Políticas ABAC DENY no Unity Catalog no Databricks

As políticas ABAC DENY no Unity Catalog permitem negar de forma explícita o privilégio de gerenciamento de acesso a usuários, grupos ou service principals com base em condições de tags. Elas sempre prevalecem sobre qualquer permissão concedida.

Para que serve

Imagine que você precisa impedir que usuários comuns alterem permissões em tabelas marcadas como sensíveis, garantindo que apenas a equipe de segurança tenha esse poder. Com essas políticas, você pode:

• Bloquear a concessão e revogação de privilégios em tabelas, schemas ou catálogos.
• Impedir alterações na propriedade de objetos.
• Bloquear a gestão de políticas ABAC, filtros de linha e máscaras de coluna.

Como usar

Você pode criar uma política DENY usando comandos SQL em um recurso de computação clássico rodando Databricks Runtime 18 ou superior.

CREATE POLICY deny_manage_access_control_sensitive_tables
ON CATALOG catalog_a
COMMENT 'Prevent non-admins from managing permissions on sensitive tables'
TO `account users`
EXCEPT `data_admins`
DENY MANAGE ACCESS CONTROL
FOR TABLES
WHEREE has_tag('sensitive');

O que acontece nesse código:

1. A instrução CREATE POLICY define uma nova regra de negação chamada deny_manage_access_control_sensitive_tables vinculada ao catálogo catalog_a.
2. A cláusula TO aplica a restrição a todos os usuários da conta (account users), exceto o grupo data_admins.
3. O comando DENY MANAGE ACCESS CONTROL FOR TABLES bloqueia a capacidade de gerenciar permissões especificamente nas tabelas.
4. A condição WHEN has_tag('sensitive') restringe o escopo apenas aos objetos que possuem a tag sensitive.

Limitações e requisitos

• O recurso está em estágio Beta.
• Requer um recurso de computação clássico rodando Databricks Runtime 18 LTS ou superior para execução via SQL.
• Apenas o privilégio MANAGE ACCESS CONTROL é suportado atualmente.
• Administradores do metastore são sempre implicitamente isentos.