Snowflake Postgres-Rollen¶

Rolle snowflake_admin¶

Die Rolle snowflake_admin ist eine Postgres-Rolle mit hohen Berechtigungen, mit der Ihre Snowflake-Postgres-Instanz verwaltet wird. Dies ist kein vollständiger Postgres-Superuser; einige Vorgänge bleiben eingeschränkt und werden von Snowflake verwaltet. Die Rolle verfügt jedoch über erhöhte Berechtigungen, die Folgendes umfassen:

• Erstellen und Verwalten von Postgres-Rollen

• Erstellen und Verwalten von Datenbanken

• Verwalten der Replikation für Ihre Snowflake Postgres-Instanz

• Umgehen der Sicherheit auf Zeilenebene (RLS), wo zutreffend.

Darüber hinaus ist snowflake_admin Mitglied mehrerer integrierter Postgres-Rollen, die Überwachungs- und Betriebsfunktionen gewähren, einschließlich:

• pg_signal_backend

• pg_use_reserved_connections

• pg_create_subscription

• pg_read_all_settings

• pg_read_all_stats

• pg_stat_scan_tables

• pg_monitor

• snowflake_admin_group

Rolle application¶

Die application-Rolle ist eine Nicht-Superuser-Rolle, die standardmäßig über die Berechtigungen verfügt, Objekte in der postgres-Datenbank zu erstellen. Neue Berechtigungen oder die Eigentümerschaft für diese Rolle sollten von der snowflake_admin-Rolle gewährt werden-

Neuerstellen von Anmeldeinformationen für von Snowflake Postgres verwaltete Rollen¶

Anmeldeinformationen für die Rollen snowflake_admin und application werden generiert, wenn Sie die Instanz erstellen, und sie werden nur einmal angezeigt. Sie können diese Anmeldeinformationen jederzeit neu generieren, wodurch die vorhandenen Anmeldeinformationen ungültig werden.

Festlegen von Kennwörtern für andere Postgres-Rollen¶

Snowflake Postgres-Instanzen sind für die SCRAM-SHA-256-Kennwortauthentifizierung konfiguriert. Wenn neue Kennwörter festgelegt werden, wird ein SCRAM-SHA-256-Hash vom Server generiert und gespeichert. Wenn der Postgres-Parameter log_statement jedoch auf einen anderen Wert als none festgelegt ist, dann werden die Befehle CREATE ROLE und ALTER ROLE DDL vollständig im Postgres-Serverprotokoll protokolliert. Daher sollten Sie sicherstellen, dass keine Klartext-Kennwörter als Teil dieser Anweisungen protokolliert werden.

BEGIN;
SET LOCAL log_statement = 'none';
CREATE USER mynewrole PASSWORD 'mynewpassword';
COMMIT;

postgres=# CREATE ROLE mynewrole LOGIN;
CREATE ROLE

postgres=# \password mynewrole
Enter new password for user "mynewrole":
Enter it again:

postgres=# CREATE ROLE mynewrole LOGIN;
CREATE ROLE

postgres=# BEGIN;
BEGIN

postgres=# SET LOCAL log_statement = 'none';
SET

postgres=# \password mynewrole
Enter new password for user "mynewrole":
Enter it again:

postgres=# COMMIT;
COMMIT

Schutz vor geleakten Kennwörtern¶

Für Rollen auf Snowflake Postgres-Instanzen wird ein Schutz vor geleakten Kennwörtern bereitgestellt. Erkennung und Benachrichtigung funktionieren wie in unserer Haupt-Schutz vor geleakten Kennwörtern beschrieben. Wenn Snowflake ein geleaktes Kennwort für eine Ihrer Snowflake Postgres-Rollen entdeckt:

• Die Rolle wird der speziellen snowflake_nologin Postgres-Gruppenrolle hinzugefügt, um zukünftige Anmeldungen mit dieser Rolle zu verhindern.

• Alle bestehenden Verbindungen für die Rolle werden beendet.

• Die E-Mail-Benachrichtigung, die Sie erhalten, enthält den Betreff „Dringend – Zurücksetzen des Kennworts für Snowflake Postgres-Rolle(n), um nicht autorisierten Zugriff zu verhindern“.

Wenn Sie diese E-Mail erhalten, sollten Sie das Kennwort der Rolle sofort wie oben beschrieben sicher aktualisieren. Bei der Neugenerierung von Anmeldeinformationen für verwaltete Rollen werden diese automatisch aus der snowflake_nologin Postgres-Rollengruppe entfernt. Nicht verwaltete Rollen können nach der Aktualisierung des Kennworts der Rolle aus der snowflake_nologin-Gruppenrolle entfernt werden, indem Sie Postgres SQL mit der snowflake_admin-Rolle ausführen:

REVOKE snowflake_nologin FROM {rolename};