Référence des objets sécurisables de Unity Catalog

Cette page décrit tous les objets sécurisables dans Unity Catalog. Un objet sécurisable est un objet défini dans Unity Catalog sur lequel des privilèges peuvent être accordés à un principal (utilisateur, Service Principal ou groupe).

La hiérarchie des objets Unity Catalog

Les objets sécurisables dans Unity Catalog sont hiérarchiques. Cette structure hiérarchique constitue la base du contrôle d'accès dans Unity Catalog.

Le métastore est l'objet sécurisable de niveau supérieur. Dans ce métastore, vos assets de données résident dans un espace de noms à trois niveaux qui définit son catalogue, son schéma et le type d'asset, tel qu'une table (catalog.schema.table). Le diagramme suivant met en évidence ces objets sécurisables.

Le diagramme précédent montre les éléments suivants :

• Lescatalogues constituent la couche de niveau supérieur pour vos assets de données. Les catalogues existent directement sous le métastore. Ils sont utilisés pour organiser vos assets de données et d'IA, généralement par unités organisationnelles ou champs d'application du cycle de vie du développement logiciel.
  • Les schémas existent au sein des catalogues. Ils organisent les assets de données et d'IA en catégories plus granulaires que les catalogues. Un schéma peut représenter un cas d’utilisation unique, un projet ou un sandbox d’équipe.
    • Les tables sont des collections de données structurées organisées par lignes et colonnes.
    • Vues sont des requêtes enregistrées sur d'autres tables ou vues.
    • Les volumes représentent des collections de données non structurées dans le stockage d'objets cloud.
    • Les fonctions sont des unités de logique réutilisable qui renvoient une valeur scalaire ou un ensemble de lignes.
    • Les modèles sont des modèles d'IA versionnés ou non versionnés enregistrés dans Unity Catalog.
    • Les services sont des assets d'IA gouvernés et invocables, tels que les services de modèle et les services MCP.
    • Les secrets stockent des valeurs sensibles, telles que les identifiants et les tokens, que vous pouvez gérer dans Unity Catalog et y faire référence sans en exposer la valeur.

Il existe également de nombreux autres objets sécurisables dans Unity Catalog. Tous ces objets existent directement sous le métastore. Le diagramme suivant met en évidence ces objets sécurisables.

Ces objets sécurisables peuvent être globalement classés en deux groupes. Le premier groupe comprend les objets qui gèrent l'accès au stockage cloud et à d'autres sources de données et services externes :

• Les identifiants de stockage sont des objets qui représentent les informations d’authentification nécessaires pour accéder à un chemin spécifique dans le stockage cloud.
• Les emplacements externes sont des objets qui représentent un chemin spécifique dans le stockage cloud. Il comprend également une référence à l'identifiant de stockage nécessaire pour accéder à ce chemin.
• Un objet de métadonnées externes est utilisé pour définir des relations de data lineage personnalisées pour les systèmes qui fonctionnent en dehors de Unity Catalog.
• Les identifiants de service sont des objets qui représentent les informations d'authentification requises pour accéder aux services cloud externes.
• Connexions sont des objets qui représentent une connexion à un système de base de données externe.

Le deuxième groupe inclut des objets qui gèrent l'accès au partage des données et des ressources d'IA au-delà des limites du métastore ou de l'organisation :

• Partages sont des objets qui représentent un regroupement logique d'assets de données que vous avez l'intention de partager avec des destinataires externes.
• Lesfournisseurs sont des objets qui représentent une organisation externe ou un groupe d'utilisateurs qui a partagé des données avec votre organisation.
• Les destinataires sont des objets qui représentent une organisation externe ou un groupe d'utilisateurs avec lesquels un fournisseur partage des données.
• Les salles blanches sont des objets qui représentent un environnement sécurisé pour collaborer avec d'autres organisations sans exposer les données sous-jacentes.

Les sections suivantes décrivent chaque objet sécurisable plus en détail.

Métastore

Le metastore est l'objet sécurisable de niveau supérieur dans Unity Catalog. Un métastore contient tous les objets sécurisables enregistrés dans Unity Catalog dans une seule région cloud. Ces objets incluent non seulement les catalogues qui organisent vos données, mais aussi des objets qui contrôlent la façon dont les données sont accédées et partagées, tels que les informations d'identification de service, les informations d'identification de stockage, les emplacements externes, les connexions, les partages, les destinataires, les fournisseurs et les salles propres.

Le tableau suivant récapitule les détails importants concernant le metastore :

Détail	Description
Portée	Un métastore est limité à une seule région de cloud. Votre organisation requiert un métastore par région dans laquelle elle opère. Un seul métastore peut être associé à plusieurs workspaces dans la même région. Les octrois d'autorisations dans un métastore s'appliquent à tous les espaces de travail attachés à ce métastore. En d'autres termes, un privilège accordé dans un workspace est effectif dans tous les autres workspaces partageant ce métastore.
Privilèges du metastore	Les privilèges sur le métastore permettent des opérations au niveau du métastore. Par exemple, CREATE CATALOG permet à un utilisateur de créer un catalogue au sein du métastore. Cependant, cela n'accorde pas à l'utilisateur l'accès aux données du catalogue. Pour la liste complète des privilèges applicables, consultez la table des types de privilèges. Il est important de noter que les privilèges accordés au niveau du métastore ne sont pas hérités par les objets enfants dans la hiérarchie. Les autorisations au niveau du métastore sont limitées aux opérations au niveau du métastore uniquement. Ceci diffère du comportement d'héritage des privilèges pour les octrois de catalogues et de schémas, où les privilèges hérités s'appliquent automatiquement à tous les objets enfants actuels et futurs. Voir Héritage des privilèges.
Administrateurs du métastore	L'administrateur du métastore est un rôle facultatif dans Databricks. Il est attribué par les administrateurs de compte. Certaines fonctionnalités ne sont disponibles que pour les administrateurs de métastore, notamment la suppression du métastore, la gestion des attributions de Workspace et la prise de possession de tout objet du métastore, ce qui donne un accès indirect à toutes les données du métastore. Ces capacités ne peuvent pas être accordées par des octrois de privilèges standards. Voir Administrateurs du métastore. Lorsqu'un Workspace est automatiquement activé pour Unity Catalog, les administrateurs du Workspace reçoivent un ensemble de privilèges par default au niveau du metastore, incluant CREATE CATALOG, CREATE STORAGE CREDENTIAL et CREATE EXTERNAL LOCATION. Ceux-ci ne sont pas transférés vers d'autres workspaces associés au même metastore. Voir Privilèges d'administrateur de Workspace lorsque les Workspace sont activés automatiquement pour Unity Catalog.

Détail	Description
Portée	Un métastore est limité à une seule région de cloud. Votre organisation requiert un métastore par région dans laquelle elle opère. Un seul métastore peut être associé à plusieurs workspaces dans la même région. Les octrois d'autorisations dans un métastore s'appliquent à tous les espaces de travail attachés à ce métastore. En d'autres termes, un privilège accordé dans un workspace est effectif dans tous les autres workspaces partageant ce métastore.
Privilèges du metastore	Les privilèges sur le métastore permettent des opérations au niveau du métastore. Par exemple, CREATE CATALOG permet à un utilisateur de créer un catalogue au sein du métastore. Cependant, cela n'accorde pas à l'utilisateur l'accès aux données du catalogue. Pour la liste complète des privilèges applicables, consultez la table des types de privilèges. Il est important de noter que les privilèges accordés au niveau du métastore ne sont pas hérités par les objets enfants dans la hiérarchie. Les autorisations au niveau du métastore sont limitées aux opérations au niveau du métastore uniquement. Ceci diffère du comportement d'héritage des privilèges pour les octrois de catalogues et de schémas, où les privilèges hérités s'appliquent automatiquement à tous les objets enfants actuels et futurs. Voir Héritage des privilèges.
Administrateurs du métastore	L'administrateur du métastore est un rôle facultatif dans Databricks. Il est attribué par les administrateurs de compte. Certaines fonctionnalités ne sont disponibles que pour les administrateurs de métastore, notamment la suppression du métastore, la gestion des attributions de Workspace et la prise de possession de tout objet du métastore, ce qui donne un accès indirect à toutes les données du métastore. Ces capacités ne peuvent pas être accordées par des octrois de privilèges standards. Voir Administrateurs du métastore. Lorsqu'un Workspace est automatiquement activé pour Unity Catalog, les administrateurs du Workspace reçoivent un ensemble de privilèges par default au niveau du metastore, incluant CREATE CATALOG, CREATE STORAGE CREDENTIAL et CREATE EXTERNAL LOCATION. Ceux-ci ne sont pas transférés vers d'autres workspaces associés au même metastore. Voir Privilèges d'administrateur de Workspace lorsque les Workspace sont activés automatiquement pour Unity Catalog.

Catalogue

Au sein d'un métastore, un **catalogue** est la première et la plus haute couche pour vos ressources de données. Les catalogues sont des objets conteneurs. Un catalogue contient des schémas qui, à leur tour, contiennent des tables, des vues, des volumes et des fonctions.

Nous nous référons fréquemment à l'« espace de noms à trois niveaux » (catalog.schema.table) pour les données dans Unity Catalog. Ici, le catalogue est la première couche de l’espace de noms à trois niveaux.

Le tableau suivant résume les détails importants concernant les catalogues :

Détail	Description
Héritage	Les privilèges accordés sur un catalogue s'appliquent automatiquement à tous les schémas, tables, vues, volumes et fonctions actuels et futurs qu'il contient. Par exemple, accorder SELECT sur un catalogue permet à un utilisateur de lire n'importe quelle table dans ce catalogue (avec les privilèges d'utilisation USE CATALOG et USE SCHEMA appropriés). Voir Héritage des privilèges. En raison de l'héritage, les privilèges au niveau du catalogue sont larges. Soyez prudent lorsque vous les accordez aux utilisateurs.
Privilège d'utilisation (USE CATALOG)	Le privilège d’utilisation USE CATALOG est requis avant qu’un utilisateur ne puisse interagir avec un objet dans un catalogue. Ceci, quels que soient les privilèges qu'ils détiennent sur les objets enfants.
Le privilège BROWSE	L’octroi du privilège BROWSE à un utilisateur sur un catalogue leur permet de découvrir et d’afficher les métadonnées de tous les objets du catalogue, y compris les schémas enfants, les tables, les vues, les volumes et les fonctions, sans accorder l’accès aux données. BROWSE peut être accordé(e) uniquement au niveau du catalogue. Databricks recommande d'accorder BROWSE au groupe All account users afin que les utilisateurs puissent découvrir les données et demander l'accès selon les besoins.
Liaison de Workspace	Par default, un catalogue est accessible depuis tous les Workspace attachés au même metastore. Vous pouvez restreindre cela en liant le catalogue à des Workspaces spécifiques, éventuellement en lecture seule. La liaison de Workspace prévaut sur les octrois de privilèges individuels. Même un utilisateur avec une autorisation SELECT explicite ne peut pas accéder à un objet dans un catalogue qui n’est pas lié à son Workspace. Consultez Liaison Workspace-catalogue.

Détail	Description
Héritage	Les privilèges accordés sur un catalogue s'appliquent automatiquement à tous les schémas, tables, vues, volumes et fonctions actuels et futurs qu'il contient. Par exemple, accorder SELECT sur un catalogue permet à un utilisateur de lire n'importe quelle table dans ce catalogue (avec les privilèges d'utilisation USE CATALOG et USE SCHEMA appropriés). Voir Héritage des privilèges. En raison de l'héritage, les privilèges au niveau du catalogue sont larges. Soyez prudent lorsque vous les accordez aux utilisateurs.
Privilège d'utilisation (USE CATALOG)	Le privilège d’utilisation USE CATALOG est requis avant qu’un utilisateur ne puisse interagir avec un objet dans un catalogue. Ceci, quels que soient les privilèges qu'ils détiennent sur les objets enfants.
Le privilège BROWSE	L’octroi du privilège BROWSE à un utilisateur sur un catalogue leur permet de découvrir et d’afficher les métadonnées de tous les objets du catalogue, y compris les schémas enfants, les tables, les vues, les volumes et les fonctions, sans accorder l’accès aux données. BROWSE peut être accordé(e) uniquement au niveau du catalogue. Databricks recommande d'accorder BROWSE au groupe All account users afin que les utilisateurs puissent découvrir les données et demander l'accès selon les besoins.
Liaison de Workspace	Par default, un catalogue est accessible depuis tous les Workspace attachés au même metastore. Vous pouvez restreindre cela en liant le catalogue à des Workspaces spécifiques, éventuellement en lecture seule. La liaison de Workspace prévaut sur les octrois de privilèges individuels. Même un utilisateur avec une autorisation SELECT explicite ne peut pas accéder à un objet dans un catalogue qui n’est pas lié à son Workspace. Consultez Liaison Workspace-catalogue.

Pour plus d'informations sur les catalogues, consultez Que sont les catalogues dans Databricks ?.

Schéma

Dans un catalogue, un schéma (également appelé base de données) est la deuxième couche de la hiérarchie d'objets pour vos assets de données. Les schémas sont des objets conteneur. Un schéma contient des tables, des vues, des volumes et des fonctions.

Nous faisons souvent référence à l’ espace de noms à trois niveaux (c’est-à-dire catalog.schema.table) pour les données dans Unity Catalog. Ici, le schéma est la deuxième couche de l’espace de noms à trois niveaux.

Le tableau suivant résume les détails importants concernant les schémas :

Détail	Description
Héritage	Les privilèges accordés sur un schéma s’appliquent automatiquement à toutes les tables, vues, volumes et fonctions actuels et futurs qu’il contient. Par exemple, l'octroi de SELECT sur un schéma permet à un utilisateur de lire n'importe quelle table de ce schéma (avec les privilèges d'utilisation USE CATALOG et USE SCHEMA appropriés). Voir Héritage des privilèges. En raison de l'héritage, les privilèges au niveau du schéma peuvent être étendus. Passez en revue les objets contenus dans le schéma avant d'accorder des privilèges aux utilisateurs.
Privilège d'utilisation (USE SCHEMA)	Le privilège d'utilisation USE SCHEMA est requis avant qu'un utilisateur puisse interagir avec un objet dans un schéma. Ceci s'ajoute à USE CATALOG sur le catalogue parent du schéma. Une autorisation USE SCHEMA ne fournit pas en soi l'accès aux données du schéma.

Détail	Description
Héritage	Les privilèges accordés sur un schéma s’appliquent automatiquement à toutes les tables, vues, volumes et fonctions actuels et futurs qu’il contient. Par exemple, l'octroi de SELECT sur un schéma permet à un utilisateur de lire n'importe quelle table de ce schéma (avec les privilèges d'utilisation USE CATALOG et USE SCHEMA appropriés). Voir Héritage des privilèges. En raison de l'héritage, les privilèges au niveau du schéma peuvent être étendus. Passez en revue les objets contenus dans le schéma avant d'accorder des privilèges aux utilisateurs.
Privilège d'utilisation (USE SCHEMA)	Le privilège d'utilisation USE SCHEMA est requis avant qu'un utilisateur puisse interagir avec un objet dans un schéma. Ceci s'ajoute à USE CATALOG sur le catalogue parent du schéma. Une autorisation USE SCHEMA ne fournit pas en soi l'accès aux données du schéma.

Pour plus d'informations sur les schémas, consultez Schémas.

Table

Dans un schéma, une **table** est l'objet sécurisable principal pour les données structurées dans Unity Catalog. Voici les types de tables dans Databricks :

• Les tables gérées sont des tables dont le chemin d'accès au stockage est déterminé par Unity Catalog. Il est important de noter que les données elles-mêmes résident toujours dans votre compte cloud. Databricks recommande l'utilisation de tables gérées pour tirer parti des dernières fonctionnalités de table. Consultez les tables gérées du Unity Catalog pour Delta Lake et Apache Iceberg.
• Les tables externes sont des tables où vous spécifiez le chemin d'emplacement de stockage. Unity Catalog continue de gérer les métadonnées de la table, mais ne gère pas le cycle de vie des données, l'optimisation, l'emplacement de stockage ou le Layout. Voir Utiliser des tables externes.
• **Tables étrangères** : des tables d'un catalogue étranger qui sont enregistrées dans Unity Catalog. Consultez Travailler avec des tables étrangères.

Le tableau suivant résume les détails importants sur les tables :

Détail	Description
Privilèges d'utilisation	Pour accéder à une table, un utilisateur doit disposer de USE CATALOG sur le catalogue parent et de USE SCHEMA sur le schéma parent (privilèges d'utilisation), en plus du privilège au niveau de la table pertinent, tel que SELECT ou MODIFY.
Héritage	Les privilèges de table peuvent être hérités du schéma parent ou du catalogue. Par exemple, octroyer SELECT sur un schéma octroie automatiquement SELECT sur toutes les tables actuelles et futures de ce schéma. Consultez Héritage des privilèges.
Accès en lecture et écriture	Utilisez SELECT pour accorder l'accès en lecture et MODIFY pour accorder l'accès en écriture (insérer, mettre à jour, supprimer). Les tables externes accédées via Lakehouse Federation sont en lecture seule et ne prennent pas en charge le privilège MODIFY.

Détail	Description
Privilèges d'utilisation	Pour accéder à une table, un utilisateur doit disposer de USE CATALOG sur le catalogue parent et de USE SCHEMA sur le schéma parent (privilèges d'utilisation), en plus du privilège au niveau de la table pertinent, tel que SELECT ou MODIFY.
Héritage	Les privilèges de table peuvent être hérités du schéma parent ou du catalogue. Par exemple, octroyer SELECT sur un schéma octroie automatiquement SELECT sur toutes les tables actuelles et futures de ce schéma. Consultez Héritage des privilèges.
Accès en lecture et écriture	Utilisez SELECT pour accorder l'accès en lecture et MODIFY pour accorder l'accès en écriture (insérer, mettre à jour, supprimer). Les tables externes accédées via Lakehouse Federation sont en lecture seule et ne prennent pas en charge le privilège MODIFY.

Pour plus d'informations sur les tables, voir les tables Databricks.

Afficher

Dans un schéma, une vue est un objet en lecture seule défini par une query SQL stockée sur une ou plusieurs tables ou autres vues. Les vues recalculent les résultats à chaque query.

Le tableau suivant résume les détails importants concernant les vues :

Détail	Description
Privilèges d'utilisation	Pour accéder à une vue, un utilisateur doit disposer de USE CATALOG sur le catalogue parent et de USE SCHEMA sur le schéma parent (privilèges d'utilisation), en plus de SELECT sur la vue. L'utilisateur n'a pas besoin de privilèges sur les tables sous-jacentes que la vue interroge. Les privilèges du propriétaire de la vue sont utilisés pour résoudre les tables sous-jacentes au moment de la query. Pour les propriétaires de table, cela rend les vues utiles pour restreindre l'accès à des lignes ou des colonnes spécifiques sans exposer directement les tables sous-jacentes.
Héritage	SELECT accordé au niveau du schéma ou du catalogue s'applique à toutes les vues actuelles et futures de ce schéma ou catalogue. Voir Héritage des privilèges.

Détail	Description
Privilèges d'utilisation	Pour accéder à une vue, un utilisateur doit disposer de USE CATALOG sur le catalogue parent et de USE SCHEMA sur le schéma parent (privilèges d'utilisation), en plus de SELECT sur la vue. L'utilisateur n'a pas besoin de privilèges sur les tables sous-jacentes que la vue interroge. Les privilèges du propriétaire de la vue sont utilisés pour résoudre les tables sous-jacentes au moment de la query. Pour les propriétaires de table, cela rend les vues utiles pour restreindre l'accès à des lignes ou des colonnes spécifiques sans exposer directement les tables sous-jacentes.
Héritage	SELECT accordé au niveau du schéma ou du catalogue s'applique à toutes les vues actuelles et futures de ce schéma ou catalogue. Voir Héritage des privilèges.

Pour plus d'informations sur les vues, consultez Qu'est-ce qu'une vue ?.

Vue matérialisée

Une **vue matérialisée** est une vue qui précalcule et stocke les résultats de ses requêtes. Les résultats reflètent l'état des données au moment de la dernière actualisation de la vue matérialisée.

Le modèle d'autorisations pour les vues matérialisées est le même que celui des vues standard. En plus de SELECT et MANAGE, les vues matérialisées prennent en charge le privilège REFRESH, qui permet à un utilisateur de Trigger un refresh des résultats de la vue matérialisée. Les utilisateurs disposant uniquement de SELECT et des privilèges d'utilisation appropriés peuvent query les résultats stockés mais ne peuvent pas Trigger un refresh.

Pour plus d'informations sur les vues matérialisées, voir Vues matérialisées.

Vue métrique

Une **vue de métrique** est un objet en lecture seule qui définit un ensemble de définitions de métriques réutilisables basées sur une ou plusieurs tables, vues ou query SQL. Les utilisateurs query une vue de métrique comme ils le feraient pour une vue standard.

Le modèle d'autorisations pour les vues matérialisées est le même que celui des vues standard. Les utilisateurs ont besoin de SELECT et des privilèges d'utilisation appropriés pour interroger la vue de mesure. Les privilèges du propriétaire de la vue de métrique sont utilisés pour résoudre les sources de données sous-jacentes au moment de la query.

Pour plus d'informations sur les vues de métriques, consultez les vues de métriques de Unity Catalog.

Volume

Dans un schéma, un volume est un objet sécurisable pour les données non structurées dans le stockage cloud. Les volumes peuvent être gérés (l'emplacement de stockage est déterminé par Unity Catalog) ou externes (vous spécifiez le chemin de stockage). Contrairement aux tables et aux vues, les volumes ne prennent pas en charge les Opérations de query SQL — ils fournissent un accès en lecture et écriture au niveau du fichier aux données dans le stockage cloud. Voici les types de volumes dans Databricks :

• **Volumes gérés** sont des volumes dont le chemin d'emplacement de stockage est déterminé par Unity Catalog. Il est important de noter que les données elles-mêmes résident toujours dans votre compte cloud. Databricks recommande d'utiliser des volumes gérés pour que Unity Catalog gère automatiquement tout accès aux données.
• Les volumes externes sont des volumes où vous spécifiez le chemin d'emplacement de stockage. Vous pouvez utiliser des volumes externes si vous avez besoin d'un accès au système externe en dehors de Databricks, mais sachez que les systèmes externes peuvent contourner la gouvernance de Unity Catalog.

Le tableau suivant résume des détails importants concernant les volumes :

Détail	Description
Privilèges d'utilisation	Pour accéder aux fichiers d'un volume, un utilisateur doit disposer de USE CATALOG sur le catalogue parent et de USE SCHEMA sur le schéma parent (privilèges d'utilisation), en plus de READ VOLUME ou WRITE VOLUME sur le volume.
Accès en lecture et écriture	Utilisez READ VOLUME pour accorder la capacité de lire les fichiers et les répertoires stockés dans un volume, et WRITE VOLUME pour accorder la capacité d’ajouter, de modifier ou de supprimer des fichiers.
Héritage	READ VOLUME et WRITE VOLUME accordés au niveau du schéma ou du catalogue s'appliquent à tous les volumes actuels et futurs dans ce schéma ou catalogue. Consultez Héritage des privilèges.

Détail	Description
Privilèges d'utilisation	Pour accéder aux fichiers d'un volume, un utilisateur doit disposer de USE CATALOG sur le catalogue parent et de USE SCHEMA sur le schéma parent (privilèges d'utilisation), en plus de READ VOLUME ou WRITE VOLUME sur le volume.
Accès en lecture et écriture	Utilisez READ VOLUME pour accorder la capacité de lire les fichiers et les répertoires stockés dans un volume, et WRITE VOLUME pour accorder la capacité d’ajouter, de modifier ou de supprimer des fichiers.
Héritage	READ VOLUME et WRITE VOLUME accordés au niveau du schéma ou du catalogue s'appliquent à tous les volumes actuels et futurs dans ce schéma ou catalogue. Consultez Héritage des privilèges.

Pour plus d'informations sur les volumes, consultez Qu'est-ce que les volumes Unity Catalog ?

Fonction

Au sein d'un schéma, une **fonction** est un objet sécurisable dans Unity Catalog qui représente une logique réutilisable et exécutable. Les fonctions incluent les fonctions définies par l'utilisateur (UDF), les procédures stockées et les modèles enregistrés (modèles MLflow enregistrés dans Unity Catalog).

• Les fonctions définies par l'utilisateur (UDF) sont des fonctions personnalisées écrites en SQL ou Python qui peuvent être appelées dans des queries SQL et des notebooks. Voir Que sont les fonctions définies par l'utilisateur (UDF) ?.
• Les procédures stockées sont des routines définies par l'utilisateur qui exécutent une séquence d'instructions SQL et peuvent inclure des effets secondaires tels que l'insertion ou la mise à jour de données.
• Les modèles enregistrés sont des modèles de machine learning MLflow enregistrés dans Unity Catalog. Dans Unity Catalog, les modèles enregistrés sont implémentés comme un type de fonction. Consultez Gérer le cycle de vie des modèles dans Unity Catalog.

Le tableau suivant résume les détails importants concernant les fonctions :

Détail	Description
Privilèges d'utilisation	Pour exécuter une fonction ou charger un modèle enregistré, un utilisateur doit disposer de USE CATALOG sur le catalogue parent et de USE SCHEMA sur le schéma parent (privilèges d'utilisation), en plus de EXECUTE sur la fonction.
Le privilège EXECUTE	L'octroi de EXECUTE à un utilisateur sur une fonction lui permet d'appeler la fonction et d'afficher sa définition et ses métadonnées. Pour les modèles enregistrés, EXECUTE permet également à l'utilisateur d'afficher les métadonnées de toutes les versions du modèle enregistré et de download les fichiers de modèle.
Héritage	EXECUTE accordée au niveau du schéma ou du catalogue s'applique à toutes les fonctions actuelles et futures de ce schéma ou de ce catalogue. Voir Héritage des privilèges.

Détail	Description
Privilèges d'utilisation	Pour exécuter une fonction ou charger un modèle enregistré, un utilisateur doit disposer de USE CATALOG sur le catalogue parent et de USE SCHEMA sur le schéma parent (privilèges d'utilisation), en plus de EXECUTE sur la fonction.
Le privilège EXECUTE	L'octroi de EXECUTE à un utilisateur sur une fonction lui permet d'appeler la fonction et d'afficher sa définition et ses métadonnées. Pour les modèles enregistrés, EXECUTE permet également à l'utilisateur d'afficher les métadonnées de toutes les versions du modèle enregistré et de download les fichiers de modèle.
Héritage	EXECUTE accordée au niveau du schéma ou du catalogue s'applique à toutes les fonctions actuelles et futures de ce schéma ou de ce catalogue. Voir Héritage des privilèges.

Modèle

Un modèle est un modèle d'IA versionné ou non versionné stocké dans Unity Catalog. Un modèle est un conteneur qui peut contenir plusieurs versions. Si vous utilisez MLflow pour entraîner le modèle, les artefacts et les métadonnées de chaque exécution d'entraînement sont stockés en tant que **versions de modèle** en son sein.

Le modèle d'autorisations pour les modèles enregistrés est le même que celui des fonctions. Les privilèges supplémentaires suivants s'appliquent spécifiquement aux modèles :

• APPLY TAG: Permet d'ajouter et de modifier des balises sur un modèle et ses versions. L'utilisateur doit également disposer de USE CATALOG sur le catalogue parent et de USE SCHEMA sur le schéma parent.

• CREATE MODEL VERSION: Permet à un utilisateur d'enregistrer de nouvelles versions d'un modèle sans lui accorder la possibilité d'exécuter, de modifier ou d'ajouter des balises au modèle. L'utilisateur doit également disposer de USE CATALOG sur le catalogue parent et de USE SCHEMA sur le schéma parent.

La création d'un modèle requiert le privilège CREATE MODEL sur le schéma ou le catalogue parent. L'octroi de CREATE MODEL sur un catalogue permet de créer des modèles dans n'importe quel schéma de ce catalogue.

Pour plus d'informations sur les modèles, consultez Gérer le cycle de vie des modèles dans Unity Catalog.

Service

Au sein d'un schéma, un service est un objet sécurisable qui représente un asset d'IA gouverné et invocable. Les services vous permettent de gérer l'accès au trafic d'IA avec les mêmes privilèges que ceux que vous utilisez pour les données. Unity Catalog prend en charge les types de services suivants, actuellement en version bêta:

• Les services de modèle exposent des Endpoint LLM que vous pouvez invoquer et partager entre les Workspace. Voir Interroger les LLM et les agents sur Databricks.
• Les services MCP enregistrent les serveurs MCP afin que vous puissiez gouverner les outils utilisés par les agents. Voir Connecter des agents à des outils tiers avec des services MCP.

Le tableau suivant résume les détails importants sur les services :

Détail	Description
Privilèges d'utilisation	Pour appeler un service, un utilisateur doit disposer de USE CATALOG sur le catalogue parent et de USE SCHEMA sur le schéma parent (privilèges d'utilisation), en plus de EXECUTE sur le service.
Le privilège CREATE SERVICE	La création d'un service nécessite le privilège CREATE SERVICE sur le schéma ou le catalogue parent.
Le privilège EXECUTE	L'octroi de EXECUTE sur un service permet à un utilisateur de l'invoquer. C'est le même privilège utilisé pour les fonctions et les modèles.

Détail	Description
Privilèges d'utilisation	Pour appeler un service, un utilisateur doit disposer de USE CATALOG sur le catalogue parent et de USE SCHEMA sur le schéma parent (privilèges d'utilisation), en plus de EXECUTE sur le service.
Le privilège CREATE SERVICE	La création d'un service nécessite le privilège CREATE SERVICE sur le schéma ou le catalogue parent.
Le privilège EXECUTE	L'octroi de EXECUTE sur un service permet à un utilisateur de l'invoquer. C'est le même privilège utilisé pour les fonctions et les modèles.

Pour plus d'informations sur la gouvernance des services d'IA, consultez gouvernance de l'IA dans Unity Catalog.

Secret

Dans un schéma, un secret est un objet sécurisable qui stocke une valeur sensible, telle qu'une identification ou un jeton d'API. Les secrets vous permettent de régir l'accès aux valeurs sensibles dans Unity Catalog et de les référencer dans du code ou à partir d'autres objets Unity Catalog sans exposer la valeur. Les secrets font partie de l'espace de noms à trois niveaux (catalog.schema.secret).

Le tableau suivant résume les détails importants concernant les secrets :

Détail	Description
Privilèges d'utilisation	Pour utiliser un secret, un utilisateur doit disposer de USE CATALOG sur le catalogue parent et de USE SCHEMA sur le schéma parent (privilèges d'utilisation), en plus du privilège pertinent au niveau du secret.
Privilèges de secret	CREATE SECRET permet à un utilisateur de créer des secrets dans un schéma. READ SECRET permet à un utilisateur de récupérer une valeur secrète. WRITE SECRET permet à un utilisateur de mettre à jour une valeur secrète. REFERENCE SECRET permet à un objet Unity Catalog de référencer un secret sans en exposer la valeur à l'utilisateur.
Héritage	Les privilèges de secret accordés au niveau du catalogue ou du schéma s'appliquent à tous les secrets actuels et futurs de ce catalogue ou de ce schéma. Voir Héritage des privilèges.

Détail	Description
Privilèges d'utilisation	Pour utiliser un secret, un utilisateur doit disposer de USE CATALOG sur le catalogue parent et de USE SCHEMA sur le schéma parent (privilèges d'utilisation), en plus du privilège pertinent au niveau du secret.
Privilèges de secret	CREATE SECRET permet à un utilisateur de créer des secrets dans un schéma. READ SECRET permet à un utilisateur de récupérer une valeur secrète. WRITE SECRET permet à un utilisateur de mettre à jour une valeur secrète. REFERENCE SECRET permet à un objet Unity Catalog de référencer un secret sans en exposer la valeur à l'utilisateur.
Héritage	Les privilèges de secret accordés au niveau du catalogue ou du schéma s'appliquent à tous les secrets actuels et futurs de ce catalogue ou de ce schéma. Voir Héritage des privilèges.

Pour plus d’informations sur les secrets dans Unity Catalog, consultez Secrets dans Unity Catalog.

Fonctionnalité

info

Aperçu public

L'objet sécurisable Feature est en Public Preview.

Dans un schéma, une caractéristique est un objet sécurisable dans Unity Catalog qui représente la définition stockée d'une caractéristique de Machine Learning : ses données sources, sa logique de compute et les fenêtres temporelles utilisées pour la calculer. En tant que source de vérité gouvernée pour une caractéristique, une seule définition peut être réutilisée pour l'entraînement, la matérialisation et la diffusion, Unity Catalog assurant la traçabilité de ses données sources et des modèles qui l'utilisent.

La définition d'une fonctionnalité est une opération uniquement basée sur les métadonnées : aucune donnée de fonctionnalité n'est calculée tant que la fonctionnalité n'est pas matérialisée.

Pour plus d'informations sur les fonctionnalités, consultez Vues de fonctionnalités.

Le tableau suivant résume les détails importants sur les fonctionnalités :

Détail	Description
Privilèges d'utilisation	Pour lire une fonctionnalité, un utilisateur doit disposer de USE CATALOG sur le catalogue parent et de USE SCHEMA sur le schéma parent (privilèges d'utilisation), en plus de READ FEATURE sur la fonctionnalité.
Créer un accès	Pour créer une fonctionnalité dans un schéma, un utilisateur doit disposer du privilège CREATE FEATURE sur le schéma, ainsi que de USE CATALOG sur le catalogue parent et de USE SCHEMA sur le schéma.
Accès en lecture	READ FEATURE Permet d'accéder aux métadonnées et aux données matérialisées d'une fonctionnalité, et d'utiliser la fonctionnalité pour l'entraînement et l'inférence de modèles.
Héritage	READ FEATURE accordé au niveau du schéma ou du catalogue s'applique à toutes les fonctionnalités actuelles et futures de ce schéma ou de ce catalogue. Voir Héritage des privilèges.

Détail	Description
Privilèges d'utilisation	Pour lire une fonctionnalité, un utilisateur doit disposer de USE CATALOG sur le catalogue parent et de USE SCHEMA sur le schéma parent (privilèges d'utilisation), en plus de READ FEATURE sur la fonctionnalité.
Créer un accès	Pour créer une fonctionnalité dans un schéma, un utilisateur doit disposer du privilège CREATE FEATURE sur le schéma, ainsi que de USE CATALOG sur le catalogue parent et de USE SCHEMA sur le schéma.
Accès en lecture	READ FEATURE Permet d'accéder aux métadonnées et aux données matérialisées d'une fonctionnalité, et d'utiliser la fonctionnalité pour l'entraînement et l'inférence de modèles.
Héritage	READ FEATURE accordé au niveau du schéma ou du catalogue s'applique à toutes les fonctionnalités actuelles et futures de ce schéma ou de ce catalogue. Voir Héritage des privilèges.

Identifiant de stockage

Dans un metastore, un identifiant de stockage est un objet sécurisable qui stocke les informations d'authentification requises pour accéder à un chemin spécifique dans le stockage cloud. La méthode d'authentification stockée dépend du fournisseur de cloud : un rôle IAM sur AWS, un Service Principal sur Azure, ou un compte de service sur GCP.

Les identifiants de stockage sont le plus souvent utilisés comme élément de base pour les emplacements externes, qui associent un identifiant de stockage à un chemin d’accès de stockage cloud spécifique. Un identifiant de stockage peut également être utilisé directement pour créer des tables externes.

Pour créer un identifiant de stockage, un utilisateur a besoin du privilège CREATE STORAGE CREDENTIAL sur le métastore Unity Catalog.

Pour plus d'informations sur les identifiants de stockage, consultez Présentation des identifiants de stockage.

Emplacement externe

Dans un metastore, un emplacement externe est un objet sécurisable qui associe un identifiant de stockage à un chemin de stockage cloud. Il régit l'accès à un chemin spécifique dans le stockage cloud.

Pour créer un emplacement externe, un utilisateur doit disposer du privilège CREATE EXTERNAL LOCATION sur le métastore Unity Catalog.

Après avoir créé un emplacement externe, les utilisateurs ont besoin du privilège READ FILES pour lire les fichiers directement depuis le chemin de stockage, et du privilège WRITE FILES pour écrire les fichiers. Cependant, Databricks recommande de gérer l'accès au stockage cloud via les volumes et les privilèges READ VOLUME et WRITE VOLUME plutôt que d'accorder READ FILES et WRITE FILES directement sur les emplacements externes.

Pour plus d'informations sur les emplacements externes, consultez Aperçu des emplacements externes.

Métadonnées externes

Dans un metastore, un objet de métadonnées externes est un objet sécurisable utilisé pour définir des relations de data lineage personnalisées pour les systèmes qui fonctionnent en dehors du suivi natif du data lineage de Unity Catalog.

Pour créer un objet de métadonnées externe, un utilisateur a besoin du privilège CREATE EXTERNAL METADATA sur le metastore Unity Catalog. Pour ajouter ou modifier des relations de lignage sur l'objet, l'utilisateur a besoin de MODIFY sur l'objet de métadonnées externe, ainsi que des privilèges appropriés sur tout objet Unity Catalog référencé dans la relation.

Pour plus d'informations sur les métadonnées externes, consultez Lignage dans Unity Catalog.

Identifiant de service

Au sein d'un métastore, un identifiant de service est un objet sécurisable qui stocke les informations d'authentification pour accéder aux services cloud externes. Ceci est différent des informations d’identification de stockage, qui régissent l’accès au stockage cloud.

Pour créer un identifiant de service, un utilisateur a besoin du privilège CREATE SERVICE CREDENTIAL sur le métastore Unity Catalog.

Le privilège ACCESS permet à un utilisateur d'utiliser l'identifiant de service pour accéder à un service externe. CREATE CONNECTION sur un identifiant de service (combiné à CREATE CONNECTION sur le metastore) permet à un utilisateur de créer une connexion à une base de données externe à l'aide de cet identifiant.

Pour plus d'informations sur les identifiants de service, consultez Créer des identifiants de service.

Connexion

Dans un metastore, une connexion est un objet sécurisable qui stocke l’endpoint et les identifiants nécessaires pour accéder à un système externe. Les connexions prennent en charge les scénarios suivants :

• Query federation
• Fédération de catalogues
• Ingestion gérée
• Accès JDBC
• Services HTTP

Pour créer une connexion, un utilisateur a besoin du privilège CREATE CONNECTION sur le métastore Unity Catalog. Si la connexion utilise un identifiant de service, l'utilisateur a également besoin de CREATE CONNECTION sur cet identifiant de service.

Le privilège USE CONNECTION permet à un utilisateur de lister et d'afficher les détails de connexion, et d'utiliser la connexion pour son scénario pris en charge.

Pour plus d'informations, consultez les connexions Unity Catalog.

Partager

Au sein d'un metastore, un **partage** est un objet sécurisable dans OpenSharing qui représente un regroupement logique d'actifs de données (tables, vues et volumes). Un fournisseur peut alors rendre le partage disponible aux destinataires externes.

Le privilège SELECT sur un partage est accordé à un destinataire (pas à des utilisateurs individuels) pour permettre à ce destinataire de lire les assets du partage. Pour créer un partage, un utilisateur a besoin du privilège CREATE SHARE sur le métastore Unity Catalog.

Pour plus d'information sur les partages, consultez Créer des partages pour OpenSharing.

Fournisseur

Dans un metastore, un **fournisseur** est un objet sécurisable dans OpenSharing qui représente une organisation externe ayant partagé des données avec votre organisation. Les objets fournisseur sont créés dans le métastore Unity Catalog du destinataire. Le privilège USE PROVIDER permet à un utilisateur de visualiser tous les fournisseurs et leurs partages, et, combiné avec CREATE CATALOG, de monter un catalogue partagé sans nécessiter le rôle d'administrateur de metastore.

Pour créer un fournisseur, un utilisateur a besoin du privilège CREATE PROVIDER sur le métastore Unity Catalog.

Pour plus d'information sur les fournisseurs, consultez Qu'est-ce qu'OpenSharing ?.

Destinataire

Dans un métastore, un destinataire est un objet sécurisable dans OpenSharing qui représente une organisation externe ou un groupe d'utilisateurs avec lequel un fournisseur partage des données. Les objets destinataires sont créés dans le métastore Unity Catalog du fournisseur. Aucun privilège ne peut être accordé sur un objet destinataire lui-même. L'accès aux données partagées est contrôlé en accordant SELECT sur un partage au destinataire.

Pour créer un destinataire, un utilisateur a besoin du privilège CREATE RECIPIENT sur le métastore Unity Catalog.

Pour plus d'informations sur les destinataires, consultez Créez des destinataires de données pour OpenSharing (partage Databricks-to-Databricks).

Salle blanche

Au sein d'un metastore, une salle blanche est un objet sécurisable qui fournit un environnement sécurisé pour collaborer avec d'autres organisations sur des données partagées sans qu'aucune des parties n'expose ses données sous-jacentes à l'autre.

Pour créer une salle propre, un utilisateur a besoin du privilège CREATE CLEAN ROOM sur le metastore Unity Catalog.

Le privilège EXECUTE CLEAN ROOM TASK permet à un utilisateur d’exécuter des Notebooks dans la salle blanche et d’afficher les détails de la salle blanche. Le privilège MODIFY CLEAN ROOM permet à un utilisateur de mettre à jour la salle blanche, notamment en ajoutant ou en supprimant des assets de données, des Notebooks et des commentaires.

Pour plus d'informations sur les salles blanches, consultez Qu'est-ce que Databricks Clean Rooms ?.