Unity Catalog の権限とセキュリティ保護可能なオブジェクト

適用対象: Databricks SQL Databricks Runtime Unity Catalog のみ

権限は、メタストア内のセキュリティ保護可能なオブジェクトを操作するためにプリンシパルに付与される権限です。 権限モデルとセキュリティ保護可能なオブジェクトは、Unity Catalog メタストアとレガシの Hive メタストアのどちらを使用しているかによって異なります。 この記事では、Unity Catalog の権限モデルについて説明します。 Hive メタストアを使用している場合は、Hive メタストアの Privileges およびセキュリティ保護可能なオブジェクトを参照してください。

Unity カタログで権限を管理する方法の詳細については、「 Unity カタログの管理権限」を参照してください。

セキュリティ保護可能なオブジェクト

セキュリティ保護可能なオブジェクトは、プリンシパルに権限を付与できる Unity Catalog メタストアで定義されているオブジェクトです。 Unity カタログのセキュリティ保護可能なオブジェクトとそのオブジェクトに付与できる権限の完全な一覧については、「 Unity Catalog 権限とセキュリティ保護可能なオブジェクト」を参照してください。

任意のオブジェクトに対する権限を管理するには、そのオブジェクトの所有者であるか、オブジェクトに対する MANAGE 権限を持っている必要があります。また、オブジェクトの親カタログに対する USE CATALOG と、その親スキーマに対する USE SCHEMA が必要です。

構文

securable_object
  { CATALOG [ catalog_name ] |
    CONNECTION connection_name |
    CLEAN ROOM clean_room_name |
    EXTERNAL LOCATION location_name |
    FUNCTION function_name |
    METASTORE |
    PROCEDURE procedure_name |
    SCHEMA schema_name |
    SHARE share_name |
    [ STORAGE | SERVICE ] CREDENTIAL credential_name |
    [ TABLE ] table_name |
    MATERIALIZED VIEW view_name |
    VIEW view_name |
    VOLUME volume_name
  }

SERVER の代わりに CONNECTION、DATABASE の代わりに SCHEMA を指定することもできます。

パラメーター

• CATALOG catalog_name

  データ カタログ全体へのアクセスを制御します。

• CLEAN ROOM クリーンルーム名

  クリーン ルームへのアクセスを制御します。

• CONNECTION 接続名

  接続へのアクセスを制御します。

• EXTERNAL LOCATION location_name

  外部の場所へのアクセスを制御します。

• FUNCTION function_name

  ユーザー定義関数または MLflow 登録済みモデルへのアクセスを制御します。

• MATERIALIZED VIEW view_name

  具体化されたビューへのアクセスを制御します。

• METASTORE

  ワークスペースにアタッチされている Unity Catalog メタストアへのアクセスを制御します。 メタストアの権限を管理する場合、SQL コマンドにメタストア名を含めないでください。 Unity Catalog は、ワークスペースにアタッチされているメタストアに対する権限を付与または取り消します。

• PROCEDURE procedure_name

  ユーザー定義プロシージャへのアクセスを制御します。

  プロシージャが見つからない場合、Azure Databricks によってエラーが発生します。

• SCHEMA schema_name

  スキーマへのアクセスを制御します。

• [ STORAGE | SERVICE ] CREDENTIAL credential_name

  credentialへのアクセスを制御します。

  キーワード STORAGE と SERVICE ("はい Databricks Runtime 15.4 以上" ) は省略可能です。

• SHARE share_name

  受信者に対し、共有へのアクセスを制御します。

• TABLE table_name

  マネージドまたは外部のテーブルへのアクセスを制御します。 テーブルが見つからない場合、Azure Databricks で TABLE_OR_VIEW_NOT_FOUND エラーが発生します。

• VIEW view_name

  ビューへのアクセスを制御します。 ビューが見つからない場合、Azure Databricks では TABLE_OR_VIEW_NOT_FOUND エラーが生じます。

• VOLUME volume_name

  ボリュームへのアクセスを制御します。 ボリュームが見つからない場合、Azure Databricks によってエラーが発生します。

特権の種類

特権の種類の一覧については、「Unity Catalog の特権とセキュリティ保護可能なオブジェクト」を参照してください。

例

-- Grant a privilege to the user alf@melmak.et
> GRANT SELECT ON TABLE t TO `alf@melmak.et`;

-- Revoke a privilege from the general public group.
> REVOKE USE SCHEMA ON SCHEMA some_schema FROM `alf@melmak.et`;

関連項目

• GRANT
• プリンシパル
• REVOKE