🔓 オープンレイクハウスのガバナンスがついに統一へ Apache Iceberg コミュニティが、Iceberg REST Catalog に2つの新仕様を採用しました。エンジンやカタログごとにポリシーが分断される課題を解決する動きです🔥 ▶︎databricks.com/jp/blog/unify… ■ 読み取り制限（read restrictions） ・カタログがリクエスト元のIDと属性からポリシーを評価します ・結果として行フィルターや列マスク（9種の列プロジェクションアクション＋標準化された行フィルター式）を返します ・信頼されたエンジンがそれを適用する仕組みです ・Trino のように安全に構成されたデプロイは信頼できますが、任意コードを実行できる Spark や DuckDB は信頼されません ・信頼の確立方法（mTLS、OAuth など）は仕様の範囲外です ■ カタログラベル（catalog labels） ・Unity Catalog、Snowflake、AWS Lake Formation などをフェデレーションする際に活躍します ・テーブル／列単位の軽量なキー値メタデータ（例：pii=ssn）を Open API で受け渡します ・受け取り側が自身の分類やタグへ変換し、ローカルでポリシーを適用できます ・表現力・監査証跡・キャッシュ性能を維持できる点が利点です ・ただしセマンティクスは未標準のため、共通規約や明示的なマッピングが必要です ■ 使い分けの指針 ・信頼できないエンジン → Cross-engine ABAC による集中適用 ・信頼できるエンジン → 読み取り制限 ・独自ガバナンスを持つ別カタログ → カタログラベル #Databricks #ApacheIceberg #データガバナンス