Referência a objetos securáveis do Unity Catalog

Esta página descreve todos os objetos securáveis no Unity Catalog. Um objeto seguro é um objeto definido no Unity Catalog sobre o qual privilégios podem ser concedidos a um principal (utilizador, principal de serviço ou grupo).

A hierarquia de objetos do Catálogo Unity

Os objetos protegíveis no Unity Catalog são hierárquicos. Esta estrutura hierárquica fornece a base para o controlo de acessos no Unity Catalog.

A metastore é o objeto securável de topo nível. Dentro desta metastore, os seus ativos de dados vivem num espaço de três níveis que define o seu catálogo, esquema e tipo de ativo, como tabela (catalog.schema.table). O diagrama seguinte destaca estes objetos securáveis.

O diagrama anterior mostra o seguinte:

• Os catálogos são a camada de topo dos teus ativos de dados. Os catálogos existem diretamente na metastore. São usados para organizar os seus dados e ativos de IA, normalmente por unidades organizacionais ou escopos do ciclo de vida do desenvolvimento de software.
  • Existem esquemas dentro dos catálogos. Organizam dados e ativos de IA em categorias mais granulares do que os catálogos. Um esquema pode representar um único caso de uso, projeto ou sandbox de equipa.
    • As tabelas são coleções de dados estruturados organizadas por linhas e colunas.
    • As visualizações são consultas guardadas contra outras tabelas ou visualizações.
    • Os volumes representam coleções de dados não estruturados em armazenamento de objetos na cloud.
    • As funções são unidades de lógica reutilizável que retornam um valor escalar ou um conjunto de linhas.
    • Os modelos são modelos de IA embalados com MLflow e registados no Unity Catalog como funções.

Existem também muitos outros objetos securáveis no Catálogo Unity. Todos estes objetos existem diretamente sob a metastore. O diagrama seguinte destaca estes objetos securáveis.

Estes objetos securáveis podem ser amplamente categorizados em dois grupos. O primeiro grupo inclui objetos que gerem o acesso ao armazenamento na nuvem e a outras fontes e serviços de dados externos:

• As credenciais de armazenamento são objetos que representam a informação de autenticação necessária para aceder a um caminho específico no armazenamento na cloud.
• Localizações externas são objetos que representam um caminho específico no armazenamento na nuvem. Inclui também uma referência à credencial de armazenamento necessária para aceder a esse caminho.
• Um objeto de metadados externo é usado para definir relações personalizadas de linhagem de dados para sistemas que operam fora do Unity Catalog.
• As credenciais de serviço são objetos que representam a informação de autenticação necessária para aceder a serviços na nuvem externos.
• As ligações são objetos que representam uma ligação a um sistema de base de dados externo.

O segundo grupo inclui objetos que gerem o acesso a dados e a partilha de ativos de IA através de metastores ou fronteiras organizacionais:

• Shares são objetos que representam um agrupamento lógico de ativos de dados que pretende partilhar com destinatários externos.
• Os fornecedores são objetos que representam uma organização externa ou um grupo de utilizadores que partilhou dados com a sua organização.
• Os destinatários são objetos que representam uma organização externa ou grupo de utilizadores com quem um fornecedor partilha dados.
• Salas limpas são objetos que representam um ambiente seguro para colaboração com outras organizações sem expor dados subjacentes.

As secções seguintes descrevem cada objeto securável com maior detalhe.

Metastore

A metastore é o objeto securável de topo no Unity Catalog. Uma metastore contém todos os objetos securáveis registados no Unity Catalog numa única região cloud. Estes objetos incluem não só os catálogos que organizam os seus dados, mas também objetos que controlam como os dados são acedidos e partilhados, como credenciais de serviço, credenciais de armazenamento, localizações externas, ligações, partilhas, destinatários, fornecedores e salas limpas.

A tabela seguinte resume detalhes importantes sobre a metastore:

Detail	Descrição
Scope	Uma metastore é escalada para uma única região de nuvem. A sua organização precisa de uma metastore por região onde opera. Uma única metastore pode ser ligada a múltiplos espaços de trabalho na mesma região. As concessões de permissões numa metastore aplicam-se a todos os espaços de trabalho ligados a essa metastore. Por outras palavras, um privilégio concedido num espaço de trabalho é eficaz em todos os outros espaços de trabalho que partilham essa metaloja.
Privilégios de metastore	Privilégios na metastore permitem operações ao nível da metastore. Por exemplo, CREATE CATALOG permite a um utilizador criar um catálogo dentro da metastore. No entanto, isto não concede ao utilizador acesso aos dados dentro do catálogo. Para a lista completa de privilégios aplicáveis, consulte a tabela de tipos de privilégios. Importa referir que privilégios concedidos ao nível da metastore não herdam objetos filhos na hierarquia. Os subsídios ao nível da metastore são direcionados apenas para operações ao nível da metastore. Isto difere do comportamento de herança de privilégios para concessões de catálogo e esquema, onde os privilégios herdados se aplicam automaticamente a todos os objetos filhos atuais e futuros. Ver Herança por privilégio.
Administradores da Metastore	O administrador da metastore é um papel opcional no Azure Databricks. É atribuído pelos administradores da conta. Certas funcionalidades estão disponíveis apenas para administradores da metastore, incluindo a eliminação da metastore, a gestão de atribuições de espaços de trabalho e a posse de qualquer objeto na metastore, o que dá acesso indireto a todos os dados da metastore. Estas capacidades não podem ser concedidas através das concessões padrão de privilégios. Consulte Administradores da Metastore. Quando um espaço de trabalho é ativado automaticamente para o Unity Catalog, os administradores de espaços de trabalho recebem um conjunto padrão de privilégios ao nível da metastore, incluindo CREATE CATALOG, CREATE STORAGE CREDENTIAL, e CREATE EXTERNAL LOCATION. Estes não são transferidos para outros espaços de trabalho ligados à mesma metastore. Consulte Privilégios de administrador do espaço de trabalho quando os espaços de trabalho são ativados para o Unity Catalog automaticamente.

Catalog

Dentro de uma metastore, um catálogo é a primeira e mais alta camada para os seus ativos de dados. Os catálogos são objetos contentores. Um catálogo contém esquemas, que por sua vez contêm tabelas, vistas, volumes e funções.

Frequentemente referimo-nos ao "espaço de nomes de três níveis" (catalog.schema.table) para dados no Unity Catalog. Aqui, o catálogo é a primeira camada do espaço de nomes de três níveis.

A tabela seguinte resume detalhes importantes sobre catálogos:

Detail	Descrição
Herança	Os privilégios concedidos num catálogo aplicam-se automaticamente a todos os esquemas, tabelas, vistas, volumes e funções atuais e futuros dentro dele. Por exemplo, conceder SELECT num catálogo permite ao utilizador ler qualquer tabela desse catálogo (com os privilégios apropriados USE CATALOG e USE SCHEMAde utilização). Ver Herança por privilégio. Devido à herança, os privilégios ao nível de catálogo são amplos. Tem cuidado ao concedê-los aos utilizadores.
Privilégio de utilização (USE CATALOG)	O USE CATALOGprivilégio de utilização é exigido antes de um utilizador poder interagir com qualquer objeto num catálogo. Isto independentemente dos privilégios que tenham sobre objetos filhos.
O BROWSE privilégio	Conceder o BROWSE privilégio a um utilizador num catálogo permite-lhe descobrir e visualizar metadados de todos os objetos do catálogo, incluindo esquemas filhos, tabelas, vistas, volumes e funções, sem conceder acesso aos dados. BROWSE pode ser concedido apenas ao nível do catálogo. A Databricks recomenda conceder BROWSE ao All account users grupo para que os utilizadores possam descobrir dados e solicitar acesso conforme necessário.
Vinculação de espaços de trabalho	Por defeito, um catálogo é acessível a partir de todos os espaços de trabalho ligados à mesma metastore. Pode restringir isto vinculando o catálogo a espaços de trabalho específicos, opcionalmente como apenas leitura. A vinculação do espaço de trabalho substitui as concessões de privilégios individuais. Mesmo um utilizador com uma concessão explícita SELECT não pode aceder a um objeto num catálogo que não esteja vinculado ao seu espaço de trabalho. Consulte Limitar o acesso do catálogo a espaços de trabalho específicos.

Para mais informações sobre catálogos, consulte O que são catálogos no Azure Databricks?.

Esquema

Dentro de um catálogo, um esquema (também chamado de base de dados) é a segunda camada da hierarquia de objetos para os seus ativos de dados. Os esquemas são objetos contentores. Um esquema contém tabelas, vistas, volumes e funções.

Frequentemente referimo-nos ao espaço de nomes de três níveis (isto é, catalog.schema.table) para dados no Unity Catalog. Aqui, o esquema é a segunda camada do namespace de três níveis.

A tabela seguinte resume detalhes importantes sobre esquemas:

Detail	Descrição
Herança	Os privilégios concedidos num esquema aplicam-se automaticamente a todas as tabelas, vistas, volumes e funções atuais e futuras dentro dele. Por exemplo, conceder SELECT sobre um esquema permite ao utilizador ler qualquer tabela desse esquema (com os privilégios apropriados USE CATALOG e USE SCHEMA de uso). Ver Herança por privilégio. Devido à herança, os privilégios ao nível do esquema podem ser amplos. Revise quais os objetos contidos no esquema antes de conceder privilégios aos utilizadores.
Privilégio de utilização (USE SCHEMA)	O USE SCHEMAprivilégio de utilização é exigido antes de um utilizador poder interagir com qualquer objeto num esquema. Isto é adicional ao USE CATALOG catálogo pai do esquema. Uma USE SCHEMA subvenção não fornece por si só acesso aos dados no esquema.

Para mais informações sobre esquemas, consulte Esquemas.

Table

Dentro de um esquema, uma tabela é o principal objeto protegível para dados estruturados no Unity Catalog. Seguem-se os tipos de tabelas no Azure Databricks:

• As tabelas geridas são tabelas onde o caminho de localização de armazenamento é determinado pelo Unity Catalog. Importa referir que os próprios dados continuam presentes na sua conta cloud. A Databricks recomenda a utilização de tabelas geridas para tirar partido das funcionalidades mais recentes das tabelas. Consulte Tabelas gerenciadas do Catálogo Unity no Azure Databricks para Delta Lake e Apache Iceberg.
• Tabelas externas são tabelas onde especificas o caminho de localização de armazenamento. O Unity Catalog continua a gerir os metadados da tabela, mas não gere o ciclo de vida, a otimização, a localização de armazenamento ou o layout dos dados. Consulte Trabalhar com tabelas externas.
• Tabelas estrangeiras são tabelas de um catálogo estrangeiro que estão registadas no Unity Catalog. Veja Trabalhar com tabelas estrangeiras.

A tabela seguinte resume detalhes importantes sobre as tabelas:

Detail	Descrição
Privilégios de utilização	Para aceder a uma tabela, o utilizador deve ter USE CATALOG no catálogo pai e USE SCHEMA no esquema pai (privilégios de uso), além dos privilégios relevantes ao nível da tabela como SELECT ou MODIFY.
Herança	Os privilégios da tabela podem ser herdados do esquema ou catálogo pai. Por exemplo, conceder SELECT num esquema concede automaticamente SELECT em todas as tabelas atuais e futuras desse esquema. Ver Herança por privilégio.
Acesso de leitura e gravação	Use SELECT para conceder acesso à leitura e MODIFY para conceder acesso à escrita (inserir, atualizar, eliminar). As mesas estrangeiras acedidas através da Lakehouse Federation são apenas de leitura e não suportam esse MODIFY privilégio.

Para mais informações sobre tabelas, consulte tabelas Azure Databricks.

View

Dentro de um esquema, uma vista é um objeto de apenas leitura definido por uma consulta SQL armazenada sobre uma ou mais tabelas ou outras vistas. As visualizações recalculam os resultados de cada consulta.

A tabela seguinte resume detalhes importantes sobre as vistas:

Detail	Descrição
Privilégios de utilização	Para aceder a uma vista, o utilizador deve ter USE CATALOG no catálogo pai e USE SCHEMA no esquema pai (privilégios de uso), além de SELECT estar na vista. O utilizador não precisa de privilégios nas tabelas subjacentes que a vista consulta. Os privilégios do proprietário da vista são usados para resolver as tabelas subjacentes no momento da consulta. Para os proprietários de tabelas, isto torna as vistas úteis para restringir o acesso a linhas ou colunas específicas sem expor diretamente as tabelas subjacentes.
Herança	SELECT Concedido ao nível do esquema ou catálogo aplica-se a todas as vistas atuais e futuras nesse esquema ou catálogo. Ver Herança por privilégio.

Para mais informações sobre as visualizações, consulte O que é uma vista?.

Visão materializada

Uma visualização materializada é uma visualização que pré-calcula e armazena os resultados da sua consulta. Os resultados refletem o estado dos dados na altura em que a visualização materializada foi atualizada pela última vez.

O modelo de permissões para visualizações materializadas é o mesmo que o das vistas padrão. Além de SELECT e MANAGE, as visualizações materializadas suportam o REFRESH privilégio, que permite ao utilizador desencadear uma atualização dos resultados da visualização materializada. Utilizadores com apenas SELECT e os privilégios de utilização adequados podem consultar os resultados armazenados, mas não podem desencadear uma atualização.

Para mais informações sobre vistas materializadas, veja Vistas materializadas.

Vista métrica

Uma vista métrica é um objeto de apenas leitura que define um conjunto de definições métricas reutilizáveis baseadas numa ou mais tabelas, vistas ou consultas SQL. Os utilizadores consultam uma vista métrica como fariam com uma vista padrão.

O modelo de permissões para visualizações materializadas é o mesmo que o das vistas padrão. Os utilizadores precisam SELECT e os privilégios de utilização adequados para consultar a vista métrica. Os privilégios do proprietário da vista métrica são usados para resolver as fontes de dados subjacentes no momento da consulta.

Para mais informações sobre visualizações métricas, consulte vistas métricas do Unity Catalog.

Volume

Dentro de um esquema, um volume é um objeto securável para dados não estruturados em armazenamento na cloud. Os volumes podem ser geridos (localização de armazenamento determinada pelo Unity Catalog) ou externos (especifica o caminho de armazenamento). Ao contrário das tabelas e vistas, os volumes não suportam operações de consulta SQL — fornecem acesso de leitura e escrita ao nível do ficheiro aos dados em armazenamento na nuvem. Seguem-se os tipos de volumes no Azure Databricks:

• Os volumes geridos são volumes onde o caminho de localização de armazenamento é determinado pelo Unity Catalog. Importa referir que os próprios dados continuam presentes na sua conta cloud. A Databricks recomenda usar volumes geridos para que o Unity Catalog regule automaticamente todos os acessos aos dados.
• Volumes externos são volumes onde especificas o caminho de localização de armazenamento. Pode usar volumes externos se precisar de acesso externo ao sistema fora do Azure Databricks, mas tenha cuidado que sistemas externos possam contornar a governação do Unity Catalog.

A tabela seguinte resume detalhes importantes sobre os volumes:

Detail	Descrição
Privilégios de utilização	Para aceder a ficheiros num volume, o utilizador deve ter USE CATALOG no catálogo pai e USE SCHEMA no esquema pai (privilégios de uso), além de READ VOLUME ou WRITE VOLUME no volume.
Acesso de leitura e gravação	Use READ VOLUME para conceder a capacidade de ler ficheiros e diretórios armazenados num volume, e WRITE VOLUME para conceder a capacidade de adicionar, modificar ou eliminar ficheiros.
Herança	READ VOLUME e WRITE VOLUME é concedido que ao nível do esquema ou catálogo se aplica a todos os volumes atuais e futuros desse esquema ou catálogo. Ver Herança por privilégio.

Para obter mais informações sobre volumes, consulte O que são volumes do catálogo Unity?.

Função

Dentro de um esquema, uma função é um objeto securável no Unity Catalog que representa lógica reutilizável e executável. As funções incluem funções definidas pelo utilizador (UDFs), procedimentos armazenados e modelos registados (modelos MLflow registados no Unity Catalog).

• As funções definidas pelo utilizador (UDFs) são funções personalizadas escritas em SQL ou Python que podem ser chamadas em consultas SQL e cadernos. Consulte O que são funções definidas pelo usuário (UDFs)?.
• Os procedimentos armazenados são rotinas definidas pelo utilizador que executam uma sequência de instruções SQL e podem incluir efeitos secundários, como a inserção ou atualização de dados.
• Os modelos registados são modelos de aprendizagem automática MLflow registados no Unity Catalog. No Unity Catalog, os modelos registados são implementados como um tipo de função. Consulte Gerenciar o ciclo de vida do modelo no Catálogo Unity.

A tabela seguinte resume detalhes importantes sobre funções:

Detail	Descrição
Privilégios de utilização	Para executar uma função ou carregar um modelo registado, o utilizador deve ter USE CATALOG no catálogo pai e USE SCHEMA no esquema pai (privilégios de uso), além de EXECUTE na função.
O EXECUTE privilégio	Conceder EXECUTE a um utilizador uma função permite-lhe chamar a função e visualizar a sua definição e metadados. Para modelos registados, EXECUTE permite também ao utilizador visualizar metadados de todas as versões do modelo registado e descarregar ficheiros de modelo.
Herança	EXECUTE Concedido ao nível do esquema ou catálogo aplica-se a todas as funções atuais e futuras nesse esquema ou catálogo. Ver Herança por privilégio.

Modelo

Um modelo é um modelo de aprendizagem automática MLflow versionado, armazenado no Unity Catalog como um objeto de função . O modelo em si é o contentor. Os artefactos e metadados de cada execução de treino são armazenados como versões de modelo dentro dela.

O modelo de permissões para modelos registados é igual ao das funções. Os seguintes privilégios adicionais aplicam-se especificamente a modelos:

• APPLY TAG: Permite adicionar e editar etiquetas num modelo e nas suas versões. O utilizador deve também ter USE CATALOG no catálogo pai e USE SCHEMA no esquema pai.

• CREATE MODEL VERSION: Permite ao utilizador registar novas versões de um modelo sem conceder a capacidade de executar, modificar ou adicionar etiquetas ao modelo. O utilizador deve também ter USE CATALOG no catálogo pai e USE SCHEMA no esquema pai.

Criar um modelo requer o CREATE MODEL privilégio sobre o esquema, não CREATE FUNCTION. CREATE MODEL pode também ser concedido num catálogo para permitir a criação de modelos em qualquer esquema desse catálogo.

Para mais informações sobre modelos, consulte Gerir ciclo de vida do modelo no Unity Catalog.

Credencial de armazenamento

Dentro de uma metastore, uma credencial de armazenamento é um objeto seguro que armazena a informação de autenticação necessária para aceder a um caminho específico no armazenamento na cloud. O método de autenticação armazenada depende do fornecedor da cloud: um papel IAM na AWS, um principal de serviço no Azure ou uma conta de serviço no GCP.

As credenciais de armazenamento são mais frequentemente usadas como bloco de construção para localizações externas, que emparelham uma credencial de armazenamento com um caminho específico de armazenamento na nuvem. Uma credencial de armazenamento também pode ser usada diretamente para criar tabelas externas.

Para criar uma credencial de armazenamento, o utilizador precisa do CREATE STORAGE CREDENTIAL privilégio na metastore do Unity Catalog.

Para mais informações sobre credenciais de armazenamento, consulte Visão Geral das credenciais de armazenamento.

Localização externa

Dentro de uma metastore, uma localização externa é um objeto securável que emparelha uma credencial de armazenamento com um caminho de armazenamento na cloud. Regula o acesso a um caminho específico no armazenamento na cloud.

Para criar uma localização externa, o utilizador precisa do CREATE EXTERNAL LOCATION privilégio na metastore do Unity Catalog.

Após criar uma localização externa, os utilizadores precisam do READ FILES privilégio de ler ficheiros diretamente do caminho de armazenamento e WRITE FILES do privilégio de escrever ficheiros. No entanto, a Databricks recomenda gerir o acesso ao armazenamento na cloud através de volumes e privilégios READ VOLUMEWRITE VOLUME e em vez de conceder READ FILES e WRITE FILES diretamente em locais externos.

Para obter mais informações sobre locais externos, consulte Visão geral de locais externos.

Metadados externos

Dentro de uma metastore, um objeto de metadados externo é um objeto securável usado para definir relações personalizadas de linhagem de dados para sistemas que operam fora do rastreamento nativo de linhagem do Unity Catalog.

Para criar um objeto de metadados externo, o utilizador precisa do CREATE EXTERNAL METADATA privilégio na metastore do Unity Catalog. Para adicionar ou modificar relações de linhagem no objeto, o utilizador precisa MODIFY do objeto de metadados externo, além dos privilégios apropriados sobre quaisquer objetos do Catálogo Unity referenciados na relação.

Para mais informações sobre metadados externos, consulte Ver linhagem de dados usando o Unity Catalog.

Credencial de serviço

Dentro de uma metastore, uma credencial de serviço é um objeto seguro que armazena informação de autenticação para aceder a serviços cloud externos. Isto é diferente das credenciais de armazenamento, que regulam o acesso ao armazenamento na nuvem.

Para criar uma credencial de serviço, o utilizador precisa do CREATE SERVICE CREDENTIAL privilégio na metastore do Unity Catalog.

O ACCESS privilégio permite ao utilizador usar a credencial do serviço para aceder a um serviço externo. CREATE CONNECTION Numa credencial de serviço (combinada com CREATE CONNECTION na Metastore) permite ao utilizador criar uma ligação a uma base de dados externa usando essa credencial.

Para mais informações sobre credenciais de serviço, consulte Criar credenciais de serviço.

Conexão

Dentro de uma metastore, uma ligação é um objeto securável que define uma ligação a um sistema de base de dados externo num cenário de Federação Lakehouse .

Para criar uma ligação, o utilizador precisa do CREATE CONNECTION privilégio na metastore do Unity Catalog. Se a ligação usar uma credencial de serviço, o utilizador também precisa CREATE CONNECTION dessa credencial de serviço.

O USE CONNECTION privilégio permite ao utilizador listar e visualizar detalhes da ligação e usar a remote_query função para executar consultas SQL diretamente na base de dados externa. CREATE FOREIGN CATALOG numa ligação permite ao utilizador criar um catálogo estrangeiro respaldado por essa ligação.

Para mais informações sobre ligações, consulte Gerir ligações para a Lakehouse Federation.

Partilhar

Dentro de uma metastore, uma partilha é um objeto seguro na Delta Sharing que representa um agrupamento lógico de ativos de dados (tabelas, vistas e volumes). Um fornecedor pode então disponibilizar a quota a destinatários externos.

O SELECT privilégio sobre uma ação é concedido a um destinatário (não a utilizadores individuais) para permitir que esse destinatário leia os ativos da partilha. Para criar uma partilha, um utilizador precisa do CREATE SHARE privilégio na metastore do Unity Catalog.

Para mais informações sobre partilhas, consulte Criar e gerir partilhas para a Delta Sharing.

Provider

Dentro de uma metastore, um fornecedor é um objeto securável na Delta Sharing que representa uma organização externa que partilhou dados com a sua organização. Os objetos do fornecedor são criados na metastore do Catálogo Unity do destinatário. O USE PROVIDER privilégio permite ao utilizador visualizar todos os fornecedores e as suas partilhas e, combinado com CREATE CATALOG, montar um catálogo partilhado sem precisar do papel de administrador da metastore.

Para criar um fornecedor, o utilizador precisa do CREATE PROVIDER privilégio na metastore do Unity Catalog.

Para mais informações sobre os prestadores, consulte O que é a Delta Sharing?.

Recipient

Dentro de uma metastore, um destinatário é um objeto seguro na Delta Sharing que representa uma organização externa ou grupo de utilizadores com quem um fornecedor partilha dados. Os objetos destinatários são criados na metastore Unity Catalog do fornecedor. Não podem ser concedidos privilégios a um objeto destinatário em si. O acesso a dados partilhados é controlado pela concessão SELECT de uma partilha ao destinatário.

Para criar um destinatário, o utilizador precisa do CREATE RECIPIENT privilégio na metastore do Unity Catalog.

Para mais informações sobre destinatários, consulte Criar e gerir destinatários de dados para a Partilha Delta (partilha Databricks-para-Databricks).

Sala limpa

Dentro de uma metastore, uma sala limpa é um objeto seguro que fornece um ambiente seguro para colaborar com outras organizações em dados partilhados, sem que nenhuma das partes exponha os seus dados subjacentes à outra.

Para criar uma sala limpa, o utilizador precisa do CREATE CLEAN ROOM privilégio na metastore do Unity Catalog.

O EXECUTE CLEAN ROOM TASK privilégio permite ao utilizador executar cadernos dentro da sala limpa e visualizar os detalhes da sala limpa. O MODIFY CLEAN ROOM privilégio permite ao utilizador atualizar a sala limpa, incluindo adicionar ou remover ativos de dados, cadernos e comentários.

Para mais informações sobre salas limpas, consulte O que é Azure Databricks Clean Rooms?.