APRENDER. PRATICAR. EVOLUIR.Conceito e mecanismo
Unity Catalog organiza catálogo, schema e objetos. Para consultar uma tabela, os privilégios de utilização dos contentores e o acesso aos dados têm funções diferentes; USE CATALOG por si só não concede SELECT. Usa grupos e service principals apropriados e inspeciona concessões diretas e herdadas. Revogar uma concessão na tabela não elimina uma concessão independente herdada de um schema. Uma tabela gerida tem ciclo de vida dos ficheiros controlado pela plataforma; numa tabela externa, DROP remove metadata sem apagar os ficheiros. O acesso direto ao armazenamento externo pode contornar as políticas de consulta de Unity Catalog, pelo que também são necessários controlos na cloud.
Aplicação guiada
Num caso fictício, analistas devem ver apenas a sua região e identificadores mascarados. Row filters e column masks tratam conteúdo visível; ABAC permite associar políticas a atributos expressos por governed tags. Controla quem atribui tags e valida identidades autorizadas e não autorizadas. O guia de exame menciona DENY, mas o comando SQL legado DENY aplica-se a hive_metastore e não a Unity Catalog. As políticas ABAC DENY em beta são diferentes e, na documentação consultada, limitam MANAGE ACCESS CONTROL, não SELECT ou MODIFY. Não inventes um DENY SELECT universal para resolver uma concessão ampla. Ao retirar tabelas geridas, confirma o período de recuperação aplicável antes da eliminação assíncrona dos ficheiros; sete dias é o valor por defeito, não uma regra imutável.
Revogar um acesso direto pode deixar acesso herdado ativo.
Armadilhas comuns
USE como SELECT; DROP externo como apagamento; tags sem governação; DENY legado aplicado a UC.
Tópicos relacionados: Plataforma, compute e contratos de dados · Ingestão incremental, estado e esquema · Transformação, granularidade e qualidade
Verifica acesso efetivo, âmbito da política e destino real dos dados.
Referência: Manage Unity Catalog privileges · 2026-05-04