Hive メタストアの特権とセキュリティ保護可能なオブジェクト

適用対象: Databricks SQL Databricks Runtime

権限は、メタストア内のセキュリティ保護可能なオブジェクトを操作するためにプリンシパルに付与される権限です。

特権モデルとセキュリティ保護可能なオブジェクトは、Unity Catalog メタストアとレガシの Hive メタストアのどちらを使用しているかによって異なります。 この記事では、レガシ Hive メタストアの特権モデルについて説明します。 Unity Catalog を使用している場合は、「Unity Catalog の権限とセキュリティ保護可能なオブジェクト」を参照してください。

Hive メタストアのセキュリティ保護可能なオブジェクト

セキュリティ保護可能なオブジェクトは、プリンシパルに特権を付与できるメタストアで定義されているオブジェクトです。

オブジェクトに対する特権を管理するには、その所有者または管理者である必要があります。

構文

  securable_object
    { ANY FILE |
      CATALOG [ catalog_name ] |
      { SCHEMA | DATABASE } schema_name |
      FUNCTION function_name |
      [ TABLE ] table_name |
      VIEW view_name
      }

パラメーター

• ANY FILE

  基になるファイルシステムへのアクセスを制御します。

• CATALOG catalog_name

  データ カタログ全体へのアクセスを制御します。

• { SCHEMA | DATABASE } schema_name

  スキーマへのアクセスを制御します。

• FUNCTION function_name

  名前付き関数へのアクセスを制御します。

• [ TABLE ] table_name

  マネージドまたは外部のテーブルへのアクセスを制御します。

• VIEW ビュー名

  SQL ビューへのアクセスを制御します。

継承モデル

Hive メタストアのセキュリティ保護可能なオブジェクトは階層構造であり、特権は下位に継承されます。 つまり、CATALOG に対する特権を許可または拒否すると、カタログ内のすべてのスキーマに対する特権が自動的に許可または拒否されます。 同様に、スキーマ オブジェクトに付与された特権は、そのスキーマ内のすべてのオブジェクトによって継承されます。 このパターンは、セキュリティ保護可能なオブジェクトすべてに該当します。

テーブルに対するユーザー権限を拒否した場合、スキーマ内のすべてのテーブルを一覧表示しようとしても、ユーザーはテーブルを表示できません。 スキーマに対するユーザー権限を拒否した場合、カタログ内のすべてのスキーマを一覧表示しようとしてスキーマが存在することをユーザーに確認できません。

特権の種類

次の表に、どの特権がどのセキュリティ保護可能なオブジェクトに関連しているかを示します。

• ALL PRIVILEGES

  セキュリティ保護可能なオブジェクトとその子オブジェクトに適用可能なすべての権限を、明示的に指定せずに付与または取り消すために使用されます。 これにより、アクセス許可のチェックが行われた時点で使用可能なすべての特権に拡張されます。

• CREATE

  カタログまたはスキーマ内にオブジェクトを作成します。

• MODIFY

  テーブルの COPY INTO、UPDATEDELETE、INSERT、または MERGE INTO を行います。

  securable_object が hive_metastore であるか、その中のスキーマである場合、MODIFY を付与すると、そのセキュリティ保護可能なオブジェクト内のすべての現在および将来のテーブルとビューに対する MODIFY が許可されます。

• READ_METADATA

  SHOW でセキュリティ保護可能なオブジェクトを検出し、DESCRIBE でそのオブジェクトに対して問い合わせます

  セキュリティ保護可能なオブジェクトが hive_metastore カタログであるか、その中のスキーマである場合、READ_METADATA を付与すると、そのセキュリティ保護可能なオブジェクト内のすべての現在および将来のテーブルとビューに対する READ_METADATA が許可されます。

• READ FILES

  ストレージ資格情報または外部の場所を使用して、ファイルに直接クエリを実行します。

• SELECT

  テーブルまたはビューに対してクエリを実行するか、ユーザー定義または匿名の関数を呼び出すか、ANY FILE を選択します。 ユーザーは、テーブル、ビュー、または関数の SELECT と、オブジェクトのスキーマとカタログの USAGE が必要です。

  セキュリティ保護可能なオブジェクトが hive_metastore であるか、その中のスキーマである場合、SELECT を付与すると、そのセキュリティ保護可能なオブジェクト内のすべての現在および将来のテーブルとビューに対する SELECT が許可されます。

• USAGE

  必須ですが、カタログまたはスキーマ内のオブジェクトを参照するには十分ではありません。 プリンシパルには、個々のセキュリティ保護可能なオブジェクトに対する特権も必要です。

• WRITE FILES

  COPY INTOまたは外部の場所によって管理されているファイルの を直接行います。

例

-- Grant a privilege to the user alf@melmak.et
> GRANT SELECT ON TABLE t TO `alf@melmak.et`;

-- Revoke a privilege from the general public group.
> REVOKE USAGE ON SCHEMA some_schema FROM `alf@melmak.et`;

関連項目

• GRANT
• プリンシパル
• REVOKE
• DENY