Verwenden von Eigentümerrechten und beschränkten Aufruferrechten in einer Anwendung¶

Allgemeine Informationen zu Eigentümerrechten und beschränkten Aufruferrechten in einer Anwendung¶

Im Zusammenhang mit einer App werden die folgenden Typen von ausführbaren Dateien unterstützt:

• Gespeicherte Prozeduren im Besitz der Anwendung

• In Anwendungen mit Containern verfügbare Dienste

Alle diese Typen von ausführbaren Dateien können so konfiguriert werden, dass sie entweder die Rechte des Besitzenden oder die beschränkten Rechte des Aufrufenden verwenden.

Eigentümerrechte:

Standardmäßig verwenden ausführbare Dateien innerhalb einer App die Rechte des Besitzenden, was bedeutet, dass sie mit den Berechtigungen ausgeführt werden, die dem Besitzenden der ausführbaren Datei, bei der es sich um die App selbst handelt, erteilt wurden.

Die Rechte des Besitzenden ermöglichen es beispielsweise einer ausführbaren Datei, auf Daten im Konto des Anbietenden zuzugreifen und diese Daten dem Verbrauchenden zu präsentieren. Sie ermöglichen dem Verbrauchenden jedoch keinen direkten Zugriff auf die Daten.

Beispiel: Der Befehl CREATE PROCEDURE erstellt eine gespeicherte Prozedur, die standardmäßig die Rechte des Besitzenden verwendet. Verbrauchende können die gespeicherte Prozedur aufrufen, wenn ihnen der Zugriff über Anwendungsrollen gewährt wurde. Wenn die App über die Berechtigungen zum Ausführen einer Operation verfügt, kann die gespeicherte Prozedur diese Operation ausführen.

Allgemeine Informationen zu Rechten von Besitzenden finden Sie unter Erläuterungen zu gespeicherten Prozeduren mit Aufruferrechten und Eigentümerrechten.

Beschränkte Aufruferrechte:

Beschränkte Aufruferrechte erlauben es einer ausführbaren Datei, mit Aufruferrechten zu laufen, schränken aber die Berechtigungen des Aufrufers ein, mit denen die Datei läuft. Bei beschränkten Aufruferrechten kann eine ausführbare Datei, die einer Anwendung gehört, nicht mit einer bestimmten Berechtigung ausgeführt werden, es sei denn, ein Administrator im Benutzerkonto erlaubt dies ausdrücklich mit dem Befehl GRANT CALLER.

Bemerkung

Um zu gewährleisten, dass ausführbare Dateien in einer App sicher sind, unterstützen Snowflake Native Apps keine uneingeschränkten Rechte des Aufrufenden.

Allgemeine Informationen zu beschränkten Aufruferrechten finden Sie unter Beschränkte Aufruferrechte.

Bestimmen der Zugriffsanforderungen einer Anwendung¶

Snowflake Native Apps geben Anbietenden Flexibilität bei der Konfiguration des Zugriffs auf die von der App verwalteten Daten und ausführbaren Dateien. Die folgende Tabelle enthält Richtlinien für den zu verwendenden Mechanismus, abhängig von den Zugriffsanforderungen der App:

Fügen Sie die Eigenschaft restricted_callers_rights zum Manifest hinzu¶

Wenn Sie als Anbietender eine ausführbare Datei in einer App so konfigurieren, dass sie eingeschränkte Rechte für Aufrufende verwendet, empfiehlt Snowflake, die restricted_callers_rights zur Manifest-Datei hinzuzufügen, wie im folgenden Beispiel gezeigt:

restricted_callers_rights:
  enabled: true
  description: This app includes stored procedure that uses restricted caller's rights.

Wenn restricted_callers_rights vorhanden ist, obwohl es nicht erforderlich ist, und wenn enabled auf true, gesetzt ist, enthält Snowsight einen Abschnitt namens Restricted caller’s rights im Freigabeangebot der Anwendung.

Konfigurieren Sie eine Prozedur oder einen Dienst, um beschränkte Aufruferrechte zu verwenden¶

Um eine gespeicherte Prozedur zu erstellen, die eingeschränkte Rechte für den Aufrufenden nutzt, verwenden Sie die Klausel EXECUTE AS RESTRICTED CALLER, wenn die App eine ausführbare Datei erstellt, wie im folgenden Beispiel gezeigt:

CREATE OR REPLACE PROCEDURE CORE.HELLO()
RETURNS STRING
LANGUAGE SQL
EXECUTE AS RESTRICTED CALLER
AS
BEGIN
  RETURN 'Hello Snowflake!';
END;

Weitere Informationen dazu finden Sie unter CREATE PROCEDURE.

Verwenden eines Services mit eingeschränkten Rechten für den Aufrufenden in einer App mit Containern¶

Weitere Informationen zur Konfiguration eines Dienstes für die Verwendung beschränkter Aufruferrechte finden Sie unter Konnektivität mit Snowflake aus einem Container heraus unter Verwendung Aufruferrechte.

In einer App mit Containern kann ein Snowpark Container Services-Service mit den Berechtigungen der App (Rechte des Besitzenden) oder mit den Berechtigungen des Aufrufenden des Service (eingeschränkte Rechte des Aufrufenden) ausgeführt werden. Die Rolle service _owner_ anstelle der Rolle service _user_ ist jedoch die App. Bei der Gewährung von Berechtigungen für Aufrufende gibt ein Verbrauchender die App durch Verwendung der Klausel TO APPLICATION an, wie im folgenden Beispiel gezeigt:

GRANT CALLER USAGE ON DATABASE consumer_db TO APPLICATION hello_snowflake_app;

In diesem Beispiel kann der Dienst mit beschränkten Aufruferrechten ausgeführt werden, um die Rolle des Aufrufers für den Zugriff auf die Datenbank consumer_db zu verwenden.

Beschränkungen von beschränkten Aufruferrechten in einer Anwendung¶

Die folgenden Beschränkungen gelten bei der Verwendung beschränkter Aufruferrechte innerhalb einer Anwendung.

Aufrufen von Abrechnungsfunktionen aus einer Prozedur mit beschränkten Aufruferrechten in einer Anwendung¶

Abrechnungsfunktionen wie SYSTEM$CREATE_BILLING_EVENT oder SYSTEM$CREATE_BILLING_EVENTS können nicht von einer ausführbaren RCR-Datei aufgerufen werden. Um diese Funktionen von einer ausführbaren RCR-Datei in einer Anwendung aufzurufen, fügen Sie diese Funktionen in eine Prozedur mit Eigentümerrechten ein und rufen die Prozedur von der Prozedur mit beschränkten Aufruferrechten aus auf.

Schutz des geistigen Eigentums und beschränkte Aufruferrechte¶

Apps, die gespeicherte Prozeduren mit Eigentümerrechten enthalten, halten Informationen über die interne Implementierung der Anwendung zurück. Weitere Informationen dazu finden Sie unter Schutz des geistigen Eigentums von Anbietern.

Gespeicherte Prozeduren mit eingeschränkten Rechten für den Aufrufenden blenden auch interne Informationen über die App aus. Dies gilt insbesondere für die folgenden Befehle, Ansichten und Funktionen, bei denen ein Großteil der Informationen ausgeblendet sind:

• Befehl DESCRIBE PROCEDURE

• Die Ansicht PROCEDURES des Information Schema

• Die Ansicht PROCEDURES des Account Information Schema

• Funktion GET_DDL

Im Gegensatz zu gespeicherten Prozeduren mit Eigentümerrechten werden bei Prozeduren mit beschränkten Aufruferrechten jedoch keine Informationen aus dem Abfrageverlauf und den Abfrageprofilen entfernt.

Entwicklung von Anwendungen, die beschränkte Aufruferrechte nutzen¶

Im Allgemeinen können nur Rollen, denen die MANAGE CALLER GRANTS-Berechtigung zugewiesen wurde, einer ausführbaren Datei Rechte für den Aufrufenden gewähren. Während des Entwicklungszyklus einer Snowflake Native App müssen Anbietende die App häufig erstellen und löschen. Snowflake Native Apps bieten einen Mechanismus zur Erstellung von Rechten für Aufrufende für eine App im Entwicklungsmodus.

Anbieter können eine Rolle ohne die MANAGE CALLER GRANTS verwenden, um einer Anwendung Aufruferberechtigungen zu gewähren. Dazu müssen jedoch alle folgenden Punkte erfüllt sein:

• Die Anwendung muss im Entwicklungsmodus erstellt werden.

• Die aktuelle Rolle hat in der Rollenhierarchie die Rolle des Anwendungseigentümers.

• Die Rolle des Anwendungseigentümers verfügt über eine Obermenge der gewährten Aufruferberechtigungen.

  Bemerkung

  Die Berechtigung ALL CALLER PRIVILEGES ist eine Obermenge aller Aufruferberechtigungen.

Das Erfordernis der Obermenge kann nicht durch INHERITED CALLER-Berechtigungen erfüllt werden, die normalerweise alle aktuellen und zukünftigen Objekte eines bestimmten Typs unter einem bestimmten Container abdecken. Weitere Informationen dazu finden Sie unter GRANT CALLER.

Um diese Anforderung zu erfüllen, müssen die gewährten Aufruferberechtigungen ausdrücklich durch die Aufruferberechtigungen abgedeckt sein, die der Rolle des Anwendungseigentümers gewährt werden.

GRANT ALL INHERITED CALLER PRIVILEGES
  ON ALL DATABASES IN ACCOUNT
  TO ROLE app_dev_role;