Databricks Certified Data Engineer Professional 問題集

正解: B

正解の理由
Lakeflow Jobs のジョブの ACL は、Lakeflow Jobs の UI に出るジョブとその実行を守る。注記は「Run Now で起動したジョブは、Run Now を出したユーザーではなく、ジョブの所有者の権限を引き受ける」と書く。所有者の sp_etl は ledger の SELECT を持つので、ops のメンバーが押した実行でもノートブックは ledger を読める。ジョブの所有者は1人（1主体）だけで、グループは所有者になれない。実行の権限と、データへのアクセスの権限を分けて持てる作りになっている。

違う選択肢
「実行は押したメンバーの権限で動き、sp_etl の権限は使われないので、ledger を読むところで権限エラーになる」… ジョブの ACL の注記は、Run now で起動したジョブは押した人ではなくジョブの所有者の権限で動くと書いている。押したメンバーが ledger の権限を持たなくても、所有者の sp_etl が持っていれば読み取りは通るので、権限エラーにはならない。
「CAN MANAGE RUN では Run now を押せず、CAN MANAGE を与えるまで実行は始まらない」… ジョブの ACL の表では、Run now・パラメーターを変えての Run now・実行の取り消しは CAN MANAGE RUN から許される。CAN MANAGE が要るのはジョブの設定の編集・削除・権限の変更で、実行を始めるだけなら CAN MANAGE RUN で足りる。
「実行は始まるが、ops には CAN VIEW 相当の扱いになり、実行の結果とログは見られない」… 実行の結果の閲覧は CAN VIEW から、実行の Spark UI とログの閲覧は CAN MANAGE RUN から許される。ops は CAN MANAGE RUN を持つので、自分が起動した実行の結果もログも見られる。押した後に権限が CAN VIEW 相当へ下がる仕組みは無い。

押さえどころ
CAN MANAGE RUN の人は、既定値と違うパラメーターで Run now することもできる。所有者の権限で動く以上、パラメーターで読み書きの先を変えられる作りのジョブでは、誰に CAN MANAGE RUN を与えるかがデータへの到達範囲を決める。所有者は作成者が既定で持ち、サービスプリンシパルにしておくと人の異動の影響を受けない。