Seguridad

Unity Catalog evalúa privilegios en una jerarquía. Para consultar una tabla suelen intervenir `USE CATALOG`, `USE SCHEMA` y `SELECT`; los grants sobre catálogo o esquema pueden heredarse por descendientes según el modelo de privilegios. Ownership concede capacidades amplias, mientras `MANAGE` permite administrar permisos sin transferir propiedad en los objetos compatibles.

Asigna privilegios a grupos de cuenta y service principals, no a usuarios individuales. Separa productores, consumidores y administradores de políticas. El propietario de un catálogo no debería ser una persona que puede marcharse, sino un grupo gobernado. Usa `SHOW GRANTS` e information schema para revisar acceso efectivo antes de añadir otro grant aparentemente necesario.

GRANT USE CATALOG ON CATALOG prod TO finance_analysts;
GRANT USE SCHEMA ON SCHEMA prod.gold TO finance_analysts;
GRANT SELECT ON TABLE prod.gold.daily_margin TO finance_analysts;

SHOW GRANTS ON TABLE prod.gold.daily_margin;

Governed tags son etiquetas de cuenta con valores permitidos y permisos de asignación. Heredan desde catálogo y esquema a objetos descendientes, salvo reglas específicas como columnas. ABAC evalúa esos atributos y aplica políticas de row filter o column mask en el ámbito definido. Así el equipo de gobierno escribe una política y los data stewards clasifican objetos sin poder desactivar la protección.

ABAC requiere compute compatible y governed tags, no etiquetas libres. Cambios de tag pueden tardar unos minutos en aplicarse. Diseña taxonomías pequeñas —clasificación, región, dominio— y evita PII en valores de tag porque pueden replicarse globalmente. Prueba conflictos: si varias políticas distintas aplican al mismo usuario/objeto, el acceso puede bloquearse de forma segura.

ALTER TABLE prod.hr.employees
SET TAGS (
  'data_classification' = 'restricted',
  'data_region' = 'eu'
);

SHOW TAGS ON TABLE prod.hr.employees;

Un row filter devuelve boolean y elimina filas que el usuario no debe ver; una column mask devuelve el valor original o transformado con un tipo compatible. Pueden asignarse directamente a una tabla mediante UDFs SQL o centralizarse con ABAC. La política se evalúa en query time y la seguridad prima sobre optimizaciones que pudieran filtrar información.

Mantén UDFs simples: evita agregaciones, ventanas y lógica no determinista que limite `MERGE` o pushdown. Prueba cada grupo con usuarios representativos, incluyendo administradores exentos y service principals. Acceso por path y ciertos clientes externos no soportan tablas con políticas; inventaría interoperabilidad y crea una vista o share seguro cuando proceda.

CREATE OR REPLACE FUNCTION prod.governance.region_filter(region STRING)
RETURN IF(is_account_group_member('finance_global'), TRUE, region = 'EU');

CREATE OR REPLACE FUNCTION prod.governance.mask_email(email STRING)
RETURN IF(
  is_account_group_member('pii_readers'),
  email,
  CONCAT('***@', element_at(split(email, '@'), -1))
);

ALTER TABLE prod.sales.customers
SET ROW FILTER prod.governance.region_filter ON (region);

ALTER TABLE prod.sales.customers
ALTER COLUMN email SET MASK prod.governance.mask_email;

El audit log system table registra eventos de cuenta y workspace con identidad, servicio, acción, parámetros y respuesta. Consulta cambios de permisos, tags, policies y accesos dentro de la región y retención documentada. Los eventos de creación, modificación y eliminación de políticas ABAC son auditables; una alerta debe filtrar acciones relevantes y enlazar el objeto afectado.

Lineage de Unity Catalog captura lecturas y escrituras a nivel de tabla y columna para interfaces compatibles, y ayuda a analizar impacto de un cambio o flujo de PII. No reemplaza auditoría: lineage explica flujo, audit explica acción/actor. Expón vistas redactadas a seguridad y operaciones; no distribuyas request parameters completos sin evaluar secretos o datos personales.

SELECT
  event_time,
  user_identity.email AS actor,
  service_name,
  action_name,
  request_params,
  response.status_code AS status_code
FROM system.access.audit
WHERE event_time >= current_timestamp() - INTERVAL 24 HOURS
  AND (
    lower(action_name) LIKE '%grant%'
    OR lower(action_name) LIKE '%policy%'
    OR lower(action_name) LIKE '%tag%'
  )
ORDER BY event_time DESC;

Privacidad no se limita a una mask. Clasifica datos, minimiza columnas, limita retención y separa ambientes. Workspace bindings restringen desde qué workspaces pueden usarse catálogos, external locations o storage credentials; combinados con grants y ABAC reducen el radio de exposición. Las tablas administradas permiten a Unity Catalog controlar también el ciclo de vida de almacenamiento.

Prueba políticas desde tres perspectivas: usuario autorizado ve original, usuario restringido ve mask/filtro y principal no autorizado recibe denegación. Añade pruebas de path bypass, clones, time travel y shares según las limitaciones actuales. Cuando se comparte fuera, publica una vista/tabla derivada con minimización y contrato, no la tabla sensible por comodidad.

CREATE OR REPLACE VIEW prod.analytics.customer_activity_safe AS
SELECT
  sha2(CAST(customer_id AS STRING), 256) AS customer_key,
  region,
  DATE_TRUNC('month', last_order_at) AS activity_month,
  order_count_12m
FROM prod.sales.customers
WHERE consent_analytics = TRUE;

GRANT SELECT ON VIEW prod.analytics.customer_activity_safe
TO marketing_analysts;