Databricks Certified Data Analyst Associate 問題集

正解: C

正解の理由
権限のモデルの「Composite and child privileges」は、いくつかの権限が複合（composite）と子（child）の関係にあると書く。MANAGE は複合の権限で、READ METADATA と MANAGE ACCESS CONTROL がその子である。ページは、複合の権限と子の権限は別々に付与・取り消しされ、複合の権限を取り消しても、明示に付与した子の権限は取り消されないと書く。MANAGE を外しても、明示に付与した READ METADATA はスチュワードに残る。

違う選択肢
「何も残らない。READ METADATA は MANAGE の子なので、一緒に取り消される」… MANAGE と READ METADATA は複合と子の関係にあるが、付与と取り消しは別々である。MANAGE を取り消しても、明示に付与した READ METADATA は一緒には外れない。
「REVOKE は失敗する。子の権限を先に取り消さないと、MANAGE を外せない」… ページは、子の権限を先に取り消す順番を求めていない。複合の権限と子の権限は別々に取り消せるので、MANAGE の REVOKE はそのまま通る。
「READ METADATA は残るが、親の MANAGE が無いので、メタデータは見えない」… READ METADATA は、MANAGE が持つ変更や管理の働きを除いて、オブジェクトのメタデータを読み取りだけで見せる権限である。それ自体で働き、親の MANAGE を前提にしない。

担当替えで見落としやすい点
担当から外すときは、複合の権限だけでなく、明示に付与した子の権限も確かめて取り消す。もう1つの子の MANAGE ACCESS CONTROL は、権限・所有権・ABAC のポリシーの管理という、MANAGE のうちアクセスの管理の部分にあたる。こちらは ABAC の DENY のポリシーで拒否できるが、付与はできない。