READ METADATA passa a funcionar em perfis de segurança de conformidade

O privilégio READ METADATA do Unity Catalog agora é compatível com todos os padrões do compliance security profile da Databricks. O recurso passa a vir habilitado por padrão em workspaces que utilizam esse perfil de segurança.

Para que serve

Imagine que a sua empresa atua em um segmento regulado e utiliza o perfil de conformidade da Databricks para atender a padrões de auditoria. Antes dessa liberação, ambientes com essa restrição não podiam aproveitar totalmente esse privilégio específico de auditoria.

Com o READ METADATA, você consegue:

• Permitir que times de segurança e governança inspecionem permissões, filtros de linha, máscaras de coluna e políticas ABAC de tabelas e esquemas.
• Conceder visibilidade da estrutura e governança dos ativos sem conceder permissão de leitura sobre os dados reais (SELECT).

Como usar

Você concede o privilégio via SQL em objetos protegíveis do Unity Catalog, como catálogos, esquemas ou diretamente no metastore:

GRANT READ METADATA ON CATALOG meu_catalogo TO `grupo_seguranca`;

O que acontece nesse código:

1. Concede a permissão READ METADATA no catálogo meu_catalogo para o grupo grupo_seguranca.
2. Usuários desse grupo conseguem inspecionar as configurações de acesso e políticas do catálogo e de seus objetos filhos.
3. O acesso de leitura aos registros das tabelas continua bloqueado, pois o privilégio SELECT não foi concedido.

Limitações e requisitos

• O workspace precisa estar com o perfil de segurança de conformidade (compliance security profile) habilitado.
• O privilégio ALL PRIVILEGES não inclui READ METADATA; ele deve ser atribuído explicitamente.
• Quando concedido no nível do metastore, o privilégio READ METADATA é herdado por todos os objetos filhos.