如何在Unity Catalog中为未来新建表授予SELECT访问权限

Unity Catalog 原生支持为后续新创建的表批量授予SELECT权限，依托其层级权限继承机制即可实现，配置逻辑比传统PostgreSQL的默认权限设置更简洁，不存在创建者角色不匹配导致授权失效的问题。

Unity Catalog 按照「元存储 -> Catalog -> Schema -> 表/视图/函数」的层级做权限管理，上层配置的未来对象权限会自动作用于配置生效后该层级下所有新建的对应对象，你可以根据授权范围选择对应命令：

• 场景1：为指定Catalog下所有Schema内后续新建的全部表授予SELECT权限
  在Databricks Notebook或SQL查询编辑器中执行如下命令即可：

  -- 将<catalog_name>替换为目标Catalog名，<principal>替换为要授权的用户、用户组或服务主体名
  GRANT SELECT ON FUTURE TABLES IN CATALOG <catalog_name> TO <principal>;
  

• 场景2：仅为指定Schema下后续新建的表授予SELECT权限
  执行如下命令：

  -- 替换占位符为实际的Catalog名、Schema名、授权主体名
  GRANT SELECT ON FUTURE TABLES IN SCHEMA <catalog_name>.<schema_name> TO <principal>;
  

• 上述未来权限规则仅对配置完成后新创建的表生效，配置前已经存在的存量表不会自动获得权限，需要单独执行授权命令补全：

  -- 授权Catalog下所有存量表SELECT权限
  GRANT SELECT ON ALL TABLES IN CATALOG <catalog_name> TO <principal>;
  -- 授权指定Schema下所有存量表SELECT权限
  GRANT SELECT ON ALL TABLES IN SCHEMA <catalog_name>.<schema_name> TO <principal>;
  

• 执行授权命令的前提：你需要是对应Catalog/Schema的所有者，或者拥有该层级的MANAGE权限，或是Unity Catalog元存储管理员，否则会抛出权限不足错误。
• 后续如果要收回该批量授权规则，执行对应REVOKE命令即可：

  -- 收回Catalog级未来表SELECT权限
  REVOKE SELECT ON FUTURE TABLES IN CATALOG <catalog_name> FROM <principal>;
  

  注意：收回未来权限规则不会自动回收规则生效期间已经创建的表上已授予的SELECT权限，存量表的权限需要单独执行REVOKE操作回收。
• 规则配置完成后，无论哪个用户在对应层级下创建新表，指定主体都会自动获得该表的SELECT权限，不会出现PostgreSQL中因表创建者角色与默认权限绑定角色不匹配，导致授权不生效的问题。

内容的提问来源于stack exchange，提问作者Will