Databricks Unity Catalogの権限設計ガイド｜GRANT/REVOKE・継承・セキュアブル一覧

Unity Catalogのデータガバナンスの中核は権限制御です。カタログ・スキーマ・テーブル・ビュー・関数・ボリュームなどの セキュアブルオブジェクトに対して、「誰が何をできるか」をGRANT/REVOKEで宣言的に管理します。 従来のHive Metastore（テーブルACL）と異なり、Unity Catalogでは階層的な権限継承と ワークスペースを横断した一元管理が可能です。

この記事では、権限モデルの全体像、GRANT/REVOKE構文、権限種類の比較表、継承の仕組み、 セキュアブルオブジェクト一覧、そして実務のベストプラクティスを整理します。

権限モデル概要

Unity Catalogの権限モデルは、セキュアブルオブジェクト（保護対象）、プリンシパル（権限の付与先）、 プリビレッジ（許可される操作）の3要素で構成されます。

• セキュアブルオブジェクト: Metastore / Catalog / Schema / Table / View / Function / Volume / External Location / Storage Credential
• プリンシパル: ユーザー / グループ / サービスプリンシパル
• プリビレッジ: SELECT / MODIFY / CREATE TABLE / USE CATALOG / USE SCHEMA 等

権限はANSI SQL標準のGRANT/REVOKE構文で管理します。 Databricks独自の拡張としてUSE CATALOG、USE SCHEMA、CREATE VOLUME等があります。

GRANT / REVOKE 構文

-- テーブルへのSELECT権限を付与
GRANT SELECT ON TABLE prod.silver.orders TO `data-analysts`;

-- スキーマ配下の全テーブルにSELECTを付与（継承で適用）
GRANT SELECT ON SCHEMA prod.silver TO `data-analysts`;

-- カタログのUSE権限を付与（名前空間のブラウズに必須）
GRANT USE CATALOG ON CATALOG prod TO `data-analysts`;
GRANT USE SCHEMA ON SCHEMA prod.silver TO `data-analysts`;

-- 権限の取り消し
REVOKE SELECT ON TABLE prod.silver.orders FROM `data-analysts`;

-- 付与済み権限の確認
SHOW GRANTS ON TABLE prod.silver.orders;
SHOW GRANTS TO `data-analysts`;

プリンシパル名はバッククォートで囲みます。グループ名にハイフンが含まれる場合もバッククォートが必要です。

権限種類の比較表

権限の継承

Unity Catalogの権限は上位オブジェクトから下位オブジェクトに自動的に継承されます。 以下に階層と継承の流れを示します。

Metastore
 └── Catalog  ← GRANT SELECT ON CATALOG → 配下の全Schema/Table/Viewに適用
      └── Schema  ← GRANT SELECT ON SCHEMA → 配下の全Table/Viewに適用
           ├── Table  ← GRANT SELECT ON TABLE → このテーブルのみ
           ├── View
           ├── Volume
           └── Function

カタログレベルでSELECTを付与すると、将来作成されるスキーマやテーブルにも自動適用されます。 「今後追加されるテーブルにも権限を維持したい」場合はスキーマまたはカタログレベルの付与が効率的です。

Unity CatalogにはDENY（拒否）の仕組みがありません。 特定のテーブルだけ除外したい場合はカタログ/スキーマレベルの付与を避け、 テーブル単位で個別にGRANTする設計にします。

セキュアブルオブジェクト一覧

権限設計のベストプラクティス

• ユーザーへの直接GRANTを避け、グループ経由で付与する（SCIMプロビジョニングと連携しやすい）
• USE CATALOG / USE SCHEMAを忘れずに付与する（SELECTだけでは名前解決できない）
• 本番カタログへのMODIFYはETL用サービスプリンシパルのみに制限する
• 開発者にはdev/stagingカタログへのALL PRIVILEGES、prodカタログへはSELECTのみ付与する
• SHOW GRANTSで定期的に権限を棚卸しし、不要な権限を削除する
• 動的ビュー（current_user()やis_member()）でRow/Columnレベルの制御を実装する

-- 動的ビューによるRow Level Security
CREATE OR REPLACE VIEW prod.silver.orders_restricted AS
SELECT *
FROM prod.silver.orders
WHERE region = CASE
  WHEN is_member('apac-team') THEN 'APAC'
  WHEN is_member('emea-team') THEN 'EMEA'
  ELSE region  -- admin は全リージョン閲覧可
END;

GRANT SELECT ON VIEW prod.silver.orders_restricted TO `all-users`;

OWNERSHIPの概念

すべてのセキュアブルオブジェクトにはオーナーが存在します。 オーナーはそのオブジェクトに対するすべての権限を持ち、他のプリンシパルへの権限付与も可能です。 テーブルを作成したユーザーがデフォルトオーナーになります。

-- オーナーの変更
ALTER TABLE prod.silver.orders SET OWNER TO `data-engineering-team`;

-- オーナーの確認
DESCRIBE TABLE EXTENDED prod.silver.orders;
-- Owner列にオーナーが表示される

試験で問われるポイント

• USE CATALOG + USE SCHEMA + SELECT の3権限がクエリ実行に必要
• 権限は上位から下位に継承される（カタログ → スキーマ → テーブル）
• DENYは存在しない
• オーナーはALL PRIVILEGES相当の権限を持つ
• 動的ビューでRow/Columnレベルセキュリティを実装する方法
• SHOW GRANTS構文での権限確認方法

問題で確認

よくある質問