Поделиться через

Привилегии и защищаемые объекты в хранилище метаданных Hive

  • Статья

Область применения: флажок Databricks SQL флажок Databricks Runtime

Привилегия — это право, предоставленное субъекту для работы с защищаемым объектом в хранилище метаданных.

Модель привилегий и защищаемые объекты различаются в зависимости от того, используется ли хранилище метаданных каталога Unity или устаревшее хранилище метаданных Hive. В этой статье описывается модель привилегий для устаревшего хранилища метаданных Hive. Если вы используете каталог Unity, ознакомьтесь с правами и защищаемыми объектами в каталоге Unity.

Защищаемые объекты в хранилище метаданных Hive

Защищаемый объект — это объект, определенный в хранилище метаданных, в отношении которого субъекту могут быть предоставлены привилегии.

Для управления привилегиями для любого объекта необходимо быть его владельцем или администратором.

Синтаксис

  securable_object
    { ANY FILE |
      CATALOG [ catalog_name ] |
      { SCHEMA | DATABASE } schema_name |
      FUNCTION function_name |
      [ TABLE ] table_name |
      VIEW view_name
      }

Параметры

  • ANY FILE

    Управляет доступом к базовой файловой системе.

  • CATALOGcatalog_name

    Управляет доступом ко всему каталогу данных.

  • { SCHEMA | DATABASE }schema_name

    Управляет доступом к схеме.

  • FUNCTIONfunction_name

    Управляет доступом к именованной функции.

  • [ TABLE ]table_name

    Управляет доступом к управляемой или внешней таблице.

  • VIEWview_name

    Управляет доступом к представлениям SQL.

Модель наследования

Защищаемые объекты в хранилище метаданных Hive являются иерархическими и привилегиями наследуются вниз. Это означает, что предоставление или отклонение привилегий для объекта CATALOG автоматически предоставляет или запрещает привилегию для всех схем в каталоге. Аналогичным образом, привилегии, предоставленные для объекта схемы, наследуются всеми объектами в этой схеме. Этот принцип соблюдается для всех защищаемых объектов.

Если вы отклоните привилегии пользователя для таблицы, пользователь не увидит таблицу при получении списка всех таблицы в схеме. Если вы отклоните привилегии пользователя для схемы, пользователь не увидит схему при получении списка всех схем в каталоге.

Типы привилегий

В следующей таблице показано, какие привилегии связаны с защищаемыми объектами.

Тип привилегии ANONYMOUS FUNCTION ANY FILE CATALOG СХЕМА FUNCTION TABLE ВИД
CREATE Да Да
MODIFY Да Да Да Да
READ_METADATA Да Да Да Да
SELECT Да Да Да Да Да Да Да
ИСПОЛЬЗОВАНИЕ Да Да

  • ALL PRIVILEGES

    Используется для предоставления или отзыва всех привилегий, применимых к защищаемому объекту и его дочерним объектам без явного указания их. Это распространяется на все доступные привилегии во время проверки разрешений.

  • CREATE

    Создание объектов в каталоге или схеме.

  • MODIFY

    COPY INTO, UPDATE DELETE, INSERT или MERGE INTO the table.

    Если securable_object является hive_metastore или схемой в нем, то при предоставлении привилегии MODIFY будет предоставляться привилегия MODIFY ко всем текущим и будущим таблицам и представлениям в защищаемом объекте.

  • READ_METADATA

    Обнаружение защищаемого объекта в окне SHOW и опрос объекта в DESCRIBE

    Если защищаемый объект является каталогом hive_metastore или схемой в нем, то при предоставлении привилегии READ_METADATA будет предоставляться привилегия READ_METADATA ко всем текущим и будущим таблицам и представлениям в защищаемом объекте.

  • READ FILES

    Выполните запрос файлов напрямую с использованием учетных данных хранилища или внешнего расположения.

  • SELECT

    Выполните запрос к таблице или представлению, вызовите определенную пользователем или анонимную функцию или выберите ANY FILE. Пользователю необходима привилегия SELECT для таблицы, представления или функции, а также привилегия USAGE для схемы и каталога объекта.

    Если защищаемый объект является hive_metastore или схемой в нем, то при предоставлении привилегии SELECT будет предоставляться привилегия SELECT ко всем текущим и будущим таблицам и представлениям в защищаемом объекте.

  • USAGE

    Необходимо, но недостаточно для создания ссылки на какие-либо объекты в каталоге или схеме. Субъект также должен иметь привилегии для отдельных защищаемых объектов.

  • WRITE FILES

    Непосредственное выполнение команды COPY INTO для файлов, управляемых учетными данными хранилища или внешним расположением.

Примеры

-- Grant a privilege to the user alf@melmak.et
> GRANT SELECT ON TABLE t TO `alf@melmak.et`;

-- Revoke a privilege from the general public group.
> REVOKE USAGE ON SCHEMA some_schema FROM `alf@melmak.et`;