där CREATE SECRET beviljas. Användaren måste också ha USE CATALOG i katalogen och USE SCHEMA på schemat där hemligheten skapas. Du kan också ge CREATE SECRET på en katalog så att en användare kan skapa hemligheter i vilket nuvarande eller framtida schema som helst i katalogen. För mer information om hemligheter, se Hemligheter i Unity-katalogen.

SKAPA TJÄNST

• Tillämpliga containerobjekt: SCHEMA, CATALOG

Tillåter att en användare skapar en tjänst, till exempel en modelltjänst eller MCP-tjänst, i ett schema som CREATE SERVICE beviljas. Efter principen om lägsta behörighet rekommenderar Databricks att du beviljar CREATE SERVICE på schemanivå. Du kan också bevilja CREATE SERVICE i en katalog så att en användare kan skapa tjänster i ett befintligt eller framtida schema i katalogen.

Användaren måste också ha USE CATALOG privilegiet på katalogen och USE SCHEMA på schemat där tjänsten skapas.

SKAPA SERVICELEGITIMATION

• Tillämpliga containerobjekt: Unity Catalog-metaarkiv

Gör att en användare kan skapa en tjänstautentiseringsuppgift i ett Unity Catalog-metaarkiv.

SKAPA LAGRINGSREFERENSER

• Tillämpliga containerobjekt: Unity Catalog-metaarkiv

Tillåter att en användare skapar en lagringsautentiseringsuppgift i ett Unity Catalog-metaarkiv.

CREATE TABLE

• Tillämpliga containerobjekt: SCHEMA, CATALOG

Tillåter att en användare skapar en tabell eller vy i ett schema som CREATE TABLE beviljas. Efter principen om lägsta behörighet rekommenderar Databricks att du beviljar CREATE TABLE på schemanivå. Du kan också bevilja CREATE TABLE en katalog så att en användare kan skapa tabeller eller vyer i ett befintligt eller framtida schema i katalogen.

Användaren måste också ha USE CATALOG privilegiet på katalogen och privilegiet USE SCHEMA på schemat där tabellen eller vyn skapas.

CREATE VOLUME

• Tillämpliga containerobjekt: SCHEMA, CATALOG

Tillåter att en användare skapar en volym i ett schema som CREATE VOLUME beviljas. Efter principen om lägsta behörighet rekommenderar Databricks att du beviljar CREATE VOLUME på schemanivå. Du kan också bevilja CREATE VOLUME i en katalog så att en användare kan skapa volymer i ett befintligt eller framtida schema i katalogen.

Användaren måste också ha USE CATALOG privilegiet på katalogen och privilegiet USE SCHEMA på schemat där volymen skapas.

DELETE

• Tillämpliga objekttyper: TABLE
• Tillämpliga containerobjekt: SCHEMA, CATALOG

Tillåter en användare att ta bort befintlig data från en tabell. DELETE är en av de finjusterade DML-privilegierna, ett minst privilegierat alternativ till MODIFY. Se Finkorniga DML-privilegier.

EXECUTE

• Tillämpliga objekttyper: FUNCTION
• Tillämpliga containerobjekt: SCHEMA, CATALOG

Tillåter att en användare anropar en funktion eller läser in en registrerad modell för slutsatsdragning. För funktioner EXECUTE kan du även visa funktionsdefinitionen och metadata. För registrerade modeller EXECUTE kan du även visa metadata för alla modellversioner och ladda ned modellfiler.

Databricks rekommenderar att du beviljar EXECUTE enskilda funktioner enligt principen om lägsta behörighet. Du kan också bevilja EXECUTE ett schema eller en katalog så att en användare kan köra alla aktuella och framtida funktioner i schemat eller katalogen.

Användaren måste också ha USE CATALOG i den överordnade katalogen och USE SCHEMA i det överordnade schemat.

UTFÖR RENRUMSUPPGIFT

• Tillämpliga objekttyper: CLEAN ROOM

Tillåter att en användare kör uppgifter (notebook-filer) i ett rent rum. Gör också att användaren kan visa information om rent rum.

EXTERN ANVÄNDNINGSPLATS

• Tillämpliga objekttyper: EXTERNAL LOCATION

Tillåter att en användare hämtar en tillfällig autentiseringsuppgift för att få åtkomst till en extern plats från en extern bearbetningsmotor med öppna API:er eller Apache Spark i Unity Catalog.

För att undvika oavsiktlig dataexfiltrering ALL PRIVILEGES inkluderar inte behörigheten EXTERNAL USE LOCATION och externa platsägare har inte den här behörigheten som standard. Det innebär att endast användare med behörighet på MANAGE den externa platsen kan bevilja den här behörigheten.

Se Aktivera extern dataåtkomst till Unity Catalog.

EXTERN USE SCHEMA

• Tillämpliga containerobjekt: SCHEMA

Tillåter att en användare beviljas en tillfällig autentiseringsuppgift för att få åtkomst till Unity Catalog-tabeller från en extern bearbetningsmotor med öppna API:er eller Isbergs REST-API:er.

För att undvika oavsiktlig dataexfiltrering ALL PRIVILEGES inkluderar inte behörigheten EXTERNAL USE SCHEMA och schemaägare har inte den här behörigheten som standard. Endast katalogägaren kan bevilja den här behörigheten.

Se Aktivera extern dataåtkomst till Unity Catalog.

INSERT

• Tillämpliga objekttyper: TABLE
• Tillämpliga containerobjekt: SCHEMA, CATALOG

Tillåter en användare att lägga till ny data i en tabell. INSERT är en av de finjusterade DML-privilegierna, ett minst privilegierat alternativ till MODIFY. Se Finkorniga DML-privilegier.

MANAGE

• Tillämpliga objekttyper: CLEAN ROOM, CONNECTION, EXTERNAL LOCATION, EXTERNAL METADATA, FEATURE, FUNCTION (inklusive modeller), MATERIALIZED VIEW, , SERVICE CREDENTIAL, STORAGE CREDENTIAL, TABLE, VIEW, VOLUME
• Tillämpliga containerobjekt: SCHEMA, CATALOG

Tillåter att en användare hanterar behörigheter på, överför ägarskap för och tar bort ett objekt utan att vara ägare. MANAGE liknar objektägarskapet, men det finns några viktiga skillnader. Se Ägarskap jämfört med behörighetenMANAGE.

Användare med MANAGE beviljas inte automatiskt alla behörigheter för objektet. De måste beviljas varje specifik behörighet separat, men användare med MANAGE kan uttryckligen bevilja sig dessa privilegier.

För att öva MANAGEmåste användaren också ha de nödvändiga användningsprivilegierna på objektets föräldrabehållare. MANAGE Kräver inte en användningsrätt på samma nivå som den beviljas. Se Krav på användningsrättigheter för MANAGE.

Om MANAGE beviljas för ett containerobjekt får MANAGE användaren även alla underordnade objekt. Om du till exempel beviljar MANAGE i en katalog beviljas MANAGE även uttryckligen för alla underordnade scheman och tabeller.

ALL PRIVILEGES innehåller inte behörigheten MANAGE .

HANTERA TILLÅTELSELISTA

• Tillämpliga containerobjekt: Unity Catalog-metaarkiv

Tillåter att en användare lägger till, ändrar och tar bort poster i listan över tillåtna som styr vilka init-skript, JAR-filer och Maven-koordinater som kan köras på Unity Catalog-aktiverade kluster som konfigurerats med standardåtkomstläge. Som standard är listan över tillåtna tomma.

Eftersom användare med MANAGE ALLOWLIST kan styra vilken kod som körs på standardåtkomstlägesberäkning rekommenderar Databricks att endast ge den här behörigheten till metaarkivadministratörer och betrodda plattformsadministratörer.

Se Allowlist-bibliotek och init-skript för beräkning med standardåtkomstläge (tidigare delat åtkomstläge).

MODIFY

• Tillämpliga objekttyper: EXTERNAL METADATA, TABLE
• Tillämpliga containerobjekt: SCHEMA, CATALOG

När den tillämpas på en tabell kan en användare infoga, uppdatera och ta bort data i tabellen. Användaren måste också ha SELECT i tabellen, USE SCHEMA i det överordnade schemat och USE CATALOG i den överordnade katalogen.

På grund av arv av privilegier kan du bevilja MODIFY för ett schema att automatiskt bevilja MODIFY för alla aktuella och framtida tabeller i schemat. På samma sätt kan du bevilja MODIFY för en katalog att automatiskt bevilja MODIFY för alla aktuella och framtida tabeller i katalogen.

När det tillämpas på ett externt metadataobjekt kan en användare lägga till ursprungsrelationer till objektet.

ÄNDRA RENT RUM

• Tillämpliga objekttyper: CLEAN ROOM

Gör att en användare kan uppdatera ett rent rum, vilket innefattar att lägga till och ta bort datatillgångar, lägga till och ta bort anteckningsböcker och uppdatera kommentarer. Gör också att användaren kan visa information om rent rum.

LÄSFUNKTION

• Tillämpliga objekttyper: FEATURE
• Tillämpliga containerobjekt: SCHEMA, CATALOG

Gör att en användare kan läsa en funktions metadata och materialiserade data och använda funktionen för modellinferens och träning. Användaren måste också ha USE CATALOG i den överordnade katalogen och USE SCHEMA i det överordnade schemat.

På grund av arv av privilegier kan du bevilja READ FEATURE för ett schema att automatiskt bevilja READ FEATURE för alla aktuella och framtida funktioner i schemat. På samma sätt kan du bevilja READ FEATURE i en katalog att automatiskt bevilja READ FEATURE för alla aktuella och framtida funktioner i katalogen.

LÄS FILER

• Tillämpliga objekttyper: EXTERNAL LOCATION

Tillåter att en användare läser filer direkt från molnobjektlagring som konfigurerats som en extern plats. Databricks rekommenderar att du inte läser filer direkt från molnobjektlagring. Hantera i stället läsåtkomst till data i molnobjektlagring med hjälp av volymer och READ VOLUME behörighet. Se Externa platser.

READ FILES krävs också för skrivåtgärder på externa platser. Alla huvudnamn som endast har behörigheten WRITE FILES på en extern plats får ett PERMISSION_DENIED fel vid försök att skriva filer. Se SKRIVFILER.

LÄS METADATA

• Tillämpliga objekttyper: , , , , , ( CLEAN ROOM inklusive modeller), CONNECTION, EXTERNAL LOCATION, EXTERNAL METADATA, , FEATURE, FUNCTION, MATERIALIZED VIEW, SERVICESERVICE CREDENTIALSTORAGE CREDENTIALTABLEVIEWVOLUME
• Tillämpliga containerobjekt: Unity Catalog metastore, SCHEMA, CATALOG

Tillåter en användare att se all metadata för ett objekt utan att ge möjlighet att ändra objektet eller läsa dess data. READ METADATA ger skrivskyddad insyn i samma metadata som är tillgänglig för objektets ägare eller en användare med MANAGE, inklusive säkerhetskänslig information som BROWSE inte exponeras. Detta omfattar, men är inte begränsat till:

• Privilegiebidrag
• Radfilter och kolumnmasker
• Attributbaserade åtkomstkontrollpolicys (ABAC)
• Vy- och funktionsdefinitioner
• Uppgifter om inloggningsuppgifter, såsom namn och ID:n för lagringsuppgifter

READ METADATA är avsedd för användare som inspekterar och felsöker åtkomstkontroller, såsom säkerhetsrevisorer, datastyrningsteam och webbplatsens tillförlitlighetsingenjörer (SRE). Eftersom READ METADATA känslig metadata exponerar rekommenderar Databricks att denna privilegium endast ges till betrodda huvudpersoner. För att låta användare upptäcka objekt och se grundläggande metadata utan att exponera denna känsliga information, grant BROWSE istället. Se BLÄDDRA.

READ METADATA är ett barnprivilegium för MANAGE. Som MANAGE, ingår den inte i ALL PRIVILEGES och måste beviljas uttryckligen. Se HANTERA.

För att öva READ METADATAmåste användaren också ha de nödvändiga användningsprivilegierna på objektets föräldrabehållare. READ METADATA Kräver inte en användningsrätt på samma nivå som den beviljas. Inga användningsrättigheter krävs när READ METADATA det beviljas på metastore eller i en katalog. Se Krav på användningsrättigheter för MANAGE.

På grund av privilegiearv ger beviljande på en READ METADATA eller ett schema automatiskt beviljande det på alla nuvarande och framtida objekt de innehåller. Till skillnad från andra privilegier på metastore-nivå READ METADATA ärver given på metastore också ner till alla objekt i metastore.

LÄS HEMLIGT

• Tillämpliga objekttyper: SECRET
• Tillämpliga containerobjekt: SCHEMA, CATALOG

Tillåter en användare att hämta ett hemligt värde från en anteckningsbok eller jobb, med dbutils hjälp av Unity Catalog REST API. Användaren måste också ha USE SCHEMA på det överordnade schemat och USE CATALOG i den överordnade katalogen.

På grund av privilegiearv kan du automatiskt bevilja det på ett READ SECRET eller katalog för att bevilja det på alla nuvarande och framtida hemligheter i schemat eller katalogen. För mer information om hemligheter, se Hemligheter i Unity-katalogen.

LÄSVOLYM

• Tillämpliga objekttyper: VOLUME
• Tillämpliga containerobjekt: SCHEMA, CATALOG

Tillåter att en användare läser filer och kataloger som lagras i en volym. Användaren måste också ha USE SCHEMA på det överordnade schemat och USE CATALOG i den överordnade katalogen.

På grund av arv av privilegier kan du bevilja READ VOLUME för ett schema att automatiskt bevilja READ VOLUME för alla aktuella och framtida volymer i schemat. På samma sätt kan du bevilja READ VOLUME för en katalog att automatiskt bevilja READ VOLUME för alla aktuella och framtida volymer i katalogen.

REFERENSHEMLIGHET

• Tillämpliga objekttyper: SECRET
• Tillämpliga containerobjekt: SCHEMA, CATALOG

Tillåter ett Unity Catalog-objekt att referera till en hemlighet vid namn så att objektet kan använda hemlighetsvärdet vid körning utan att exponera det för användaren. Användaren måste också ha USE SCHEMA på det överordnade schemat och USE CATALOG i den överordnade katalogen.

Beroende på objektet kräver hänvisning till en hemlighet antingen REFERENCE SECRET eller READ SECRET. Till exempel kräver skapandet eller uppdateringen av en READ SECRET som refererar till en hemlighet .

På grund av privilegiearv kan du automatiskt bevilja det på ett REFERENCE SECRET eller katalog för att bevilja det på alla nuvarande och framtida hemligheter i schemat eller katalogen. För mer information om hemligheter, se Hemligheter i Unity-katalogen.

REFRESH

• Tillämpliga objekttyper: MATERIALIZED VIEW
• Tillämpliga containerobjekt: SCHEMA, CATALOG

Tillåter att en användare uppdaterar en materialiserad vy. Användaren måste också ha USE SCHEMA på det överordnade schemat och USE CATALOG i den överordnade katalogen.

På grund av arv av privilegier kan du bevilja REFRESH för ett schema att automatiskt bevilja REFRESH för alla aktuella och framtida materialiserade vyer i schemat. På samma sätt kan du bevilja REFRESH i en katalog att automatiskt bevilja REFRESH för alla aktuella och framtida materialiserade vyer i katalogen.

SELECT

• Tillämpliga objekttyper: MATERIALIZED VIEW, SHARE, TABLE, VIEW
• Tillämpliga containerobjekt: SCHEMA, CATALOG

När den tillämpas på en tabell, vy eller materialiserad vy kan en användare välja från objektet. Användaren måste också ha USE CATALOG i den överordnade katalogen och USE SCHEMA i det överordnade schemat. När den tillämpas på en resurs kan en mottagare välja från resursen.

På grund av arv av privilegier kan du bevilja SELECT för ett schema att automatiskt bevilja SELECT för alla aktuella och framtida tabeller och vyer i schemat. På samma sätt kan du bevilja SELECT i en katalog att automatiskt bevilja SELECT för alla aktuella och framtida tabeller och vyer i katalogen.

UPDATE

• Tillämpliga objekttyper: TABLE
• Tillämpliga containerobjekt: SCHEMA, CATALOG

Tillåter en användare att ändra befintlig data i en tabell. UPDATE är en av de finjusterade DML-privilegierna, ett minst privilegierat alternativ till MODIFY. Se Finkorniga DML-privilegier.

USE CATALOG

• Tillämpliga containerobjekt: CATALOG

USE CATALOG är en användningsprivilegier. I allmänhet behöver användarna den här behörigheten för att interagera med alla objekt i katalogen. USE CATALOG beviljar inte åtkomst till själva katalogen eller till några specifika objekt i den.

Om du till exempel vill läsa från en tabell behöver SELECT en användare i tabellen, USE CATALOG i den överordnade katalogen och USE SCHEMA i det överordnade schemat.

USE CATALOG tillhandahåller också en viktig gräns för åtkomstkontroll för katalogägare. Även om en tabellägare beviljar SELECT en tabell till en annan användare kan den användaren inte komma åt tabellen om de inte också har USE CATALOG i den överordnade katalogen. Eftersom endast katalogägare eller användare med MANAGE i katalogen kan bevilja USE CATALOGbehåller katalogägare kontrollen över vilka användare som kan komma åt sina objekt, oavsett vad enskilda tabell- eller schemaägare beviljar.

USE CATALOG krävs inte för att identifiera eller läsa objektmetadata om användaren har behörighet för BROWSE katalogen.

ANVÄNDA ANSLUTNING

• Tillämpliga objekttyper: CONNECTION

Tillåter att en användare visar och visar information om anslutningar till externa databaser i ett Lakehouse Federation-scenario . USE CONNECTION krävs också för att använda remote_query funktionen för att köra SQL-frågor direkt på externa databaser.

USE SCHEMA

• Tillämpliga containerobjekt: SCHEMA, CATALOG

USE SCHEMA är en användningsprivilegier. I allmänhet behöver användarna den här behörigheten för att interagera med alla objekt i schemat. USE SCHEMA beviljar inte åtkomst till själva schemat eller till några specifika objekt i det.

Om du till exempel vill läsa från en tabell behöver SELECT en användare i tabellen, USE SCHEMA i det överordnade schemat och USE CATALOG i den överordnade katalogen.

USE SCHEMA ger också en viktig gräns för åtkomstkontroll för schemaägare. Även om en tabellägare beviljar SELECT en tabell till en annan användare kan den användaren inte komma åt tabellen om de inte också har USE SCHEMA det överordnade schemat. Eftersom endast schemaägare eller användare med MANAGE i schemat kan bevilja USE SCHEMAbehåller schemaägare kontrollen över vilka användare som kan komma åt sina objekt, oavsett vad enskilda tabellägare beviljar.

På grund av arv av privilegier kan du bevilja USE SCHEMA i en katalog att automatiskt bevilja USE SCHEMA för alla aktuella och framtida scheman i katalogen.

USE SCHEMA krävs inte för att identifiera eller läsa objektmetadata om användaren har behörigheten BROWSE för den överordnade katalogen.

SKRIVFILER

• Tillämpliga objekttyper: EXTERNAL LOCATION

Tillåter att en användare skriver filer direkt till molnobjektlagring som konfigurerats som en extern plats. Databricks rekommenderar att du inte skriver filer direkt till molnobjektlagring. Hantera i stället skrivåtkomst till data i molnobjektlagring med hjälp av volymer och WRITE VOLUME behörighet. Mer vägledning finns i Hanterade och externa volymer.

SKRIV HEMLIGT

• Tillämpliga objekttyper: SECRET
• Tillämpliga containerobjekt: SCHEMA, CATALOG

Tillåter att en användare uppdaterar ett hemligt värde. Användaren måste också ha USE SCHEMA på det överordnade schemat och USE CATALOG i den överordnade katalogen.

På grund av privilegiearv kan du automatiskt bevilja det på ett WRITE SECRET eller katalog för att bevilja det på alla nuvarande och framtida hemligheter i schemat eller katalogen. För mer information om hemligheter, se Hemligheter i Unity-katalogen.

SKRIVVOLYM

• Tillämpliga objekttyper: VOLUME
• Tillämpliga containerobjekt: SCHEMA, CATALOG

Tillåter att en användare lägger till, tar bort eller ändrar filer och kataloger som lagras i en volym. Användaren måste också ha USE CATALOG i den överordnade katalogen och USE SCHEMA i det överordnade schemat.

På grund av arv av privilegier kan du bevilja WRITE VOLUME för ett schema att automatiskt bevilja WRITE VOLUME för alla aktuella och framtida volymer i schemat. På samma sätt kan du bevilja WRITE VOLUME för en katalog att automatiskt bevilja WRITE VOLUME för alla aktuella och framtida volymer i katalogen.

Behörigheter som endast gäller för OpenSharing eller Databricks Marketplace

Det här avsnittet innehåller information om de behörigheter som endast gäller för OpenSharing.

SKAPA LEVERANTÖR

• Tillämpliga containerobjekt: Unity Catalog-metaarkiv

Tillåter att en användare skapar ett OpenSharing-providerobjekt i metaarkivet. En provider identifierar en organisation eller grupp av användare som delar data med Hjälp av OpenSharing. Providerobjekt skapas av en användare i mottagarens Databricks-konto. Se Vad är OpenSharing?.

CREATE RECIPIENT

• Tillämpliga containerobjekt: Unity Catalog-metaarkiv

Tillåter att en användare skapar ett OpenSharing-mottagarobjekt i metaarkivet. En mottagare identifierar en organisation eller grupp av användare som tar emot delade data med Hjälp av OpenSharing. Mottagarobjekt skapas av en användare i providerns Databricks-konto. Se Vad är OpenSharing?.

CREATE SHARE

• Tillämpliga containerobjekt: Unity Catalog-metaarkiv

Tillåter att en användare skapar en resurs i metaarkivet. En resurs är en logisk gruppering av tabeller och andra tillgångar som en provider avser att dela med Hjälp av OpenSharing.

SET DELNINGSBEHÖRIGHET

• Tillämpliga containerobjekt: Unity Catalog-metaarkiv

I OpenSharing SET SHARE PERMISSION gör det möjligt för en provideranvändare att ange behörigheter för en resurs, inklusive att bevilja mottagaren åtkomst och överföra ägarskap. Om du vill ge en mottagare åtkomst till en resurs måste användaren också ha USE SHARE, och antingen USE RECIPIENT eller ägarskap för mottagarobjektet . Om du vill överföra ägarskapet för en resurs måste användaren också ha USE SHARE.

ANVÄNDA MARKETPLACE-TILLGÅNGAR

• Tillämpliga containerobjekt: Unity Catalog-metaarkiv

Aktiverad som standard för alla Unity Catalog-metaarkiv. På Databricks Marketplace USE MARKETPLACE ASSETS kan en användare hämta eller begära åtkomst till dataprodukter i Marketplace-listor. Det gör också att en användare kan komma åt den skrivskyddade katalogen som skapas när en provider delar en dataprodukt.

Utan den här behörigheten måste användarna ha behörigheten CREATE CATALOG och USE PROVIDER eller administratörsrollen för metaarkivet. Genom att USE MARKETPLACE ASSETS bevilja i stället kan administratörer begränsa antalet användare med de mer kraftfulla privilegierna.

ANVÄND LEVERANTÖR

• Tillämpliga containerobjekt: Unity Catalog-metaarkiv

I OpenSharing USE PROVIDER gör det möjligt för en mottagaranvändare att visa alla providers i metaarkivet och deras associerade resurser (skrivskyddade). Kombinerat med CREATE CATALOGtillåter USE PROVIDER även en mottagaranvändare som inte är metaarkivadministratör att montera en resurs som en katalog. På så sätt kan administratörer begränsa antalet användare med administratörsrollen metaarkiv.

ANVÄNDA MOTTAGARE

• Tillämpliga containerobjekt: Unity Catalog-metaarkiv

I OpenSharing USE RECIPIENT gör det möjligt för en provideranvändare att visa alla mottagare i metaarkivet (skrivskyddad), inklusive mottagarinformation, autentiseringsstatus och de resursersom providern har delat med varje mottagare. En provideranvändare behöver inte vara metaarkivadministratör för att kunna använda den här behörigheten.

På Databricks MarketplaceUSE RECIPIENT kan provideranvändare visa listor och konsumentbegäranden i providerkonsolen.

ANVÄND ANDEL

• Tillämpliga containerobjekt: Unity Catalog-metaarkiv

I OpenSharing USE SHARE tillåter en provideranvändare att visa alla resurser i metaarkivet (skrivskyddat), inklusive tillgångarna (tabeller och notebook-filer) i varje resurs och resursensmottagare. En provideranvändare behöver inte vara metaarkivadministratör för att kunna använda den här behörigheten.

På Databricks MarketplaceUSE SHARE kan provideranvändare visa information om data som delas i en lista.