Verwenden von Eigentümerrechten und beschränkten Aufruferrechten in einer Anwendung¶

Allgemeine Informationen zu Eigentümerrechten und beschränkten Aufruferrechten in einer Anwendung¶

Innerhalb einer Snowflake Native App werden ausführbare Dateien entweder mit Eigentümerrechten oder beschränkten Aufruferrechten ausgeführt. Im Rahmen von Snowflake Native App Framework werden die folgenden Arten von ausführbaren Dateien unterstützt:

• Gespeicherte Prozeduren im Besitz der Anwendung

• In Anwendungen mit Containern verfügbare Dienste

Eigentümerrechte:

Ausführbare Dateien, die Eigentümerrechte verwenden, werden mit den Berechtigungen ausgeführt, die dem Eigentümer der ausführbaren Datei gewährt wurden. Standardmäßig verwenden ausführbare Dateien innerhalb einer App Eigentümerrechte. Bei einer Anwendung ist der Eigentümer der ausführbaren Datei die Anwendung selbst.

Der Befehl CREATE PROCEDURE zum Beispiel erstellt eine gespeicherte Prozedur, die standardmäßig Eigentümerrechte verwendet. Verbraucher können die gespeicherte Prozedur aufrufen, wenn sie über Anwendungsrollen Zugriff erhalten haben. Wenn die Anwendung über die Berechtigungen zur Durchführung einer Aufgabe verfügt, kann die gespeicherte Prozedur diese Operation ausführen.

Informationen zu Eigentümerrechten finden Sie unter Erläuterungen zu gespeicherten Prozeduren mit Aufruferrechten und Eigentümerrechten.

Aufruferrechte:

Ausführbare Programme, die Aufruferrechte verwenden, werden mit den Berechtigungen ausgeführt, die dem Aufrufer gewährt wurden. Aus Sicherheitsgründen unterstützt Snowflake Native App Framework jedoch keine ausführbaren Dateien mit Aufruferrechten.

Beschränkte Aufruferrechte:

Beschränkte Aufruferrechte erlauben es einer ausführbaren Datei, mit Aufruferrechten zu laufen, schränken aber die Berechtigungen des Aufrufers ein, mit denen die Datei läuft. Bei beschränkten Aufruferrechten kann eine ausführbare Datei, die einer Anwendung gehört, nicht mit einer bestimmten Berechtigung ausgeführt werden, es sei denn, ein Administrator im Benutzerkonto erlaubt dies ausdrücklich mit dem Befehl GRANT CALLER.

Der Einfachheit halber werden ausführbare Dateien, die mit beschränkten Aufruferrechten ausgeführt werden, auch als RCR bezeichnet.

Allgemeine Informationen zu beschränkten Aufruferrechten finden Sie unter Beschränkte Aufruferrechte.

Bestimmen der Zugriffsanforderungen einer Anwendung¶

Snowflake Native App Framework bietet Anbietern Flexibilität bei der Konfiguration des Zugriffs auf die von der Anwendung verwalteten Daten und ausführbaren Dateien. Die folgende Tabelle enthält Richtlinien dafür, welcher Mechanismus je nach den Zugriffsanforderungen der Anwendung zu verwenden ist:

Fügen Sie die Eigenschaft restricted_callers_rights zum Manifest hinzu¶

Wenn Sie als Anbieter eine ausführbare RCR-Datei in eine Anwendung einbinden, empfiehlt Snowflake, die restricted_callers_rights zur Manifestdatei hinzuzufügen wie im folgenden Beispiel gezeigt:

restricted_callers_rights:
  enabled: true
  description: This app includes stored procedure that uses restricted caller's rights.

Wenn restricted_callers_rights vorhanden ist, obwohl es nicht erforderlich ist, und wenn enabled auf true, gesetzt ist, enthält Snowsight einen Abschnitt namens Restricted caller’s rights im Freigabeangebot der Anwendung.

Konfigurieren Sie eine Prozedur oder einen Dienst, um beschränkte Aufruferrechte zu verwenden¶

Um eine gespeicherte Prozedur zu erstellen, die beschränkte Aufruferrechte verwendet, verwenden Sie die Klausel EXECUTE AS RESTRICTED CALLER wie im folgenden Beispiel gezeigt:

CREATE OR REPLACE PROCEDURE CORE.HELLO()
RETURNS STRING
LANGUAGE SQL
EXECUTE AS RESTRICTED CALLER
AS
BEGIN
  RETURN 'Hello Snowflake!';
END;

Weitere Informationen dazu finden Sie unter CREATE PROCEDURE.

Verwendung eines Dienstes für beschränkte Aufruferrechte in einer Anwendung¶

Weitere Informationen zur Konfiguration eines Dienstes für die Verwendung beschränkter Aufruferrechte finden Sie unter Konnektivität mit Snowflake aus einem Container heraus unter Verwendung Aufruferrechte.

In einer Anwendung kann ein Snowpark Container Services-Dienst mit den Berechtigungen der Anwendung (Eigentümerrechte) oder mit den Berechtigungen des Aufrufers des Dienstes (beschränkte Aufruferrechte) ausgeführt werden. Die Rolle des Diensteigentümers ist jedoch die Anwendung und nicht die Rolle des Benutzers des Dienstes. Bei der Gewährung von Aufruferberechtigungen gibt ein Verbraucher die Anwendung mithilfe der TO APPLICATION-Klausel an wie im folgenden Beispiel gezeigt:

GRANT CALLER USAGE ON DATABASE consumer_db TO APPLICATION hello_snowflake_app;

In diesem Beispiel kann der Dienst mit beschränkten Aufruferrechten ausgeführt werden, um die Rolle des Aufrufers für den Zugriff auf die Datenbank consumer_db zu verwenden.

Beschränkungen von beschränkten Aufruferrechten in einer Anwendung¶

Die folgenden Beschränkungen gelten bei der Verwendung beschränkter Aufruferrechte innerhalb einer Anwendung.

Aufrufen von Abrechnungsfunktionen aus einer Prozedur mit beschränkten Aufruferrechten in einer Anwendung¶

Abrechnungsfunktionen wie SYSTEM$CREATE_BILLING_EVENT oder SYSTEM$CREATE_BILLING_EVENTS können nicht von einer ausführbaren RCR-Datei aufgerufen werden. Um diese Funktionen von einer ausführbaren RCR-Datei in einer Anwendung aufzurufen, fügen Sie diese Funktionen in eine Prozedur mit Eigentümerrechten ein und rufen die Prozedur von der Prozedur mit beschränkten Aufruferrechten aus auf.

Schutz des geistigen Eigentums und beschränkte Aufruferrechte¶

Apps, die gespeicherte Prozeduren mit Eigentümerrechten enthalten, halten Informationen über die interne Implementierung der Anwendung zurück. Weitere Informationen dazu finden Sie unter Schutz des geistigen Eigentums von Anbietern.

Gespeicherte Prozeduren mit beschränkten Aufruferrechten halten auch interne Informationen über die Anwendung zurück. Dies gilt insbesondere für die folgenden Befehle, Ansichten und Funktionen, bei denen ein Großteil der Informationen geschwärzt ist:

• Befehl DESCRIBE PROCEDURE

• Die Ansicht PROCEDURES des Information Schema

• Die Ansicht PROCEDURES des Account Information Schema

• Funktion GET_DDL

Im Gegensatz zu gespeicherten Prozeduren mit Eigentümerrechten werden bei Prozeduren mit beschränkten Aufruferrechten jedoch keine Informationen aus dem Abfrageverlauf und den Abfrageprofilen entfernt.

Entwicklung von Anwendungen, die beschränkte Aufruferrechte nutzen¶

Im Allgemeinen können nur Rollen, die über die Berechtigung MANAGE CALLER GRANTS verfügen, einer ausführbaren Datei Aufruferberechtigungen gewähren. Während des Entwicklungszyklus einer Snowflake Native App müssen Anbieter die Anwendung jedoch möglicherweise häufig erstellen und wieder löschen. Snowflake Native App Framework bietet einen Mechanismus zur Erstellung von Aufruferberechtigungen für eine Anwendung im Entwicklungsmodus.

Anbieter können eine Rolle ohne die MANAGE CALLER GRANTS verwenden, um einer Anwendung Aufruferberechtigungen zu gewähren. Dazu müssen jedoch alle folgenden Punkte erfüllt sein:

• Die Anwendung muss im Entwicklungsmodus erstellt werden.

• Die aktuelle Rolle hat in der Rollenhierarchie die Rolle des Anwendungseigentümers.

• Die Rolle des Anwendungseigentümers verfügt über eine Obermenge der gewährten Aufruferberechtigungen.

  Bemerkung

  Die Berechtigung ALL CALLER PRIVILEGES ist eine Obermenge aller Aufruferberechtigungen.

Das Erfordernis der Obermenge kann nicht durch INHERITED CALLER-Berechtigungen erfüllt werden, die normalerweise alle aktuellen und zukünftigen Objekte eines bestimmten Typs unter einem bestimmten Container abdecken. Weitere Informationen dazu finden Sie unter GRANT CALLER.

Um diese Anforderung zu erfüllen, müssen die gewährten Aufruferberechtigungen ausdrücklich durch die Aufruferberechtigungen abgedeckt sein, die der Rolle des Anwendungseigentümers gewährt werden.

GRANT ALL INHERITED CALLER PRIVILEGES
  ON ALL DATABASES IN ACCOUNT
  TO ROLE app_dev_role;