Benutzerverwaltung¶

Benutzertypen¶

Einige Benutzerobjekte entsprechen menschlichen Benutzern, während andere Benutzerobjekte einem Dienst oder einer Anwendung entsprechen, die ohne menschliche Interaktion programmatisch mit Snowflake interagiert. Wenn Sie ein Benutzerobjekt erstellen, geben Sie den Typ des Benutzers an, um zwischen Menschen und Diensten zu unterscheiden. Diese Unterscheidung ist wichtig, da menschliche Benutzer für die mehrstufige Authentifizierung (MFA) registriert sein sollten, Dienste und Anwendungen jedoch nicht, da Menschen sekundäre Authentifizierungsmethoden nicht verwenden.

Die Eigenschaft TYPE eines Benutzerobjekts bestimmt den Typ des Benutzers. Mögliche Werte für diese TYPE-Eigenschaft sind:

PERSON:

Benutzer ist ein menschlicher Benutzer, der mit Snowflake interagieren kann.

NULL:

Funktioniert genauso wie PERSON.

SERVICE:

Benutzer ist ein Dienst oder eine Anwendung, die mit Snowflake ohne menschliche Interaktion interagiert.

Um die Sicherheit nicht-interaktiver Anwendungsfälle zu verbessern, haben Benutzer, bei denen die Eigenschaft TYPE auf SERVICE festgelegt ist, die folgenden Eigenschaften:

• Sie können sich nicht mit einem Kennwort anmelden.

• Sie können sich nicht über SAML SSO anmelden.

• Sie können sich nicht in MFA registrieren.

• Sie unterliegen nicht der Durchsetzung der Authentifizierungsrichtlinie für MFA.

• Sie dürfen die folgenden Eigenschaften nicht haben:

  • FIRST_NAME

  • MIDDLE_NAME

  • LAST_NAME

  • PASSWORD

  • MUST_CHANGE_PASSWORD

  • MINS_TO_BYPASS_MFA

• Die folgenden Befehle können nicht verwendet werden:

  • ALTER USER RESET PASSWORD

  • ALTER USER SET DISABLE_MFA = TRUE

SNOWFLAKE_SERVICE:

Benutzer, der von Snowflake für Snowpark Container Services erstellt wird. Administratoren können weder Benutzer des Typs SNOWFLAKE_SERVICE anlegen noch den Typ eines bestehenden Benutzers in SNOWFLAKE_SERVICE ändern. Weitere Informationen über SNOWFLAKE_SERVICE-Benutzer finden Sie unter Verbinden mit Snowflake aus einem Container heraus.

LEGACY_SERVICE:

Ein Benutzer, dessen Eigenschaft TYPE auf LEGACY_SERVICE festgelegt ist, stellt eine nicht-interaktive Integration dar. Dies ähnelt SERVICE, erlaubt aber die Authentifizierung mit Kennwort und SAML. In einem zukünftigen Release wird der LEGACY_SERVICE-Typ veraltet sein. Zu diesem Zeitpunkt werden alle nicht-interaktiven Anwendungsfälle den SERVICE-Typ mit einer sicheren Authentifizierungsmethode verwenden.

LEGACY_SERVICE-Benutzer haben die folgenden Eigenschaften:

• Sie können sich im Gegensatz zu SERVICE-Benutzern mit Kennwort oder SAML-Authentifizierung anmelden.

• Sie haben die Eigenschaften eines SERVICE-Benutzers, verfügen aber über die Eigenschaften PASSWORD und MUST_CHANGE_PASSWORD.

• Sie haben die gleichen Befehlseinschränkungen wie ein Benutzer von SERVICE, können aber den Befehl ALTER USER RESET PASSWORD verwenden.

• Sie sind nicht von der Durchsetzung der mehrstufigen Authentifizierung (MFA) betroffen. Mit dieser Eigenschaft können Administratoren Authentifizierungsrichtlinien auf Kontenebene einstellen, die MFA für die Authentifizierung mit Kennwörtern erfordern, ohne dass eine Authentifizierungsrichtlinie auf Benutzerebene festgelegt werden muss, um zu verhindern, dass LEGACY_SERVICE-Benutzer MFA für die Authentifizierung mit Kennwörtern benötigen.

Benutzerrollen¶

Snowflake verwendet Rollen, um zu steuern, auf welche Objekte (virtuelle Warehouses, Datenbanken, Tabellen usw.) die Benutzer zugreifen können:

• Snowflake bietet eine Reihe vordefinierter Rollen sowie ein Framework zum Definieren einer Hierarchie von kundenspezifischen Rollen.

• Allen Snowflake-Benutzern wird automatisch die vordefinierte Rolle PUBLIC zugewiesen, die die Anmeldung bei Snowflake und den Zugriff auf grundlegende Objekte ermöglicht.

• Zusätzlich zu der Rolle PUBLIC kann jedem Benutzer eine zusätzliche Rolle zugewiesen werden, wobei eine dieser Rollen als Standardrolle bezeichnet wird. Die Standardrolle eines Benutzers bestimmt die Rolle, die in den vom Benutzer initiierten Snowflake-Sitzungen verwendet wird. Dies ist jedoch nur eine Standardeinstellung. Benutzer können jederzeit innerhalb einer Sitzung die Rollen wechseln.

• Rollen können bei der Benutzererstellung oder danach zugewiesen werden.

Erforderliche Berechtigungen zum Erstellen und Ändern von Benutzern¶

Die folgenden Rollen oder Berechtigungen sind erforderlich, um Benutzer in Ihrem Konto zu verwalten:

Benutzer erstellen:

Die Systemrolle USERADMIN kann Benutzer mit SQL (CREATE USER) erstellen.

Wenn Sie es vorziehen, eine kundenspezifische Rolle für diesen Zweck zu verwenden, erteilen Sie dieser Rolle die Berechtigung CREATE USER für das Konto.

Benutzer modifizieren:

Nur die Rolle mit der Berechtigung OWNERSHIP für einen Benutzer kann die meisten Benutzereigenschaften über SQL (ALTER USER) ändern.

Erstellen von Benutzern¶

In diesem Abschnitt wird beschrieben, wie Sie einen Benutzer in einem bestimmten Konto über die Weboberfläche Ihrer Wahl anlegen.

Berücksichtigen Sie bei der Wahl der Weboberfläche, sei es Classic Console oder Snowsight, dass Sie beim Anlegen eines Benutzers ein Kennwort angeben müssen. Die Befehle CREATE USER und UserCollection. create Python API tun dies nicht.

Deaktivieren/Aktivieren von Benutzern¶

Durch das Deaktivieren eines Benutzers kann sich der Benutzer nicht bei Snowflake anmelden. Sie können einen Benutzer über die folgenden Weboberflächen deaktivieren.

Entsperren eines Benutzers¶

Wenn eine Benutzeranmeldung nach fünf aufeinanderfolgenden Versuchen fehlschlägt, wird der Benutzer für einen bestimmten Zeitraum (derzeit 15 Minuten) von seinem Konto gesperrt. Nach Ablauf der Zeit löscht das System die Sperre automatisch und der Benutzer kann versuchen, sich erneut anzumelden.

Um den Benutzer vor Ablauf der Zeit zu entsperren, können Sie den Timer mit ALTER USER oder dem Befehl UserResource. create_or_alter Python API zurücksetzen.

Im folgenden Beispiel wird der Timer auf 0 zurückgesetzt, wodurch der Benutzer janesmith sofort entsperrt wird:

ALTER USER janesmith SET MINS_TO_UNLOCK= 0;

user_parameters = root.users["janesmith"].fetch()
user_parameters.mins_to_unlock = 0
root.users["janesmith"].create_or_alter(user_parameters)

Ändern der Sitzungsparameter eines Benutzers¶

• Verwenden Sie zum Anzeigen der Sitzungsparameter eines Benutzers die folgende SQL-Syntax:

  SHOW PARAMETERS [ LIKE '<pattern>' ] FOR USER <name>
  

  Copy

• Verwenden Sie die folgende Syntax, um die Sitzungsparameter für einen Benutzer zu ändern:

  ALTER USER <name> SET <session_param> = <value>
  

  Copy

  Ermöglichen Sie beispielsweise einem Benutzer, auf unbestimmte Zeit ohne Unterbrechung mit Snowflake verbunden zu bleiben:

  ALTER USER janesmith SET CLIENT_SESSION_KEEP_ALIVE = TRUE;
  

  Copy

• Verwenden Sie die folgende Syntax, um einen Sitzungsparameter für einen Benutzer auf den Standardwert zurückzusetzen:

  ALTER USER <name> UNSET <session_param>
  

  Copy

Ändern anderer Benutzereigenschaften¶

Alle anderen Eigenschaften des Benutzers können Sie mit ALTER USER oder dem Befehl UserResource. create_or_alter Python API ändern. Sie können viele der gleichen Benutzer-Eigenschaften mit Snowsight ändern.

Beispiel:

• Ändern des Nachnamens von Benutzer janesmith in Jones:

  SQL:

  ALTER USER janesmith SET LAST_NAME = 'Jones';
  

  Copy

  Python:

  user_parameters = root.users["janesmith"].fetch()
  user_parameters.last_name = "Jones"
  root.users["janesmith"].create_or_alter(user_parameters)
  

  Copy

  Snowsight:

  1. Melden Sie sich bei Snowsight an.

  2. Wählen Sie Admin » Users & Roles aus.

  3. Suchen Sie den Benutzer, den Sie bearbeiten möchten, und wählen Sie » Edit aus.

  4. Geben Sie im Feld Last Name den Wert Jones ein.

  5. Wählen Sie Save User aus.

• Einstellen oder Ändern der Standardwerte für Warehouse, Namespace, Primärrolle und Sekundärrolle für Benutzer janesmith:

  SQL:

  ALTER USER janesmith SET DEFAULT_WAREHOUSE = mywarehouse DEFAULT_NAMESPACE = mydatabase.myschema DEFAULT_ROLE = myrole DEFAULT_SECONDARY_ROLES = ('ALL');
  

  Copy

  Python:

  user_parameters = root.users["janesmith"].fetch()
  user_parameters.default_warehouse = "mywarehouse"
  user_parameters.default_namespace = "mydatabase.myschema"
  user_parameters.default_role = "myrole"
  user_parameters.default_secondary_roles = "ALL"
  root.users["janesmith"].create_or_alter(user_parameters)
  

  Copy

  Snowsight:

  Bemerkung

  Sie können keine Standard-Sekundärrollen für einen Benutzer mit Snowsight festlegen.

  1. Melden Sie sich bei Snowsight an.

  2. Wählen Sie Admin » Users & Roles aus.

  3. Suchen Sie den Benutzer, den Sie bearbeiten möchten, und wählen Sie » Edit aus.

  4. Öffnen Sie Advanced User Options, und geben Sie Werte in die entsprechenden Felder ein.

  5. Wählen Sie Save User aus.

Anzeigen von Benutzern¶

Sie können Informationen über Benutzer über die folgenden Weboberflächen anzeigen.

DESC USER janeksmith;

my_user = root.users["janesmith"].fetch()
print(my_user.to_dict())

users = root.users.iter(like="jane%")
for user in users:
  print(user.name)

Löschen eines Benutzers¶

Durch das Löschen eines Benutzers werden die Benutzeranmeldeinformationen von Snowflake entfernt.

Vom Benutzer erstellte Objekte, wie z. B. Tabellen oder Ansichten, werden nicht gelöscht, da sie der aktiven Rolle des Benutzers gehören, mit der die Objekte erstellt wurden. Ein anderer Benutzer, dem die gleiche Rolle oder eine höhere Rolle in der Rollenhierarchie zugewiesen wurde, kann die Objekte verwalten oder die Eigentümerschaft an eine andere Rolle übertragen.

DROP USER janesmith;

root.users["janesmith"].drop()