gerenciar Unity Catalog propriedade de objetos

Cada objeto securizável no Unity Catalog tem um proprietário. O proprietário pode ser qualquer entidade principal: um usuário, uma entidade de serviço ou um grupo account. O principal que cria um objeto se torna seu proprietário inicial. O proprietário de um objeto tem todos os privilégios sobre o objeto, como SELECT e MODIFY em uma tabela, além da permissão para conceder privilégios a outros diretores. O proprietário de um objeto tem a capacidade de soltar o objeto.

Privilégios do proprietário

Os proprietários de um objeto recebem automaticamente todos os privilégios sobre esse objeto. Além disso, os proprietários de objetos podem conceder privilégios sobre o próprio objeto e sobre todos os seus objetos secundários. Isso significa que os proprietários de um esquema não têm automaticamente todos os privilégios sobre as tabelas no esquema, mas podem conceder a si mesmos privilégios sobre essas tabelas.

nota

Há uma exceção à regra de que os proprietários têm todos os privilégios em um objeto: para evitar a exfiltração acidental de dados, os proprietários de esquemas não têm o privilégio EXTERNAL USE SCHEMA pelo site default. Consulte Habilitar acesso a dados externos no Unity Catalog.

Propriedade da Metastore e do catálogo

Os administradores da Metastore são os proprietários da metastore. A função de administrador do metastore é opcional. Os administradores da Metastore podem reatribuir a propriedade da metastore transferindo a função de administrador da metastore, consulte Atribuir um administrador da metastore.

Se o seu workspace foi ativado para Unity Catalog automaticamente, o workspace é anexado a um metastore por default e um catálogo workspace é criado para o seu workspace no metastore. Os administradores do espaço de trabalho são os proprietários do default e podem reatribuir a propriedade do catálogo workspace. Nesses espaços de trabalho, não há nenhum administrador de metastore atribuído por default, mas os administradores de account podem conceder a função de administrador de metastore, se necessário. Consulte administradores do Metastore.

Para obter mais informações sobre privilégios de administrador em Unity Catalog, consulte Privilégios de administrador em Unity Catalog.

Propriedade versus o privilégio MANAGE

MANAGE (Visualização pública) é um privilégio semelhante à propriedade de um objeto. Ele concede ao usuário a capacidade de editar, soltar e gerenciar privilégios no objeto. No entanto, os usuários com o privilégio MANAGE em um objeto não recebem automaticamente todos os privilégios nesse objeto. Assim como acontece com outros privilégios, os usuários precisam de USE CATALOG no catálogo principal do objeto e USE SCHEMA no esquema principal do objeto. Por exemplo, para conceder permissões em uma tabela, os usuários devem ter o privilégio MANAGE nessa tabela e os privilégios USE CATALOG em seu catálogo principal, junto com os privilégios USE SCHEMA em seu esquema pai.

O proprietário de um objeto só pode ser um único principal, incluindo um grupo, enquanto MANAGE pode ser concedido a vários diretores.

Para evitar o aumento acidental de privilégios, ALL PRIVILEGES não inclui o privilégio MANAGE

visualizar o proprietário de um objeto

O senhor pode usar o Catalog Explorer ou as instruções SQL para view o proprietário de um objeto.

Permissões necessárias : Qualquer usuário com o privilégio BROWSE no objeto ou um pai do objeto pode view o proprietário do objeto.

Catalog Explorer

1. In your Databricks workspace, click Catalog.

2. Select the object, such as a catalog, schema, table, view, volume, external location, or storage credential.

   How to navigate to the object depends on the object. Catalogs, schemas, and the contents of schemas (such as tables and volumes) are selectable in the left Catalog pane. You can find other objects, such as external locations or Delta Sharing shares, by clicking the gear icon above the Catalog pane and selecting the object category from the menu.

   For most objects, the owner is displayed on the Overview tab on the object details page. For some objects, such as external locations, it is displayed at the top of the object details page.

SQL

Run the following SQL command in a notebook or SQL query editor. Replace the placeholder values:

• <securable-type>: The type of securable, such as CATALOG or TABLE.
• <catalog>: The parent catalog if you are viewing a schema or the contents of a schema.
• <schema>: The parent schema if you are viewing the contents of a schema, such as a table or view.
• <securable-name>: The name of the securable object.

DESCRIBE <securable-type> EXTENDED <catalog>.<schema>.<securable-name>;

Transferir propriedade

O senhor pode usar o Catalog Explorer ou as instruções SQL para view o proprietário de um objeto.

Permissões necessárias : você pode transferir a propriedade do objeto se for o proprietário atual, um administrador da metastore, o proprietário do contêiner (o catálogo de um esquema, o esquema de uma tabela) ou um usuário com o privilégio MANAGE no objeto. Os objetos de compartilhamento Delta Sharing são uma exceção: os diretores com os privilégios USE SHARE e SET SHARE PERMISSION também podem transferir a propriedade do compartilhamento.

nota

Para evitar o aumento de privilégios, somente um administrador de metastore pode transferir a propriedade de um view, função ou modelo para qualquer usuário, entidade de serviço ou grupo no account. Proprietários e usuários atuais com o privilégio MANAGE estão restritos a transferir a propriedade para seu nome de usuário ou para um grupo do qual sejam membros.

Catalog Explorer

1. In your Databricks workspace, click Catalog.

2. Select the object, such as a catalog, schema, table, view, external location, or storage credential.

   How to navigate to the object depends on the object. Catalogs, schemas, and the contents of schemas (such as tables and volumes) are selectable in the left Catalog pane. You can find other objects, such as external locations or Delta Sharing shares, by clicking the gear icon above the Catalog pane and selecting the object category from the menu.

   For most objects, the owner is displayed on the Overview tab on the object details page. For some objects, such as external locations, it is displayed at the top of the object details page.

3. Click the edit icon next to the Owner.

4. Search for and select a group, user, or service principal.

5. Click Save.

SQL

Run the following SQL command in a notebook or SQL query editor. Replace the placeholder values:

• <securable-type>: The type of securable object, such as CATALOG or TABLE. METASTORE is not supported as a securable object in this command.
• <securable-name>: The name of the securable. If you are modifying a schema or the contents of a schema, you must use the complete three-level namespace (catalog.schema.object), unless you have already specified the parent catalog and/or schema.
• <principal> is a user, service principal (represented by its applicationId value), or group. You must enclose users, service principals, and group names that include special characters in backticks (` `). See Principal.

SQL

ALTER <securable-type> <securable-name> OWNER TO <principal>;

For example, to transfer ownership of the orders table to the accounting group:

SQL

ALTER TABLE mycatalog.myschema.orders OWNER TO `accounting`;