Применение тегов к защищаемым объектам каталога Unity

Теги — это атрибуты, включающие ключи и необязательные значения, которые можно использовать для упорядочивания и классификации защищаемых объектов в каталоге Unity. Использование тегов также упрощает поиск и обнаружение таблиц и представлений с помощью функции поиска рабочей области.

На этой странице показано, как применять теги к защищаемым объектам каталога Unity.

Предупреждение

Данные тегов хранятся как обычный текст и могут быть реплицированы глобально. Не используйте имена тегов, значения или дескрипторы, которые могут нарушить безопасность ресурсов. Например, не используйте имена тегов, значения или дескрипторы, содержащие личную или конфиденциальную информацию.

Поддерживаемые защищаемые объекты

Тегирование защищаемых объектов поддерживается в каталогах, схемах, таблицах, столбцах таблиц, томах, представлениях, функциях, зарегистрированных моделях, версиях моделей, секретах, внешних объектах метаданных и сервисах (сервисы моделей, сервисы поставщиков моделей, сервисы MCP и агентные сервисы). Дополнительные сведения о защищаемых объектах см. в разделе "Объекты в каталоге Unity".

Important

Процесс присвоения тегов внешним объектам метаданных находится в стадии общедоступного предварительного просмотра. Для поддержки SQL для тегов внешних метаданных требуется Databricks Runtime 18.2 или более поздней версии.

Теги также можно применять к панелям мониторинга, агентам Genie, приложениям Databricks и записным книжкам. См. статью "Управление тегами панели мониторинга", "Добавление тегов", " Применение тегов к приложениям Databricks" и "Применение тегов к записным книжкам".

Неявное наследование тегов в политиках ABAC

При оценке политик управления доступом на основе атрибутов (ABAC) теги, примененные на одном уровне объектной модели каталога Unity, автоматически применяются ко всем объектам под ним. Например, если вы помечаете каталог, все его схемы и таблицы неявно наследуют тег. Однако теги не наследуются на уровне столбца.

Неявное наследование тегов происходит во время оценки политики ABAC. Наследование тегов также применяется к поиску. Поиск тега возвращает как ассеты с тегом, применённым напрямую, так и ассеты, наследующие тег от родительского каталога или схемы. См. поиск и подбор.

Управляемые теги

Управляемые теги — это теги уровня учетной записи с примененными правилами для согласованности и управления. С помощью управляемых тегов можно определить разрешенные ключи и значения, а также контролировать, какие пользователи и группы могут назначать их объектам. Это гарантирует, что теги применяются последовательно и соответствуют стандартам организации, обеспечивая централизованный контроль над классификацией, соответствием и операциями.

Управляемые теги:

Можно назначать или изменять только пользователями или группами с соответствующими разрешениями.
Должен использовать значения, определенные в связанной политике тегов.
Помечены в пользовательском интерфейсе

Если вы создаете управляемый тег с тем же ключом, что и теги, которые уже назначены объектам, все существующие назначения тегов с этим ключом автоматически становятся управляемыми. См. раздел "Управление существующими назначениями тегов".

Если управляемый тег удаляется, связанные теги становятся неуправляемыми. Теги остаются на объектах, но любой пользователь может назначить или изменить их, не требуя разрешений. Пользователи с правильными привилегиями могут продолжать создавать и назначать теги, которые не регулируются.

Дополнительные сведения см. в разделе "Управляемые теги".

Чтобы назначать управляемые теги таблицам, столбцам и томам Unity Catalog в больших масштабах, вы можете автоматизировать назначение тегов вместо того, чтобы тегировать активы по одному. Сообщите Genie свои критерии для присвоения активам статуса сертифицированных или устаревших, предварительно просмотрите результаты в режиме пробного запуска, а затем включите автоматизацию, чтобы безопасно проставлять теги по расписанию. См. Автоматизировать управляемое назначение тегов (бета).

Системные теги

Системные теги — это особый тип управляемого тега, предопределенного Azure Databricks. Системные теги имеют несколько различных характеристик:

Определения системных тегов (ключи и значения) предопределяются Azure Databricks.
Пользователи не могут изменять или удалять ключи или значения системных тегов.
Пользователи могут контролировать, кому разрешено назначать или отменять назначение системных тегов с помощью параметров разрешений управляемых тегов.
Значок гаечного ключа отображается рядом с тегом. При назначении тегов можно отображать или скрывать системные теги с помощью переключателя " Включить системные теги ".

Системные теги предназначены для поддержки стандартизированного тегирования между организациями, особенно для таких примеров использования, как классификация данных, владение или отслеживание жизненного цикла. Используя предопределенные определения тегов, управляемые теги, системные теги помогают обеспечить согласованность без необходимости вручную определять структуры тегов или управлять ими.

Требования

Чтобы добавить теги в защищаемые объекты каталога Unity, необходимо владеть объектом или иметь все следующие привилегии:

APPLY TAG на объекте
USE SCHEMA на родительской схеме объекта
USE CATALOG в родительском каталоге объекта

Чтобы добавить управляемый тег в защищаемые объекты каталога Unity, необходимо также иметь разрешение ASSIGN для управляемого тега. См. раздел "Управление разрешениями" для управляемых тегов.

Ограничения

Ниже приведен список ограничений тегов:

Ключи тегов чувствительны к регистру. Например, Sales и sales — это два разных тега.
Можно назначить не более 50 тегов одному защищаемому объекту (таблице или столбцу).
Таблица может содержать не более 1000 тегов столбцов в общей сложности во всех его столбцах.
Максимальная длина ключа тега составляет 256 символов.
Максимальная длина значения тега составляет 256 символов.
Следующие символы не допускаются в ключах тегов:

. , - = / :
Конечные и начальные пробелы не допускаются в ключах тегов или значениях.
Для поиска тегов требуется точное сопоставление терминов.
Теги нельзя назначать нескольким столбцам в одной ALTER TABLE команде. Теги необходимо назначить каждому столбцу отдельно. Это отличается от COMMENT условия, которое поддерживает несколько столбцов в одной инструкции.

Добавлять и обновлять теги

Для зарегистрированных моделей необходимо использовать обозреватель каталогов или MLflow ClientAPI. См. раздел "Использование тегов в моделях".

Обозреватель каталогов

Щелкните Каталог на боковой панели.
Выберите защищаемый объект.
На странице обзора объекта в разделе "Теги" добавьте или обновите тег:
- Если тегов нет, нажмите кнопку "Добавить теги ".
- Если есть теги, щелкните значок добавления и редактирования тегов.
Выберите существующий ключ тега и значение или введите имя нового тега.
- Управляемые теги отображаются в заголовке раздела «Управляемые» и имеют значок Другие теги отображаются в разделе "Другие".
- Отображение или скрытие системных тегов (помеченных значком «Ключ») с помощью переключателя «Включить системные теги».
- Требуются ключи тегов. Необходимо ли значение тега, зависит от ключа тега.

SQL

В Databricks Runtime 16.1 и выше используйте SET TAG и UNSET TAG для управления тегами на защищаемых объектах. Для назначения тегов функциям и процедурам требуется Databricks Runtime версии 18.1 или выше. Рассмотрим пример.

SET TAG ON CATALOG catalog `cost_center` = `hr`;

UNSET TAG ON CATALOG catalog cost_center;

См SET . теги TAG и UNSET TAG.

В Databricks Runtime 13.3 и выше используйте команду ALTER <object> SQL с SET TAGS или UNSET TAGS для управления тегами на защищённых объектах. Рассмотрим пример.

-- Add the governed tag to ssn column
ALTER TABLE abac.customers.profiles
ALTER COLUMN SSN
SET TAGS ('pii' = 'ssn');

См. раздел операторы DDL для списка доступных команд языка определения данных (DDL) и их синтаксиса.

Убрать столбец с управляемыми тегами

При удалении столбца, которому присвоены один или несколько управляемых тегов, операция не удается. Чтобы удалить столбец с тегами, необходимо сначала удалить все управляемые теги из него. Выполните следующую последовательность, чтобы предотвратить потенциальные утечки данных.

Удалите тег:

UNSET TAG ON COLUMN <catalog>.<schema>.<table>.<column> <tag_key>;

Удалите столбец:

ALTER TABLE <catalog>.<schema>.<table>
  DROP COLUMN <column>;

Чтобы окончательно удалить данные столбца, выполните действия, описанные в разделе "Удалить столбцы". В противном случае перемещение во времени может раскрыть данные.

Примечание.

В отличие от других таблиц каталога Unity теги столбцов во внешних таблицах автоматически удаляются при удалении внешнего столбца таблицы на внешнем источнике данных, а изменения метаданных отражаются в каталоге Unity.

Используйте теги для поиска объектов Unity Catalog

На панели поиска рабочей области Azure Databricks можно использовать ключи тегов и значения тегов для поиска поддерживаемых объектов. Дополнительные сведения см. в разделе "Использование тегов для поиска".

Результаты поиска включают как объекты, к которым тег применён напрямую, так и объекты, наследующие тег от родительского каталога или схемы. Например, если применить team тег с значением sales к каталогу, поиск по этому тегу возвращает каталог вместе со схемами, таблицами и другими объектами под ним. Когда один и тот же ключ тега назначен на более чем одном уровне, применяется наиболее конкретное назначение.

Получение сведений о тегах из таблиц схемы сведений

Каждый каталог, созданный в Unity Catalog, включает INFORMATION_SCHEMA. Эта схема содержит таблицы, описывающие объекты, известные каталогу схемы. Для просмотра сведений о схеме необходимо иметь соответствующие привилегии.

Выполните запрос, чтобы получить сведения о теге:

Дополнительные сведения см. в информационной схеме.

Обратная связь

Были ли сведения на этой странице полезными?

Последнее обновление: 2026-11-11