Unity CatalogのMANAGE権限、8月3日前に既存付与を再点検

Databricksは、2026年8月3日からUnity CatalogのMANAGE権限について、MANAGEを付与した同じオブジェクト上のUSE CATALOGまたはUSE SCHEMAを前提としない挙動へ変更する予定です。これまでUSE権限がないため実効性を持たなかった既存付与が、有効になる可能性があります。

要点

• 現在はカタログやスキーマのMANAGEを持っていても、同じオブジェクトのUSE権限がなければ管理操作が有効になりません。
• 変更後、カタログはそのカタログのMANAGEだけで管理でき、スキーマは親カタログのUSE CATALOGと対象スキーマのMANAGEで管理できます。
• 表を管理するには、親カタログと親スキーマのUSE権限、対象表のMANAGEが引き続き必要です。
• 過去に委任目的で広く付与したMANAGEが8月3日に有効化される可能性があるため、事前監査が必要です。

今回の更新で変わること

MANAGEは、所有者でなくてもオブジェクトの権限管理、所有権移転、削除を行える強い権限です。現在のUnity Catalogでは、カタログまたはスキーマへMANAGEを付与しても、その同じオブジェクトに対応するUSE CATALOGまたはUSE SCHEMAがなければ管理操作を実行できません。2026年8月3日以降は、MANAGEを付与した対象そのものについてUSE権限を重ねて持つ必要がなくなり、所有権に近い一貫した挙動になります。

具体的には、カタログを管理する場合は対象カタログのMANAGEだけになります。スキーマを管理する場合は、親カタログのUSE CATALOGと対象スキーマのMANAGEが必要です。表の場合は、親カタログのUSE CATALOG、親スキーマのUSE SCHEMA、対象表のMANAGEが必要で、親コンテナーをたどる権限は残ります。つまり、USE権限が一律に不要になるわけではなく、MANAGEを置いた同じオブジェクト上の重複要件だけが外れます。

変更されない点も重要です。SELECTなど他の権限は、引き続き親カタログとスキーマのUSE権限を必要とします。タグをスキーマへ適用する場合も、APPLY TAGに加えて対象スキーマのUSE SCHEMAと親カタログのUSE CATALOGが必要です。MANAGEの変更を、データ閲覧や通常操作のUSE要件廃止と解釈してはいけません。

運用上のリスクは、過去にMANAGEを広く付与したものの、USE権限がないため実質的に動かなかった付与です。変更後はそのMANAGEが有効になり、権限変更、所有権移転、削除が可能になる場合があります。Databricksは既存のMANAGE付与を監査し、意図した委任だけが残っているか確認するよう勧めています。記事公開日は変更の告知日であり、実際の挙動変更予定日は8月3日です。

対象になりそうなユーザー・チーム

Unity Catalog管理者、データガバナンス担当、IAM担当、カタログ・スキーマ管理を各部門へ委任しているプラットフォームチームに関係します。

押さえておきたいポイント

最も注意すべきなのは、新規付与より既存付与です。現在操作できないことを安全性の根拠にせず、MANAGEが付いている主体、付与元、対象オブジェクト、親コンテナーのUSE権限を一覧で確認する必要があります。

今すぐ対応が必要か

8月3日より前に監査したい変更です。不要なMANAGEを削除し、必要な委任はグループ単位に整理し、変更後に権限変更・所有権移転・削除のテストを行ってください。

結局、この更新をどう見るべきか

権限体系を簡潔にする変更ですが、これまで実効性のなかった強い権限を有効にする可能性があります。「USEがないから安全」という前提を捨て、MANAGEそのものを意図どおりに絞ることが必要です。