ACCESS_HISTORY-Ansicht¶

Spalten¶

In diesem Abschnitt gibt es zwei Tabellen:

• Die erste Tabelle definiert die Spalten in der ACCESS_HISTORY-Ansicht.

• Die zweite Tabelle definiert die Felder im JSON-Array für die Spalten BASE_OBJECTS_ACCESSED, DIRECT_OBJECTS_ACCESSED und OBJECTS_MODIFIED.

[
  {
    "objectDomain": "FUNCTION",
    "objectName": "GOVERNANCE.FUNCTIONS.RETURN_SUM",
    "objectId": "2",
    "argumentSignature": "(NUM1 NUMBER, NUM2 NUMBER)",
    "dataType": "NUMBER(38,0)"
  },
  {
    "columns": [
      {
        "columnId": 68610,
        "columnName": "CONTENT"
      }
    ],
    "objectDomain": "Table",
    "objectId": 66564,
    "objectName": "GOVERNANCE.TABLES.T1"
  }
]

[
  {
    "objectDomain": "FUNCTION",
    "objectName": "GOVERNANCE.FUNCTIONS.RETURN_SUM",
    "objectId": "2",
    "argumentSignature": "(NUM1 NUMBER, NUM2 NUMBER)",
    "dataType": "NUMBER(38,0)"
  },
  {
    "columns": [
      {
        "columnId": 68610,
        "columnName": "CONTENT"
      }
    ],
    "objectDomain": "Table",
    "objectId": 66564,
    "objectName": "GOVERNANCE.TABLES.T1"
  }
]

[
  {
    "objectDomain": "STRING",
    "objectId":  NUMBER,
    "objectName": "STRING",
    "columns": [
      {
        "columnId": "NUMBER",
        "columnName": "STRING",
        "baseSources": [
          {
            "columnName": STRING,
            "objectDomain": "STRING",
            "objectId": NUMBER,
            "objectName": "STRING"
          }
        ],
        "directSources": [
          {
            "columnName": STRING,
            "objectDomain": "STRING",
            "objectId": NUMBER,
            "objectName": "STRING"
          }
        ]
      }
    ]
  },
  ...
]

[
  {
    "columns": [
      {
        "columnId": 68610,
        "columnName": "SSN",
        "policies": [
          {
              "policyName": "governance.policies.ssn_mask",
              "policyId": 68811,
              "policyKind": "MASKING_POLICY"
          }
        ]
      }
    ],
    "objectDomain": "VIEW",
    "objectId": 66564,
    "objectName": "GOVERNANCE.VIEWS.V1",
    "policies": [
      {
        "policyName": "governance.policies.rap1",
        "policyId": 68813,
        "policyKind": "ROW_ACCESS_POLICY"
      }
    ]
  }
]

Die Felder im JSON-Array für die Spalten DIRECT_OBJECTS_ACCESSED, BASE_OBJECTS_ACCESSED, OBJECTS_MODIFIED und POLICIES_REFERENCED werden im Folgenden beschrieben.

Nutzungshinweise¶

Allgemeine Hinweise

• Die Ansicht enthält Daten ab dem 22. Februar 2021 an.

• Die Latenzzeit der Ansicht kann bis zu 180 Minuten (3 Stunden) betragen.

• Um die Leistung zu erhöhen, können Sie die Abfragen nach der Spalte QUERY_START_TIME filtern und engere Zeitbereiche auswählen. Beispielabfragen finden Sie unter Abfragen der ACCESS_HISTORY-Ansicht.

• Sichere Ansichten. Der Protokollsatz enthält die zugrunde liegende Basistabelle (d. h. BASE_OBJECTS_ACCESSED) zum Generieren der Ansicht. Beispiele hierfür sind Abfragen auf andere Account Usage-Ansichten sowie Abfragen auf Basistabellen für Extraktions-, Transformations- und Ladeoperationen (d. h. ETL).

• Datensätze in der Account Usage-Ansicht QUERY_HISTORY werden nicht immer in der Ansicht ACCESS_HISTORY erfasst. Die Struktur der SQL-Anweisung bestimmt, ob Snowflake Datensätze in der ACCESS_HISTORY-Ansicht erfasst.

• Die Angabe der USING-Klausel bei der Abfrage dieser Ansicht kann dazu führen, dass im Feld DIRECT_OBJECTS_ACCESSED nicht referenzierte Spalten erfasst werden. Ersetzten Sie als Problemumgehung die USING-Klausel durch eine JOIN ... ON ...-Klausel. Weitere Informationen dazu finden Sie unter:

  • JOIN und USING (unter dem Referenzthema zu JOIN)

  • Bewegung sensibler Stagingbereichsdaten verfolgen (in der Beispielabfrage zum Zugriffsverlauf)

Hinweise zu Leseabfragen

Diese Ansicht unterstützt Lese-Abfragen des folgenden Typs:

• SELECT, einschließlich CREATE TABLE … AS SELECT (d. h. CTAS).

  • Snowflake erfasst SELECT-Unterabfragen von CTAS-Operationen.

• CREATE TABLE … CLONE

  • Snowflake erfasst die Quelltabelle in einer CLONE-Operation.

• COPY INTO … TABLE

  • Snowflake protokolliert diese Abfrage nur dann, wenn die Tabelle in einer FROM-Klausel als Quelle angegeben wird.

• DML-Operationen, die Daten lesen (z. B. enthalten eine SELECT-Unterabfrage, geben bestimmte Spalten in WHERE oder JOIN an): INSERT … SELECT, UPDATE, DELETE und MERGE.

• UDFs und Tabellarische SQL-UDFs (UDTFs), wenn Tabellen innerhalb der Funktionen in Abfragen enthalten sind. Dies wird im Feld BASE_OBJECTS_ACCESSED protokolliert.

  Weitere Informationen zu UDFs finden Sie in den Nutzungshinweise zu UDFs (unter diesem Thema).

Hinweise zu Schreiboperationen

Diese Ansicht unterstützt Schreiboperationen des folgenden Typs:

• GET <interner_Stagingbereich>

• PUT <interner_Stagingbereich>

• DELETE

• TRUNCATE

• INSERT

  • INSERT INTO … FROM SELECT *

  • INSERT INTO TABLE … VALUES ()

• MERGE INTO … FROM SELECT *

• UPDATE

  • UPDATE TABLE … FROM SELECT * FROM …

  • UPDATE TABLE … WHERE …

• Anweisungen zum Laden von Daten:

  • COPY INTO TABLE FROM internalStage

  • COPY INTO TABLE FROM externalStage

  • COPY INTO TABLE FROM externalLocation

• Anweisungen zum Entladen von Daten:

  • COPY INTO internalStage FROM TABLE

  • COPY INTO externalStage FROM TABLE

  • COPY INTO externalLocation FROM TABLE

• CREATE:

  • CREATE DATABASE … CLONE

  • CREATE SCHEMA … CLONE

  • CREATE TABLE … CLONE

  • CREATE TABLE … AS SELECT

• Bei Schreiboperationen, die die Funktion CASE aufrufen, um die Spalten zu bestimmen, auf die zugegriffen werden soll (z. B. eine CTAS-Anweisung mit der Funktion CASE in der SELECT-Abfrage), werden alle Spalten, auf die in jedem CASE-Zweig verwiesen wird, in der Spalte BASE_OBJECTS_ACCESSED, der Spalte DIRECT_OBJECTS_ACCESSED oder in beiden Spalten erfasst, je nachdem, wie die CTAS-Anweisung geschrieben ist.

Hinweise zu Datenfreigaben (Data Sharing)

Wenn ein Data Sharing-Anbieterkonto Objekte für Data Sharing-Verbraucherkonten über eine Freigabe freigibt, gilt Folgendes:

• Anbieterkonten: Die Abfragen und Protokolle zu den freigegebenen Objekten, die im Anbieterkonto ausgeführt werden, sind für Data Sharing-Verbraucherkonten nicht sichtbar.

• Verbraucherkonten: Die im Verbraucherkonto ausgeführten Abfragen auf der Datenfreigabe werden protokolliert und sind nur für das Verbraucherkonto sichtbar, nicht aber für das Data Sharing-Anbieterkonto.

  Wenn der Anbieter beispielsweise eine Tabelle und eine aus der Tabelle erstellte Ansicht für das Verbraucherkonto freigibt und eine Abfrage auf der freigegebenen Ansicht ausführt, erfasst Snowflake den Zugriff auf die freigegebene Ansicht in der Spalte BASE_OBJECTS_ACCESSED. Anhand dieses Datensatzes, der die Werte columnName und objectName enthält, kann der Verbraucher erkennen, auf welches Objekt in seinem Konto zugegriffen wurde. Der Anbieter ist nun geschützt, da die zugrunde liegende Tabelle (über die Werte objectId und columnId) dem Verbraucher nicht offengelegt wird.

• Spaltenherkunft:

  Wenn ein Data-Sharing-Anbieter dem Data-Sharing-Verbraucher eine Ansicht zur Verfügung stellt, sind die Quellspalten der Ansicht für den Verbraucher nicht sichtbar, da die Spalten vom Data-Sharing-Anbieter stammen.

  Wenn der Data Sharing-Verbraucher Daten aus der freigegebenen Ansicht in eine Tabelle verschiebt, erfasst Snowflake die Ansichtsspalten nicht als baseSources der neu erstellten Tabelle.

• Bei freigegebenen UDFs und UDTFs:

  • Im Verbraucherkonto erfasst die lokale ACCESS_HISTORY-Ansicht die vom Anbieter freigegebene UDF/UDTF, wenn die freigegebene UDF/UDTF vom Verbraucher aufgerufen werden.

  • Im Anbieterkonto erfasst die lokale ACCESS_HISTORY-Ansicht die Nutzung einer freigegebenen UDF/UDTF durch den Anbieter. Benutzern im Verbraucherkonto wird nicht angezeigt, wie das Anbieterkonto die freigegebene UDF/UDTF verwendet.

• Für die Verfolgung von Richtlinienreferenzen:

  Die Spalte POLICIES_REFERENCED enthält Richtlinien, die für das Konto, das die Daten abfragt, lokal sind.

  Wenn ein Anbieter eine richtliniengeschützte Tabelle freigibt und ein Verbraucher auf diese Tabelle zugreift, kann der Verbraucher die vom Anbieter für die Tabelle oder deren Spalten festgelegte Richtlinie nicht sehen.

  Wenn ein Verbraucher aus dem freigegebenen Objekt eine Ansicht (v1) erstellt, dann eine Richtlinie für die Ansicht (v1) oder eine ihrer Spalten festlegt und nun ein Benutzer im Verbraucherkonto auf die geschützte Ansicht (v1) oder eine andere Ansicht (v2) zugreift, die aus der geschützten Ansicht (v1) erstellt wurde, enthält die Ansicht ACCESS_HISTORY im Verbraucherkonto die Richtlinie, die die Ansicht (v1) und deren Spalten schützt. Der Anbieter kann den Datensatz, der v1 entspricht, nicht sehen.

Hinweise zur Tag-basierten Maskierung

Wenn ein Benutzer auf eine Tabelle oder Ansicht zugreift, die durch eine Tag-basierte Maskierungsrichtlinie geschützt ist, enthält die Spalte POLICIES_REFERENCED die Maskierungsrichtlinie, die über das Tag angewendet wird, wenn Snowflake die Maskierungsrichtlinie für die geschützte Spalte erzwingt.

In der Ansicht ACCESS_HISTORY werden keine Tag-Informationen erfasst.

Nutzungshinweise zu UDFs und gespeicherten Prozeduren

Diese Hinweise gelten für externe Funktionen, UDFs und UDTFs für alle Sprachen, auch wenn diese Funktionen die Eigenschaft SECURE haben, sowie für gespeicherte Prozeduren mit Eigentümer- und Aufruferrechten:

Spaltendetails:

• Die Spalte DIRECT_OBJECTS_ACCESSED erfasst die ausdrückliche Nennung dieser Funktionen und Prozeduren in einer Abfrage.

  Snowflake erfasst in dieser Spalte keine verschachtelten UDFs (d. h. UDFs, die in der Definition einer anderen UDF genannt werden).

• Die Spalte BASE_OBJECTS_ACCESSED erfasst externe Funktionen, freigegebene Funktionen, Nicht-SQL-UDFs und gespeicherte Prozeduren, die in einer Abfrage aufgerufen werden.

• Die OBJECTS_MODIFIED-Spalte erfasst Folgendes:

  • Die UDF/UDTF, wenn das Ergebnis des Aufrufs der Funktion das Ergebnis in eine andere Spalte kopiert.

  • UDF, UDTF und externe Funktion können in den Arrays für baseSources und directSources erfasst werden, je nachdem wie die Abfrage geschrieben ist.

Nicht unterstützt

Diese Ansicht protokolliert nicht den Zugriff folgender Typen:

• Von Snowflake bereitgestellte Tabellenfunktionen oder andere Account Usage-Ansichten.

• RESULT_SCAN zum Ermitteln vorheriger Ergebnisse.

• Sequenzen, einschließlich der Generierung neuer Werte.

• Zwischenansichten, auf die zwischen der Basistabelle und dem direkten Objekt zugegriffen wird.

  Betrachten Sie zum Beispiel eine Abfrage auf View_A mit der folgenden Objektstruktur: View_A » View_B » View_C » Base_Table.

  Die ACCESS_HISTORY-Ansicht erfasst die Abfrage auf Ansicht_A und auf die Basistabelle, aber nicht Ansicht_B und Ansicht_C.

• Operationen zum Befüllen von Ansichten, materialisierten Ansichten und Streams

• Verschieben von Daten für Replikation

Nutzungshinweise: Spaltenherkunft¶

Diese zusätzlichen Hinweise beziehen sich auf die Spaltenherkunft:

Unterstützte Operationen

Die Spaltenherkunft verfolgt Details zu den folgenden SQL-Operationen:

• CREATE TABLE … AS SELECT (d. h. CTAS)

• CREATE TABLE … CLONE

• INSERT … SELECT …

• MERGE

• UPDATE mit zwei möglichen Varianten, z. B.:

  • Selbstupdate:

    update mydb.s1.t1 set col_1 = col_1 + 1;
    

  • Zwei-Tabellen-Update:

    update mydb.s1.t1 from mydb.s2.t2 set t1.col1 = t2.col1;
    

Abfragebedingungen

• Abfrageprofil/Abfrageplan

  Der von Snowflake geschriebene Abfrageplan bestimmt, ob die Ansicht ACCESS_HISTORY die Spaltenherkunft enthält oder nicht. Wenn eine Spalte als Teil des Abfrageplans ausgewertet werden muss, übernimmt Snowflake die Spalte selbst dann in die Ansicht ACCESS_HISTORY, wenn das Endergebnis des Abfrageplans darin besteht, dass die Spalte nicht im Endergebnis enthalten ist.

  Betrachten Sie beispielsweise die folgende INSERT-Anweisung mit einer WHERE-Klausel für einen bestimmten Spaltenwert:

  insert into a(c1)
  select c2
  from b
  where c3 > 1;
  

  Auch wenn die WHERE-Klausel den Wert FALSE ergibt, erfasst Snowflake die Spalte c2 als Quellspalte der Spalte c1. Die Spalte c3 ist weder für baseSources noch für directSources als Quellspalte aufgeführt.

• Maskierte Spalten:

  • Eine maskierte Spalte wird immer im Feld directSources aufgeführt.

  • Der Datensatz im Feld baseSources hängt von der Definition der Richtlinie ab. Beispiel:

    • Wenn in den Bedingungen der Maskierungsrichtlinie eine CASE-Funktion verwendet wird, werden im Feld baseSources alle Spalten erfasst, auf die in den CASE-Zweigen verwiesen wird.

    • Wenn in den Bedingungen der Maskierungsrichtlinie nur ein konstanter Wert angeben ist (z. B. *****), bleibt das Feld baseSources leer.

• UDFs:

  • Wenn eine Spalte als Argument an einen UDF übergeben und das Ergebnis in eine andere Spalte geschrieben wird, wird die als Argument übergebene Spalte im Feld directSources erfasst. Beispiel:

    insert into A(col1) select f(col2) from B;
    

    In diesem Beispiel erfasst Snowflake col2 im Feld directSources, weil die Spalte ein Argument der UDF mit dem Namen f ist.

  • Der Datensatz im Feld baseSources hängt von der UDF-Definition ab.

Ansichtsspalten

Ansichtspalten gelten nicht als Quellspalten, sodass sie beim Kopieren von Daten aus einer Ansichtsspalte in eine Tabellenspalte nicht im Feld baseSources erfasst. Ansichtsspalten werden in diesem Fall im Feld directSources erfasst.

EXISTS-Unterabfrage

Spalten, auf die in der Klausel der EXISTS-Unterabfrage verwiesen wird, gelten nicht als Quellspalten.