Propagation des tags
Bêta
Cette fonctionnalité est en version bêta. Pour l’utiliser, un administrateur de workspace doit activer la propagation des tags depuis la page Aperçus . Consultez Gérer les aperçus Databricks.
Cette page explique la propagation des tags, qui applique automatiquement un tag gouverné aux tables et aux vues dérivées d’une source balisée via une opération prise en charge. Pour obtenir une présentation des tags gouvernés, consultez Tags gouvernés. Pour activer la propagation d’un tag, consultez Activer la propagation des tags.
Qu’est-ce que la propagation des tags ?
La propagation des tags copie un tag gouverné d’une table ou d’une colonne source vers les nouvelles tables et vues que vous créez à partir de cet objet. Lorsque vous exécutez une opération prise en charge, telle que CREATE TABLE AS SELECT, Databricks identifie les objets sources à partir de la traçabilité et applique leurs tags gouvernés à l’objet créé ou mis à jour par l’opération.
Par exemple, si une colonne source porte la balise pii avec la valeur ssn et que vous créez une table à partir de celle-ci avec CREATE TABLE AS SELECT, la propagation applique la même balise pii à la colonne correspondante de la nouvelle table.
La propagation permet de maintenir la cohérence des balises gouvernées à mesure que les données sont transférées en aval, afin que vous n’ayez pas à baliser manuellement chaque nouvelle table et vue. C’est particulièrement important pour le contrôle d’accès basé sur les attributs (ABAC): lorsqu’une balise se propage à une colonne dérivée, une politique ABAC existante qui correspond à cette balise, comme un masque de colonne, s’applique aux données dérivées sans qu’il soit nécessaire de les baliser au préalable.
La propagation s’applique uniquement aux tags gouvernés, y compris aux tags système, et vous l’activez individuellement pour chaque tag gouverné.
Pourquoi utiliser la propagation des tags ?
Lorsque vous créez une table ou une vue à partir d’une source balisée, les balises gouvernées de la source ne sont pas transférées automatiquement. Sans propagation, vous devez baliser à nouveau manuellement chaque objet dérivé, les balises subissent un drift et une politique ABAC qui masque une colonne dans la source peut ne pas s’appliquer aux mêmes données en aval.
La propagation des balises gouvernées suit les données, ce qui vous permet de :
- Ajoutez un tag à la source une seule fois. Databricks applique les tags gouvernés de la source aux tables et aux vues qui en sont dérivées.
- Appliquez automatiquement les politiques ABAC aux données dérivées. Lorsqu’un tag gouverné est propagé à une colonne dérivée, toute politique ABAC existante correspondant à ce tag s’applique immédiatement, sans qu’il soit nécessaire de baliser d’abord la colonne dérivée.
Fonctionnement de la propagation des tags
Après avoir activé la propagation pour un tag gouverné, Databricks propage ce tag chaque fois qu’il détecte une opération prise en charge qui dérive ou met à jour un objet cible à partir d’une ou plusieurs sources. La propagation est :
- Par tag. La propagation est désactivée par default et activée individuellement pour chaque tag gouverné. Voir Activer la propagation des tags.
- Basé sur la traçabilité. Les tags suivent la traçabilité enregistrée pour une opération prise en charge, au niveau des tables et des colonnes.
- Une opération système. Une fois qu’un tag est activé pour la propagation, Databricks le propage automatiquement. Cela ne dépend d’aucune autorisation dont dispose l’utilisateur qui exécute l’opération sur l’objet dérivé ou le tag gouverné.
- Asynchrone. La propagation s’exécute en arrière-plan et ne bloque pas l’exécution de la query. Cela se produit peu après la fin de l’opération, de sorte que les tags propagés apparaissent généralement sur l’objet dérivé en quelques minutes.
Opérations prises en charge
La propagation des tags s’applique lorsque vous exécutez l’une des opérations suivantes sur le compute serverless:
CREATE TABLE AS SELECT(CTAS)CLONE(tags au niveau de la table uniquement)CREATE VIEW,ALTER VIEWetCREATE OR REPLACE VIEWINSERT INTO ... SELECTMERGE
Les tags gouvernés se propagent à la fois au niveau de la table et de la colonne :
- Les tags au niveau des tables d’une table source sont propagés à la table ou à la vue dérivée. Si une table source comporte plusieurs tags gouvernés, l’objet dérivé les reçoit tous.
- Les tags au niveau des colonnes se propagent à la colonne dérivée correspondante. Par exemple, une colonne source portant le tag
piiavec la valeurssnpropage le même tag à la colonne correspondante de la nouvelle table.
Résolution des conflits
Un conflit se produit lorsqu’une cible reçoit la même clé de balise gouvernée avec plusieurs valeurs. Cela se produit lorsque plusieurs sources portent la même clé de balise avec des valeurs différentes, ou lorsque la cible possède déjà cette clé de balise avec une valeur différente.
Par exemple, si deux tables sources portent sensitivity_level avec des valeurs différentes, Databricks considère la propagation vers une table dérivée comme un conflit.
En cas de conflit, Databricks applique la valeur default de propagation du tag . Un utilisateur disposant de MANAGE sur le tag gouverné définit cette valeur lorsqu’il active la propagation, ce qui permet à votre organisation de définir un comportement déterministe, par exemple en appliquant toujours le niveau de sensibilité le plus restrictif. Consultez Activer la propagation des tags.
Visibilité de la propagation
Les tags propagés apparaissent à côté des tags attribués directement sur les objets Unity Catalog dans Catalog Explorer. Pour chaque attribution de tag, vous pouvez voir comment le tag a été appliqué, afin de distinguer un tag propagé d’un tag qui a été :
- Affecté directement
- Autorisation héritée
- Appliqué par une automatisation, telle que Classification des données
Autorisations
La propagation des tags utilise le modèle existant d’ autorisations des tags gouvernés et n’introduit aucune nouvelle autorisation.
Autorisation | Rôle dans la propagation |
|---|---|
| Activer ou désactiver la propagation pour le tag et définir sa valeur de propagation par default. |
| Non obligatoire. La propagation est une opération système et ne dépend pas du fait que la personne qui exécute l’opération dispose de |
Les administrateurs de compte disposent default de MANAGE et ASSIGN sur tous les tags gouvernés. Consultez Gérer les permissions sur les tags gouvernés.
L’affichage des balises propagées ne nécessite aucune autorisation spécifique à la propagation. Les balises propagées font partie des métadonnées d’un objet ; tout privilège permettant d’afficher les balises de l’objet, comme BROWSE, SELECT ou READ METADATA, affiche également ses balises propagées. Consultez la référence des privilèges Unity Catalog.
Exigences
- Le workspace doit être associé à un métastore Unity Catalog.
- Les tags gouvernés doivent être activés sur le compte.
- Les opérations prises en charge doivent s’exécuter sur le compute serverless. Classic Compute n’est pas pris en charge.
- Un administrateur du workspace doit activer l’aperçu Propagation des tags . Consultez Gérer les aperçus Databricks.
Activer la propagation des balises gouvernées
Pour activer la propagation d’une balise gouvernée, vous devez disposer de MANAGE sur cette balise. La propagation étant configurée pour chaque balise, répétez ces étapes pour chaque balise gouvernée que vous souhaitez propager.
-
Dans votre workspace Databricks, cliquez sur
Catalogue . -
Cliquez sur le bouton
Gouverner . -
Dans le menu déroulant, cliquez sur Balises gouvernées .
-
Sélectionnez la balise gouvernée que vous souhaitez propager.
-
Cliquez sur Configurer pour ouvrir la boîte de dialogue Configurer la propagation des tags .
-
Activez l’interrupteur Propagation des balises .
-
Pour une balise dont les valeurs sont autorisées, sélectionnez une default propagation value . Databricks applique cette valeur lorsque la propagation entraîne un conflit.
-
Cliquez sur Enregistrer .
La propagation est asynchrone, mais s’exécute peu après la fin d’une opération ; il n’y a donc généralement qu’un bref délai avant que ses tags apparaissent sur l’objet dérivé. Pendant ce court laps de temps, les politiques ABAC qui font référence au tag propagé ne sont pas appliquées à l’objet dérivé tant que le tag n’y apparaît pas.
Limitations
La propagation des tags présente les limitations suivantes :
- La propagation est asynchrone. Elle s’exécute peu après la fin d’une opération, de sorte que les tags propagés apparaissent généralement en quelques minutes, mais les règles ABAC qui font référence à un tag propagé ne sont pas appliquées à l’objet dérivé tant que le tag n’apparaît pas.
- La propagation est prise en charge uniquement sur le compute serverless. Classic Compute n’est pas pris en charge.
- Seules les balises gouvernées, y compris les balises système, sont propagées. Les balises personnalisées non gouvernées ne sont pas propagées.
- La propagation est prise en charge uniquement pour le type d’objet sécurisable de table, y compris pour ses tags au niveau de la table et des colonnes. Les volumes et autres objets sécurisables Unity Catalog ne sont pas pris en charge.
- La propagation n’est pas prise en charge pour les tables de streaming ou les vues matérialisées créées par Pipelines déclaratifs Lakeflow.
- Un même objet peut comporter jusqu’à 50 tags, y compris les tags propagés. La propagation ne dépasse pas cette limite.