Agora dá pra negar permissão de administrar permissão, mesmo pro dono do objeto
ABAC DENY policies chegaram em beta no Unity Catalog: uma política pode negar explicitamente o privilégio MANAGE ACCESS CONTROL a um principal específico, incluindo o dono do objeto, e essa negação sempre tem prioridade sobre qualquer concessão.