Pular para o conteúdo principal
Última atualização em

Políticas ABAC GRANT para modelos (Beta)

info

Beta

As políticas ABAC GRANT estão em Beta. Na versão Beta, as políticas GRANT podem conceder o privilégio EXECUTE em modelos, aplicadas no nível do catálogo ou do esquema. Privilégios adicionais e tipos protegíveis serão suportados em versões futuras.

Esta página descreve as políticas ABAC GRANT, que concedem dinamicamente privilégios do Unity Catalog a objetos protegíveis cujas tags governadas correspondem a uma condição. Abrange como criar, editar, listar e excluir no Catalog Explorer, no SQL e no Databricks SDK, como as políticas GRANT interagem com as concessões diretas, e o escopo e as limitações do Beta atual.

Para uma visão geral do ABAC e de conceitos essenciais, incluindo tags governadas e funções integradas como has_tag e has_tag_value, consulte Conceitos essenciais para controle de acesso baseado em atributo (ABAC).

Compute requirements​

Criar, modificar ou descartar políticas GRANT com SQL requer um cluster compute clássico executando o Databricks Runtime 18.3 ou acima.

O que é uma GRANT policy​

Uma política GRANT é uma política de controle de acesso baseada em atributos que concede dinamicamente privilégios do Unity Catalog a objetos protegíveis cujas tags governadas correspondem à condição da política. O Unity Catalog avalia a WHEN condição da política em relação às tags governadas em cada objeto seguro no escopo da política sempre que o acesso é verificado e concede o privilégio em cada objeto seguro que corresponde.

Em comparação, instruções diretas GRANT atribuem privilégios a objetos protegíveis identificados pelo seu namespace de três níveis (catalog.schema.object).

Na versão Beta, as políticas de GRANT suportam um privilégio em um tipo de recurso protegível: EXECUTE em modelos. Tanto os modelos MLflow registrados pelo cliente quanto os modelos de base hospedados pelo Databricks em system.ai são cobertos. Consulte gerenciar o ciclo de vida do modelo no Unity Catalog para saber como os modelos MLflow são registrados no Unity Catalog, e acessar modelos de IA generativa e LLM do Unity Catalog para modelos de base hospedados no Databricks.

As políticas GRANT podem fazer referência a tags controladas que você cria ou tags do sistema predefinidas pela Databricks em suas condições.

Por exemplo, a política a seguir usa a lifecycle tag controlada aplicada a modelos MLflow registrados pelo cliente em production.ml_models. A política concede EXECUTE apenas a modelos marcados com lifecycle = 'production':

SQL
CREATE POLICY grant_production_model_access
ON SCHEMA production.ml_models
COMMENT 'Grant EXECUTE on production MLflow models'
TO `analysts`
GRANT EXECUTE FOR MODELS
WHEN has_tag_value('lifecycle', 'production');

A seguinte política concede EXECUTE em modelos de base hospedados pela Anthropic em system.ai a data_scientists, exceto contractors, ao corresponder à tag de sistema ai.model_creator. Todo modelo que carrega ai.model_creator = 'anthropic' é coberto, sem uma concessão separada por modelo:

SQL
CREATE POLICY grant_anthropic_foundation_models
ON SCHEMA system.ai
COMMENT 'Grant EXECUTE on Anthropic foundation models'
TO `data_scientists`
EXCEPT `contractors`
GRANT EXECUTE FOR MODELS
WHEN has_tag_value('ai.model_creator', 'anthropic');

O acesso equivalente usando concessões diretas requer uma instrução por modelo em system.ai, reemitida à medida que a Databricks adiciona novos modelos da Anthropic:

SQL
GRANT EXECUTE ON MODEL `system`.`ai`.`databricks-claude-sonnet-4-6` TO `data_scientists`;
GRANT EXECUTE ON MODEL `system`.`ai`.`databricks-claude-opus-4-7` TO `data_scientists`;
GRANT EXECUTE ON MODEL `system`.`ai`.`databricks-claude-haiku-4-5` TO `data_scientists`;

As políticas GRANT diferem das políticas de filtro de linha e de máscara de coluna de duas maneiras:

  • As políticas de filtros de linha e máscaras de coluna restringem o conteúdo de dados ao qual um usuário já tem acesso. GRANT políticas determinam se o usuário pode acessar o objeto.
  • As políticas de filtro de linha e de máscara de coluna exigem uma função definida pelo usuário (UDF) para implementar o filtro ou a máscara. As políticas GRANT não utilizam UDFs. A condição é expressa em linha na definição de política.

Como as políticas GRANT interagem com as concessões diretas​

Os privilégios efetivos em um objeto são a união de concessões diretas e quaisquer políticas de GRANT aplicáveis. Um principal possui EXECUTE em um modelo quando o seguinte for verdadeiro:

  • Uma política GRANT anexada ao catálogo ou esquema do modelo lista o principal em TO (e não em EXCEPT), e a condição WHEN da política corresponde às tags no modelo.
  • Um GRANT EXECUTE direto no modelo, em seu esquema ou em seu catálogo está em vigor para esse principal, seja concedido diretamente, por meio de associação a grupos ou por meio de outros privilégios administrativos.

Como o acesso é a união dessas fontes, uma política GRANT mais seletiva não significa que um principal excluído não tenha EXECUTE. O principal ainda pode deter o privilégio por meio de uma concessão direta no modelo, ou em seu esquema pai ou catálogo pai. Caso se pretenda utilizar políticas GRANT como a principal forma de controlar EXECUTE em modelos, primeiramente, determine se quaisquer concessões diretas já existentes possam sobrepor a política:

  • Use SHOW EFFECTIVE POLICIES ON SCHEMA <parent_schema> (ou ON CATALOG <parent_catalog>) para listar cada política GRANT cujo escopo abrange os modelos nesse esquema ou catálogo. SHOW EFFECTIVE POLICIES não oferece suporte direto a ON MODEL. A REST API equivalente é GET /api/2.1/unity-catalog/policies/{on_securable_type}/{on_securable_fullname}?include_inherited=true (Python SDK: w.policies.list_policies(..., include_inherited=True)).
  • Use SHOW GRANTS no modelo e em seus ancestrais para enumerar concessões diretas. A API REST equivalente para concessões diretas em um objeto seguro é GET /api/2.1/unity-catalog/permissions/{securable_type}/{full_name} (SDK Python: w.grants.get(...)); para a união de concessões diretas e herdadas, use GET /api/2.1/unity-catalog/effective-permissions/{securable_type}/{full_name} (SDK Python: w.grants.get_effective(...)).

Criar uma política GRANT​

É possível criar uma política GRANT pela interface de usuário do Explorador de Catálogos, com a instrução SQL CREATE POLICY, ou com o Databricks SDK.

Para criar uma política GRANT, é necessário ter MANAGE no catálogo ou esquema onde a política está anexada, ou ser o proprietário desse objeto protegível.

  1. No seu Databricks workspace, clique em Ícone de dados. Catálogo .

  2. Selecione o catálogo ou esquema no qual deseja vincular a política. As políticas GRANT em versão Beta só podem ser anexadas no nível de catálogo ou esquema.

  3. Clique na guia Políticas .

  4. Clique em Nova política .

  5. Em **Identificação da Política**, insira um **Nome da política** e uma **Descrição** opcional.

  6. Em Entidades e escopo :

    • Em Aplicado a , selecione as entidades (usuários, grupos ou entidades de serviço) às quais a política se aplica.
    • Em **Exceto por**, selecione opcionalmente os principais a serem excluídos da política.
    • Em **Escopo**, confirme o catálogo ou esquema onde a política está vinculada.

  7. Em **Tipo de política**, selecione **Conceder acesso**.

  8. Em objetos protegíveis , selecione modelo . Na versão Beta, o Modelo é o único tipo securitizável compatível com políticas GRANT. Os outros tipos na lista (tabela, volume, esquema, catálogo) não podem ser combinados com conceder acesso.

  9. Em Condição , escolha como definir o escopo da política para modelos no catálogo ou esquema selecionado:

    • Nenhuma condição aplica a política a todos os modelos no catálogo ou esquema selecionado.
    • Recursos protegíveis que correspondem a qualquer uma dessas tags aplica a política somente a modelos que contêm pelo menos uma das tags controladas selecionadas.
    • Recursos que correspondem a uma expressão personalizada permitem escrever uma expressão baseada em tags para determinar a quais modelos a política se aplica. Consulte Condições e funções integradas para as funções de condição disponíveis.

  10. Em **Privilégios**, selecione **EXECUTAR**. EXECUTE é o único privilégio suportado para modelos em Beta.

  11. Clique em Mostrar código para revisar a instrução SQL equivalente antes de salvar e, depois, clique em Criar política .

Editar uma política GRANT​

  1. No seu Databricks workspace, clique em Ícone de dados. Catálogo .
  2. Selecione o catálogo ou o esquema ao qual a política está vinculada.
  3. Clique na guia Políticas .
  4. Selecione a política que deseja editar.
  5. Atualize os campos que deseja modificar.
  6. Clique na **Política de Atualização**.

Excluir política de GRANT​

  1. No seu Databricks workspace, clique em Ícone de dados. Catálogo .
  2. Selecione o catálogo ou o esquema ao qual a política está vinculada.
  3. Clique na guia Políticas .
  4. Selecione a política.
  5. Clique em Excluir política .

Mostrar políticas​

Use SHOW POLICIES para listar as políticas definidas em um objeto protegível. Use o SHOW EFFECTIVE POLICIES para incluir também políticas herdadas de escopos pai, como políticas de nível de catálogo que afetam um esquema.

SQL
SHOW [EFFECTIVE] POLICIES ON { CATALOG | SCHEMA } securable_name

O resultado inclui o nome da política, o tipo de política e o catálogo ou esquema onde cada política é definida. As políticas GRANT são retornadas com o tipo de política GRANT juntamente com quaisquer políticas de filtro de linha e máscara de coluna anexadas no mesmo escopo. A coluna table é preenchida apenas para políticas no escopo da tabela (filtro de linha e máscara de coluna); para políticas GRANT anexadas a um catálogo ou esquema, é NULL.

Exemplo:

SQL
SHOW EFFECTIVE POLICIES ON SCHEMA system.ai;

nome da política

tipo de política

catálogo

esquema

tabela

Comentário

Conceder Modelos de Base da Anthropic

Conceder

Sistema

AI

null

Conceder permissão de execução sobre modelos básicos da Anthropic

SHOW GRANTS não inclui privilégios concedidos por meio de uma política de GRANT. Para ver todo o acesso EXECUTE a um modelo, combine a saída SHOW GRANTS para o modelo com as políticas GRANT retornadas por SHOW EFFECTIVE POLICIES em seu esquema ou catálogo principal.

Descrever uma política​

Utilize DESCRIBE POLICY para visualizar os detalhes de uma política GRANT específica. Requer MANAGE no objeto protegível de destino ou propriedade do objeto.

SQL
{ DESC | DESCRIBE } POLICY policy_name ON { CATALOG | SCHEMA } securable_name

O resultado mostra as propriedades da política como pares key-value, incluindo nome, tipo de objeto protegível, nome do objeto protegível, entidades, privilégios e a condição WHEN.

Exemplo:

SQL
DESCRIBE POLICY grant_anthropic_foundation_models ON SCHEMA system.ai;

info_name

valor da informação

Nome

Conceder Modelos de Base da Anthropic

Tipo Protegível

Esquema

No Securable

system.ai

Para principals

cientistas de dados

Exceto principals

prestadores de serviço

Para o Tipo Seguro

Modelo

Tipo de política

Conceder

Privilégios Concedidos

Executar

Quando Condição

has_tag_value('ai.model_creator', 'anthropic')

Cotas de política​

Recursos

Limite

Políticas por metastore

10.000

Políticas por catálogo ou esquema

100

Essas cotas são separadas das cotas para políticas de filtro de linha e de máscara de coluna.

Registro de auditoria​

As operações GRANT de criação, alteração e descarte de políticas são registradas sob as mesmas ações createPolicy, deletePolicy, getPolicy e listPolicies que as políticas de filtro de linha e de máscara de coluna. Consulte Registro de auditoria para obter exemplos de consultas de log de auditoria.

Práticas recomendadas​

As seguintes recomendações ajudam a projetar políticas GRANT que são mais fáceis de manter, auditar e justificar.

  • Use grupos em TO e EXCEPT, não usuários individuais. Adicionar ou remover usuários de um grupo nomeado em uma política muda a quem a política se aplica, sem editar a política.
  • Anexe as políticas no menor escopo que abranja os alvos. Utilize o escopo mais restrito que contém os recursos aos quais a política deve ser aplicada. Um escopo mais amplo incorpora recursos protegíveis não relacionados à correspondência de tags da política e pode conceder acesso onde não se pretendia.
  • Utilize a herança de tags para defaults seguros. Os valores de tag padrão devem ser aplicados no catálogo ou esquema pai para que os descendentes os herdem. A tag herdada deve ser sobrescrita apenas nos objetos específicos que precisam de um valor diferente. Combine isso com EXCEPT para lidar com exceções controladas a uma política.
  • Não misture políticas GRANT e concessões diretas para o mesmo privilégio. Para um determinado privilégio em um securable, escolha políticas GRANT ou concessões diretas, não ambos. As políticas de GRANT se unem às concessões diretas; portanto, misturá-las no mesmo recurso protegível dificulta a compreensão de quem tem acesso e a auditoria das alterações.
  • Use concessões diretas para USE CATALOG e USE SCHEMA, políticas GRANT para EXECUTE. Políticas GRANT não concedem os pré-requisitos USE CATALOG e USE SCHEMA necessários para acessar um modelo. Conceda-os diretamente e use uma política GRANT para definir o escopo de EXECUTE em modelos individuais por tag.

Limitações​

  • Apenas o privilégio EXECUTE em modelos é suportado. CREATE MODEL, CREATE MODEL VERSION e APPLY TAG não são suportados por políticas GRANT e devem ser concedidos diretamente.
  • As permissões de pré-requisito USE SCHEMA e USE CATALOG, que um usuário precisa para acessar um modelo, não são suportadas pelas políticas GRANT e devem ser concedidas diretamente.
  • Uma política pode ser anexada ao catálogo ou ao esquema, e não ao modelo.
  • SHOW GRANTS não retorna privilégios concedidos por uma política GRANT.
  • INFORMATION_SCHEMA não inclui políticas GRANT.
  • A exclusão de um modelo ou de uma versão do modelo não é contemplada pelas políticas GRANT. Consulte Gerenciar o ciclo de vida do modelo no Unity Catalog para saber como excluir versões e modelos de modelo.
  • Não é possível usar Delta Sharing para compartilhar modelos que têm políticas GRANT definidas neles.

Mais informações​

Consulte também Gerenciar privilégios no Unity Catalog.

Nesta página