该技能用于在 Databricks 中实现访问控制，方式包括 Unity Catalog 权限、工作区级授权（entitlements）和经 SCIM 同步的用户组。Unity Catalog 采用 catalog.schema.table 三级命名空间并支持权限继承，对 catalog 授予 USAGE 会向下传递给其 schema。
前置条件：Databricks Premium 或 Enterprise 版本并启用 Unity Catalog；具备账户级管理员权限以管理 SCIM 与用户组；身份提供方需支持 SAML 2.0 与 SCIM 2.0。
主要步骤：
- 通过 SCIM 创建账户级用户组，映射到 IdP 团队，例如使用 databricks account groups create --json 并指定 displayName 与 entitlements（workspace-access、databricks-sql-access）。
- 授予 Unity Catalog 权限：对数据工程师授予 analytics catalog 的 USAGE 及其 bronze/silver 的 CREATE、MODIFY、SELECT 与 gold 的 SELECT；对分析师仅授予 catalog USAGE 与 gold 的 SELECT。
- 应用集群策略（如 analyst-serverless-only），限制集群类型、自动终止时间和 worker 数量，防止启动昂贵集群。
- 配置 SQL 仓库权限，如用 databricks permissions update sql/warehouses WAREHOUSE_ID --json 为组分配 CAN_USE 或 CAN_MANAGE。
- 使用系统表审计，查询 system.access.audit 中的 Grant/Revoke 等操作。
常见问题：表级 PERMISSION_DENIED 多因缺少父级 catalog/schema 的 USAGE；SCIM 同步失败常因令牌过期；集群启动被阻止因无匹配策略；看不到 SQL 仓库因缺少 CAN_USE。
输出为应用后的配置或代码变更、验证报告及变更说明。其余细节（如具体官方日志文档链接、社区实践）暂未提供。