Políticas ABAC em nível de metastore no Unity Catalog

As políticas de controle de acesso baseado em atributos (ABAC) no Unity Catalog agora podem ser aplicadas diretamente no nível do metastore. Isso permite que equipes de governança criem regras de proteção de dados válidas para toda a organização, abrangendo automaticamente todos os catálogos atuais e futuros.

Para que serve

Imagine que você precisa mascarar números de seguro social em qualquer tabela da organização que possua uma tag específica, sem precisar configurar a mesma regra manualmente em cada catálogo.

• Aplicar filtros de linha ou máscaras de coluna globalmente.
• Definir regras de permissão GRANT e DENY para todo o metastore.
• Garantir que novos catálogos herdem automaticamente as proteções de dados.

Como usar

Você pode criar uma política em nível de metastore usando a interface do Catalog Explorer, a API REST ou comandos SQL executados em clusters com Databricks Runtime 19 ou superior.

CREATE POLICY ssn_mask
ON METASTORE
COLUMN MASK ssn_to_last_nr
TO `account users` EXCEPT `HR admins`
FOR TABLES
MATCH COLUMNS has_tag('ssn') AS ssn
ON COLUMN ssn
USING COLUMNS (4);

O que acontece nesse código:

1. O comando CREATE POLICY define uma nova regra de segurança.
2. O modificador ON METASTORE aplica a diretiva no escopo mais alto da hierarquia.
3. A cláusula MATCH COLUMNS usa a função de tag para identificar colunas sensíveis.
4. A máscara oculta os dados para todos os usuários, exceto para o grupo de administradores de RH.

Limitações e requisitos

• O recurso está em estágio Beta.
• Exige Databricks Runtime 19 ou superior para comandos SQL.
• Apenas administradores do metastore podem criar, atualizar ou excluir essas políticas.
• Políticas GRANT e DENY não podem ser aplicadas a objetos fora de catálogos (como external locations, storage credentials ou shares).
• O disaster recovery gerenciado pelo Unity Catalog não replica políticas em nível de metastore para regiões secundárias automaticamente.

Como aplicar num pipeline

Essa funcionalidade entra na camada de governança e segurança, garantindo que tabelas Bronze, Silver e Gold recebam regras automáticas de proteção assim que forem criadas, sem esforço adicional de engenharia.