Aplicar marcas a objetos protegíveis do Catálogo do Unity

Esta página mostra como aplicar marcas a objetos protegíveis do Catálogo do Unity.

As marcas são atributos que incluem chaves e valores opcionais que você pode usar para organizar e categorizar diferentes objetos protegíveis no Catálogo do Unity. O uso de tags também simplifica a pesquisa e a descoberta de tabelas e exibições usando a funcionalidade de pesquisa do espaço de trabalho.

Objetos securizáveis suportados

Atualmente, há suporte para marcação de objeto protegível em catálogos, esquemas, tabelas, colunas de tabela, volumes, exibições, funções, modelos registrados, versões de modelo e objetos de metadados externos. Para obter mais informações sobre objetos protegíveis, confira Objetos protegíveis no Catálogo do Unity.

Você também pode aplicar marcas a dashboards, agentes do Genie, aplicativos do Databricks e notebooks. Consulte Gerenciar tags de painel, Adicionar tags, Aplicar tags a aplicativos do Databricks e Aplicar tags a notebooks.

Herança implícita de marcação em políticas ABAC

Ao avaliar políticas de ABAC ( controle de acesso baseado em atributo ), as marcas aplicadas em um nível do modelo de objeto do Catálogo do Unity se aplicam automaticamente a todos os objetos abaixo dele. Por exemplo, se você marcar um catálogo, todos os seus esquemas e tabelas herdarão automaticamente a tag. No entanto, as etiquetas não são herdadas no nível da coluna.

A herança de marcação implícita ocorre apenas ao avaliar as políticas ABAC. A herança de marcação não se aplica de forma geral.

Etiquetas Reguladas

Etiquetas governadas são etiquetas de nível de conta com regras impostas para garantir consistência e controle. Usando marcas governadas, você define as chaves e valores permitidos e controla quais usuários e grupos podem atribuí-los a objetos. Isso garante que as etiquetas sejam aplicadas de forma consistente e estejam em conformidade com os padrões organizacionais, proporcionando controle centralizado sobre classificação, conformidade e operações.

Tags gerenciadas:

• Só pode ser atribuído ou modificado por usuários ou grupos com as permissões apropriadas.

• Deve usar valores definidos na política de etiqueta associada.

• São marcados na interface do usuário com um .

  

Se você criar uma marca governada com a mesma chave que as marcas que já estão atribuídas aos objetos, todas as atribuições de marca existentes com essa chave serão governadas automaticamente. Consulte Gerenciamento de atribuições de marcações existentes.

Se uma marca governada for excluída, as marcas associadas ficarão não governadas. As marcas permanecem em objetos, mas qualquer pessoa pode atribuí-las ou modificá-las sem a necessidade de permissões. Os usuários com os privilégios certos podem continuar criando e atribuindo marcas que não são governadas.

Para obter mais informações, consulte Marcas governadas.

Etiquetas de sistema

As marcas do sistema são um tipo especial de marca governada predefinida pelo Azure Databricks. As tags do sistema têm algumas características distintas:

• As definições de marca do sistema (chaves e valores) são predefinidas pelo Azure Databricks.

• Os usuários não podem modificar ou excluir chaves ou valores de marca do sistema.

• Os usuários podem controlar quem tem permissão para atribuir ou remover a atribuição de marcações do sistema por meio das configurações de permissão para marcações gerenciadas.

• Uma chave inglesa é exibida perto da marcação. Ao atribuir marcas, você pode mostrar ou ocultar marcas do sistema usando a alternância Incluir marcas do sistema .

  

As marcas do sistema são projetadas para dar suporte à marcação padronizada entre organizações, especialmente para casos de uso, como classificação de dados, propriedade ou acompanhamento do ciclo de vida. Usando definições de marca predefinidas e governadas, as marcas do sistema ajudam a impor a consistência sem exigir que os usuários definam ou gerenciem manualmente estruturas de marca.

Requisitos

Para adicionar marcas a objetos protegíveis do Catálogo do Unity, você deve ser proprietário do objeto ou ter todos os seguintes privilégios:

• APPLY TAG sobre o objeto
• USE SCHEMA no esquema pai do objeto
• USE CATALOG no catálogo pai do objeto

Para adicionar uma etiqueta governada aos objetos securáveis do Catálogo do Unity, você também deve ter a permissão ASSIGN na etiqueta governada. Consulte Gerenciar permissões em tags gerenciadas.

Restrições

Veja a seguir uma lista de restrições de etiqueta:

• As chaves de marcação diferenciam maiúsculas de minúsculas. Por exemplo, Sales e sales são duas marcas distintas.

• Você pode atribuir no máximo 50 marcas a um único objeto protegível (tabela ou coluna).

• Uma tabela pode ter no máximo 1.000 tags de coluna no total em todas as suas colunas.

• O comprimento máximo de uma chave de marca é de 256 caracteres.

• O comprimento máximo de um valor de marca é de 256 caracteres.

• Os seguintes caracteres não são permitidos em chaves de marca:

  . , - = / :

• Não são permitidos espaços no início ou no fim de chaves ou valores das marcações.

• A pesquisa de marcas requer correspondência exata de termos.

• Não é possível atribuir marcas a várias colunas em um único ALTER TABLE comando. Você deve atribuir marcas a cada coluna separadamente. Isso difere da COMMENT cláusula, que dá suporte a várias colunas em um comando.

Adicionar e atualizar tags

Em modelos registrados, você deve usar o Gerenciador de Catálogos ou a ClientAPI do MLflow. Consulte Usar tags em modelos.

Gerenciador de Catálogos

1. Clique no Catálogo na barra lateral.

2. Selecione um objeto protegível.

3. Na página Visão geral do objeto, em Marcas, adicione ou atualize uma marca:

   • Se não houver marcas, clique no botão Adicionar marcas.
   • Se houver marcas, clique no ícone Adicionar/Editar marcas.

4. Selecione uma tag existente de Key e Value ou insira o nome de uma nova tag.

   • As marcações gerenciadas aparecem no cabeçalho da seção Gerenciada e têm um ícone de bloqueio. Outras tags são exibidas em Outros.
   • Mostrar ou ocultar marcações do sistema (marcadas com um ícone de chave inglesa) usando o botão de alternância Incluir marcações do sistema.
   • As chaves de etiquetas são obrigatórias. A necessidade de um valor de etiqueta depende da chave da etiqueta.

SQL

No Databricks Runtime 16.1 e superior, use SET TAG e UNSET TAG para gerenciar as marcações em objetos protegíveis. A marcação de funções e procedimentos requer o Databricks Runtime 18.1 ou superior. Por exemplo:

> SET TAG ON CATALOG catalog `cost_center` = `hr`;

> UNSET TAG ON CATALOG catalog cost_center;

Consulte SET TAG e UNSET TAG.

No Databricks Runtime 13.3 e superior, use o ALTER <object> comando SQL com SET TAGS ou UNSET TAGS para gerenciar as marcações em objetos protegíveis. Por exemplo:

-- Add the governed tag to ssn column
ALTER TABLE abac.customers.profiles
ALTER COLUMN SSN
SET TAGS ('pii' = 'ssn');

Confira as instruções DDL para obter uma lista de comandos de linguagem de definição de dados (DDL) disponíveis e sua sintaxe.

Remover uma coluna com tags governadas

Quando você exclui uma coluna que tem uma ou mais marcas governadas atribuídas, a operação de exclusão falha. Para remover uma coluna marcada, primeiro você deve remover todas as tags governadas na coluna. Siga esta sequência para evitar possíveis vazamentos de dados.

1. Descarte a marcação:

   UNSET TAG ON COLUMN <catalog>.<schema>.<table>.<column> <tag_key>;
   

2. Descarte a coluna:

   ALTER TABLE <catalog>.<schema>.<table>
     DROP COLUMN <column>;
   

Para excluir permanentemente os dados da coluna, siga as etapas em Remover colunas. Caso contrário, a viagem no tempo poderá expor os dados.

Usar marcas para pesquisar objetos do Catálogo do Unity

Na barra de pesquisa do workspace do Azure Databricks, você pode usar chaves de tag e valores de tag para pesquisar objetos com suporte. Para obter detalhes, consulte Utilizar tags para busca.

Recuperar informações de tags das tabelas do esquema de informações

Cada catálogo criado no Catálogo do Unity inclui um INFORMATION_SCHEMA. Esse esquema inclui tabelas que descrevem os objetos conhecidos pelo catálogo do esquema. Você deve ter os privilégios apropriados para exibir as informações do esquema.

Execute a seguinte consulta para recuperar informações de tag:

• INFORMATION_SCHEMA.CATALOG_TAGS
• INFORMATION_SCHEMA.COLUMN_TAGS
• INFORMATION_SCHEMA.SCHEMA_TAGS
• INFORMATION_SCHEMA.TABLE_TAGS
• INFORMATION_SCHEMA.VOLUME_TAGS

Para obter mais informações, confira Esquema de informações.