Benutzerverwaltung¶

Best Practices bei Kennwortrichtlinien und Kennwörter¶

Snowflake empfiehlt die folgenden bewährten Methoden für Kennwörter und Kennwortrichtlinien:

Kundenspezifische Kennwortrichtlinie erstellen und durchsetzen

Das Kennwortrichtlinienobjekt wird durchgesetzt, sobald die Kennwortrichtlinie für ein Konto oder einen Benutzer festgelegt ist.

Setzen Sie diese Eigenschaften auf Werte, die Ihren internen Sicherheitsanforderungen entsprechen. Weitere Informationen dazu finden Sie unter Schritt 4: Kennwortrichtlinie erstellen (unter diesem Thema):

• PASSWORD_HISTORY, um sicherzustellen, dass Benutzer Kennwörter nicht zu häufig wiederverwenden können, und um Brute-Force-Angriffe zur Ermittlung des Kennworts eines Benutzers zu verhindern.

• PASSWORD_MIN_AGE_DAYS, um den Benutzer aufzufordern, das neue Kennwort zu verwenden. Ein Wert von 0 wird nicht empfohlen, da der Benutzer das Kennwort ändern kann, um den Kennwortverlauf zu erschöpfen und den ursprünglichen Kennwortwert zu früh wieder zu verwenden.

Damit der Benutzer bei der ersten oder nächsten Anmeldung bei Snowflake zur Änderung seines Kennworts aufgefordert wird, damit dieses der Kennwortrichtlinie entspricht, setzen Sie die Eigenschaft MUST_CHANGE_PASSWORD des Benutzers mit einem ALTER USER-Befehl auf TRUE.

Weitere Details dazu finden Sie unter Schritt 6: Kennwortänderung einfordern (unter diesem Thema).

Sichere Kennwörter einfordern

Definieren Sie eine Kennwortrichtlinie auf Kontoebene, um sichere Kennwörter einzufordern.

Ein sicheres Kennwort besteht aus mindestens 8 Zeichen und enthält eine Kombination aus Groß- und Kleinbuchstaben, Sonderzeichen (z. B. ! und *) sowie Ziffern.

MFA

Verwenden Sie Mehrstufige Authentifizierung (MFA) zur Erhöhung der Sicherheit.

Verwenden von SCIM

Sie können in einer SCIM-API-Anforderung ein Kennwort für den Benutzer für den Zugriff auf Snowflake festlegen. SCIM-Administratoren und Benutzeradministratoren sollten das Benutzerkennwort für den Zugriff auf Snowflake entweder über Ihren Identitätsanbieter oder mithilfe einer Kennwortrichtlinie in Snowflake verwalten.

Derzeit müssen Benutzer, die mit SCIM in Snowflake bereitgestellt werden, ihr Kennwort der Standard-Kennwortrichtlinie von Snowflake anpassen. Diese Anforderung kann durch Verwendung dieses Kennwortrichtlinien-Features umgangen werden.

Um die Standard-Kennwortrichtlinie zu umgehen, folgen Sie der Anleitung im Abschnitt Verwenden von Kennwortrichtlinien (unter diesem Thema).

Überwachen von Kennwörtern

So überwachen Sie Kennwörter:

• Fragen Sie die in Snowflake die Account Usage-Ansicht USERS ab, um festzustellen, ob der Wert der Spalte HAS_PASSWORD („hat Kennwort“) für einen bestimmten Benutzer TRUE („Wahr“) ist.

• Fragen Sie in Snowflake die Account Usage-Ansicht LOGIN_HISTORY ab, und werten Sie die Spalte FIRST_AUTHENTICATION_FACTOR aus. Wenn ein Benutzer für den Zugriff auf Snowflake kein Kennwort benötigt, führen Sie einen ALTER USER-Befehl aus, um die Eigenschaft password auf NULL zu setzen.

Von Snowflake bereitgestellte Kennwortrichtlinie¶

Ein Kennwort kann eine beliebige Zeichenfolge von bis zu 256 Zeichen unter Beachtung der Groß-/Kleinschreibung und einschließlich Leerzeichen und Sonderzeichen (d. h. nicht alphanumerische Zeichen) wie Ausrufezeichen (!), Prozentzeichen (%) und Sternchen (*) sein.

Während der erstmaligen Erstellung eines Benutzers ist es möglich, ein schwaches Kennwort für den Benutzer festzulegen, das die unten beschriebenen Mindestanforderungen nicht erfüllt (z. B. 'test12345'). Dieses Feature bietet Administratoren die Möglichkeit, während des Erstellungsprozesses generische Kennwörter für den Benutzer zu verwenden. Wenn diese Vorgehensweise gewählt wird, empfiehlt Snowflake dringend, die Eigenschaft MUST_CHANGE_PASSWORD auf TRUE zu setzen, damit Benutzer bei der nächsten Anmeldung, einschließlich der erstmaligen Anmeldung, gezwungen werden, ihr Kennwort auf Snowflake zu ändern.

Darüber hinaus ermöglicht Snowflake das Anlegen von Benutzern ohne Initialkennwort, um Geschäftsprozesse zu unterstützen, bei denen sich neue Benutzer nicht beim System anmelden dürfen. In diesem Fall hat die Eigenschaft PASSWORD des Benutzers den Wert NULL. Snowflake erwartet jedoch in der Regel, dass Benutzer mit Initialkennwörtern angelegt werden.

Im Zusammenhang mit dem Zurücksetzen eines bestehenden Kennworts (z. B. Änderung von 'test12345' in 'q@-*DaC2yjZoq3Re4JYX'), ersetzt Snowflake bei Verwendung des Befehls ALTER USER und der Weboberfläche die folgende Kennwortrichtlinie als Mindestanforderung durch:

• Muss mindestens 8 Zeichen lang sein.

• Muss mindestens 1 Ziffer enthalten.

• Muss mindestens 1 Großbuchstaben und 1 Kleinbuchstaben enthalten.

Snowflake empfiehlt dringend die Einhaltung der folgenden Richtlinien zum Erstellen möglichst starker Kennwörter:

• Erstellen Sie ein Kennwort nur für Snowflake (d. h. verwenden Sie nie dieselben Kennwörter auch bei anderen Systemen oder Konten).

• Verwenden Sie mehr als 8 Zeichen.

• Verwenden Sie verschiedene, zufällig angeordnete Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen einschließlich Leerzeichen.

• Verwenden Sie niemals einfach zu erratende, gängige Kennwörter, Namen, Zahlen oder Datumsangaben.

Um das höchste Sicherheitsniveau für die Benutzeranmeldung zu konfigurieren, empfiehlt Snowflake außerdem, dass sich Benutzer bei MFA anmelden.

Kundenspezifische Kennwortrichtlinie für Konto und Benutzer¶

Die kundenspezifische Kennwortrichtlinie ist ein Objekt auf Schemaebene, das die Anforderungen für das Erstellen und Zurücksetzen eines Kennworts zur Authentifizierung bei Snowflake festlegt, einschließlich der Anzahl der Versuche, das Kennwort erfolgreich einzugeben, und der Anzahl der Minuten, bevor eine erneute Eingabe des Kennworts erfolgen kann (d. h. die „Sperrungszeit“).

Die Anforderungen der Kennwortrichtlinie für ein Kennwort umfassen Groß-/Kleinbuchstaben, Sonderzeichen, Ziffern und Kennwortlänge, um die Sicherheitsanforderungen für Benutzer und Clients zur Authentifizierung bei Snowflake zu erfüllen. Kennwortrichtlinien, die sichere Kennwörter vorschreiben, helfen bei der Einhaltung von Sicherheitsrichtlinien und -bestimmungen.

Snowflake unterstützt das Festlegen einer Kennwortrichtlinie für Ihr Snowflake-Konto und für einzelne Benutzer. Für Ihr Snowflake-Konto oder einen Benutzer kann immer nur genau eine Kennwortrichtlinie festgelegt werden. Wenn für das Snowflake-Konto eine Kennwortrichtlinie vorhanden ist und für einen Benutzer desselben Snowflake-Kontos eine andere Kennwortrichtlinie festgelegt ist, hat die Kennwortrichtlinie auf Benutzerebene Vorrang vor der Kennwortrichtlinie auf Kontoebene.

Die Kennwortrichtlinie gilt für neue Kennwörter, die in Ihrem Snowflake-Konto festgelegt werden. Um sicherzustellen, dass Benutzer mit vorhandenen Kennwörtern die Anforderungen der Kennwortrichtlinie erfüllen, fordern Sie die Benutzer bei der nächsten Anmeldung bei Snowflake auf, das Kennwort zu ändern, wie unter Schritt 6: Kennwortänderung einfordern (unter diesem Thema) gezeigt.

Verwenden von Kennwortrichtlinien¶

Die folgenden Schritte sind eine repräsentative Anleitung für das Definieren und Festlegen einer Kennwortrichtlinie in Snowflake.

Bei diesen Schritten wird von einem zentralen Verwaltungsansatz ausgegangen, bei dem eine kundenspezifische Rolle mit dem Namen policy_admin Eigentümer der Kennwortrichtlinie ist (d. h. die Rolle hat die OWNERSHIP-Berechtigung für die Kennwortrichtlinie) und bei dem diese Rolle für das Zuweisen der Kennwortrichtlinie zu einem Konto oder einem Benutzer verantwortlich ist (d. h. die Rolle hat die Berechtigung APPLY PASSWORD POLICY wie in Schritt 2 gezeigt).

USE ROLE SECURITYADMIN;

GRANT USAGE ON DATABASE security TO ROLE policy_admin;

GRANT USAGE ON SCHEMA security.policies TO ROLE policy_admin;

GRANT CREATE PASSWORD POLICY ON SCHEMA security.policies TO ROLE policy_admin;

GRANT APPLY PASSWORD POLICY ON ACCOUNT TO ROLE policy_admin;

USE ROLE SECURITYADMIN;
GRANT ROLE policy_admin TO USER jsmith;

Verwalten von Kennwortrichtlinien¶

Snowflake bietet die folgenden Berechtigungen und DDL-Befehle zum Verwalten von Kennwortrichtlinien:

Snowflake bietet die folgenden DDL-Befehle zum Verwalten von Kennwortrichtlinienobjekten:

• CREATE PASSWORD POLICY

• ALTER PASSWORD POLICY

• DROP PASSWORD POLICY

• SHOW PASSWORD POLICIES

• DESCRIBE PASSWORD POLICY

Beachten Sie, dass für die Bearbeitung eines Objekts in einem Schema auch die Berechtigung USAGE für die übergeordnete Datenbank und das Schema erforderlich ist.

Übersicht der DDL-Befehle, Operationen und Berechtigungen¶

In der folgenden Tabelle wird die Beziehung zwischen den DDL-Operationen für Kennwortrichtlinien und den dafür erforderlichen Berechtigungen zusammengefasst.

Beachten Sie, dass für die Bearbeitung eines Objekts in einem Schema auch die Berechtigung USAGE für die übergeordnete Datenbank und das Schema erforderlich ist.

Verwenden von Snowsight¶

1. Melden Sie sich bei Snowsight an.

2. Wählen Sie Admin » Users & Roles aus.

3. Wählen Sie + User aus.

4. Geben Sie im Feld User Name einen eindeutigen Bezeichner für den Benutzer ein. Der Benutzer verwendet diesen Bezeichner, um sich bei Snowflake anzumelden, es sei denn, Sie geben einen Anmeldenamen an.

5. Geben Sie optional im Feld Email eine E-Mail-Adresse für den Benutzer an.

6. Geben Sie in den Feldern Password und Confirm Password das Kennwort für den Benutzer ein.

7. Fügen Sie optional einen Kommentar hinzu, der erklärt, warum Sie den Benutzer erstellt haben.

8. Lassen Sie das Kontrollkästchen Force user to change password on first time login aktiviert, um den Benutzer zu zwingen, sein Kennwort zu ändern, wenn er sich anmeldet.

9. Wählen Sie optional Advanced User Options aus, um weitere Details zu dem Benutzer anzugeben:

   • Login Name ist der Name, der anstelle des Benutzernamens (User Name) bei der Anmeldung in Snowflake zu verwenden ist.

   • Display Name ist der Name, der nach der Anmeldung angezeigt wird.

   • First Name (Vorname) und Last Name (Nachname), um das Benutzerprofil zu vervollständigen.

   • Default Role (Standardrolle), Default Warehouse (Standard-Warehouse) und Default Namespace (Standard-Namespace)

10. Wählen Sie Create User aus, um den Benutzer zu erstellen.

Verwenden der klassischen Konsole¶

1. Wählen Sie Account » Users aus.

2. Wählen Sie Create aus.

3. Geben Sie im Feld User Name einen eindeutigen Bezeichner für den Benutzer ein.

   Bemerkung

   Der Benutzername ist der eindeutige Bezeichner eines Benutzers in Snowflake. Dabei handelt es sich nicht um den Anmeldenamen des Benutzers (d. h. den Namen, den der Benutzer bei der Anmeldung bei Snowflake eingibt). In Snowflake können Benutzername und Anmeldename eines Benutzers unterschiedlich sein. Geben Sie auf dem nächsten Bildschirm einen Anmeldenamen für den Benutzer an.

4. Geben Sie in den Feldern Password und Confirm Password das Kennwort für den Benutzer ein.

5. Lassen Sie das Kontrollkästchen Force Password Change aktiviert, damit der Benutzer bei der nächsten Anmeldung zur Änderung seines Kennworts gezwungen wird. Andernfalls deaktivieren Sie das Kontrollkästchen.

6. Wählen Sie Next aus. Der Bildschirm Advanced wird angezeigt.

7. Geben Sie optional Login Name, Display Name und persönliche Daten für den Benutzer ein.

   Bemerkung

   Benutzer benötigen einen Anmeldenamen, um sich bei Snowflake anzumelden. Wenn Sie keinen Anmeldenamen explizit angeben, verwendet Snowflake den Benutzernamen als Anmeldenamen.

8. Wählen Sie Next aus. Der Bildschirm Preferences wird angezeigt.

9. Geben Sie optional Standardwerte für den Benutzer ein:

   • Virtuelles Warehouse

   • Namespace in der Form db_name oder db_name.schema_name

   • Rolle

10. Wählen Sie Finish aus. Snowflake zeigt eine Erfolgsmeldung an.

Verwenden von SQL¶

Verwenden Sie den Befehl CREATE USER, um einen Benutzer zu erstellen.

Verwenden von Snowsight¶

1. Melden Sie sich bei Snowsight an.

2. Wählen Sie Admin » Users & Roles aus.

3. Suchen Sie den Benutzer, dessen Kennwort Sie ändern möchten, und wählen Sie dann » Reset Password aus.

4. Geben Sie ein neues Kennwort für den Benutzer ein, und bestätigen Sie das Kennwort.

5. Wählen Sie Update aus.

Verwenden der klassischen Konsole¶

1. Wählen Sie Account » Users aus.

2. Klicken Sie auf die Zeile eines Benutzers, um diese zu markieren, und wählen Sie dann Reset Password (Kennwort zurücksetzen) aus. Das Dialogfenster Reset Password wird geöffnet.

3. Geben Sie das neue Kennwort des Benutzers ein, und bestätigen Sie das Kennwort.

4. Lassen Sie das Kontrollkästchen Force Password Change aktiviert, damit der Benutzer bei der nächsten Anmeldung zur Änderung seines Kennworts gezwungen wird. Andernfalls deaktivieren Sie das Kontrollkästchen.

5. Wählen Sie Finish aus.

Verwenden von SQL¶

Verwenden Sie den Befehl ALTER USER, um das Kennwort eines Benutzers einzugeben. Beispiel:

ALTER USER janesmith SET PASSWORD = 'H8MZRqa8gEe/kvHzvJ+Giq94DuCYoQXmfbb$Xnt' MUST_CHANGE_PASSWORD = TRUE;

Copy

Verwenden Sie alternativ die Syntax ALTER USER … RESET PASSWORD, um eine URL zu generieren und diese dem Benutzer bereitzustellen. Die URL führt zu einer Webseite, auf der der Benutzer das neue Kennwort eingeben kann. Beispiel:

ALTER USER janesmith RESET PASSWORD;

Copy

Bemerkung

• Die generierte URL ist nur für eine einmalige Verwendung gültig und erlischt nach 4 Stunden.

• Durch die Ausführung der ALTER USER … RESET PASSWORD-Anweisung wird das aktuelle Kennwort nicht ungültig. Der Benutzer kann das alte Kennwort so lange weiterverwenden, bis das neue Kennwort gesetzt ist.

Verwenden von Snowsight¶

1. Melden Sie sich bei Snowsight an.

2. Wählen Sie Admin » Users & Roles aus.

3. Suchen Sie den Benutzer, den Sie deaktivieren möchten, und wählen Sie » Disable User aus.

4. Wählen Sie im Bestätigungsdialog, der sich öffnet, Disable aus.

Führen Sie zum Aktivieren eines Benutzers die gleichen Schritte aus, aber wählen Sie Enable User (Benutzer aktivieren) aus.

Verwenden der klassischen Konsole¶

1. Klicken Sie auf Account » Users.

2. Klicken Sie auf eine Benutzerzeile, um diese auszuwählen, und klicken Sie dann auf die Schaltfläche Disable User. Ein Bestätigungsdialog wird geöffnet.

3. Klicken Sie auf Yes, um den Benutzer zu deaktivieren.

Führen Sie zum Aktivieren eines Benutzers die gleichen Schritte aus, aber wählen Sie Enable User (Benutzer aktivieren) aus.

Verwenden von SQL¶

Verwenden Sie den Befehl ALTER USER, um einen Benutzer zu deaktivieren oder zu aktivieren. Beispiel:

• Benutzer deaktivieren:

  ALTER USER janesmith SET DISABLED = TRUE;
  

  Copy

• Benutzer aktivieren:

  ALTER USER janesmith SET DISABLED = FALSE;
  

  Copy

Verwenden von Snowsight¶

1. Melden Sie sich bei Snowsight an.

2. Wählen Sie Admin » Users & Roles aus.

3. Suchen Sie den Benutzer, den Sie deaktivieren möchten, und wählen Sie » Drop aus.

4. Wählen Sie im Bestätigungsdialog, der sich öffnet, Drop User aus.

Verwenden der klassischen Konsole¶

1. Wählen Sie Account » Users aus.

2. Klicken Sie auf die Zeile eines Benutzers, um diese zu markieren, und wählen Sie dann Drop (Löschen) aus. Ein Bestätigungsdialog wird geöffnet.

3. Wählen Sie Yes aus, um den Benutzer zu löschen.

Verwenden von SQL¶

Verwenden Sie den Befehl DROP USER, um einen Benutzer zu löschen.

DROP USER janesmith;