Aggregationsrichtlinien¶

Einschränkungen¶

Bei dieser Vorschau müssen Sie Folgendes beachten:

• Wenn die Abfrage ein explizites Gruppierungskonstrukt verwendet, muss es sich um eine GROUP BY-Klausel handeln. Die Abfrage kann keine verwandten Konstrukte wie GROUP BY ROLLUP, GROUP BY CUBE oder GROUP BY GROUPING SETS verwenden.

• Die meisten Mengenoperatoren sind nicht zulässig, wenn eine der Abfragen auf einer Tabelle mit Aggregationseinschränkung ausgeführt wird. Als Ausnahme wird UNION ALL unterstützt, aber jede Ergebnisgruppe muss die minimale Gruppengröße der abgefragten Tabellen mit Aggregationseinschränkung erfüllen (siehe Abfrageanforderungen).

• Wenn eine Spalte einer Tabelle mit Aggregationseinschränkung durch eine Projektionsrichtlinie geschützt ist, kann eine Abfrage auf dieser Tabelle die Spalte nicht als Argument der COUNT-Funktion verwenden.

• Rekursive CTEs sind in Abfragen auf Tabellen oder Ansichten mit Aggregationseinschränkung nicht zulässig.

• Fensterfunktionen sind in Abfragen auf Tabellen oder Ansichten mit Aggregationseinschränkung nicht zulässig.

• Eine Abfrage auf einer Tabelle mit Aggregationseinschränkung kann keine korrelierte Unterabfrage und keinen laterale Joins verwenden, wenn es Verweise auf oder von dem Teil der Abfrage gibt, der die Anforderungen der Aggregationsrichtlinie erfüllt. In den folgenden Beispielen werden die Typen von Abfragen beschrieben, die nicht zulässig sind.

  Beispiel 1

  Angenommen, protected_table ist eine Tabelle mit Aggregationseinschränkung, dann ist die folgende Abfrage nicht zulässig, weil der Teil der Abfrage, der Daten aggregiert, auf einen anderen Teil der Abfrage außerhalb der Unterabfrage verweist:

  SELECT c1, c2
  FROM open_table
  WHERE c1 = (SELECT x FROM protected_table WHERE y = open_table.c2);
  

  Copy

  Beispiel 2

  Angenommen, protected_table ist eine Tabelle mit Aggregationseinschränkung, dann ist die folgende Abfrage nicht zulässig, weil die Unterabfrage auf den Teil der Abfrage verweist, der Daten aggregiert, der sich außerhalb der Unterabfrage befindet:

  SELECT
    SUM(SELECT COUNT(*) FROM open_table ot WHERE pt.id = ot.id)
  FROM protected_table pt;
  

  Copy

Hinweise¶

Beachten Sie die folgenden Punkte, wenn Sie Aggregationsrichtlinien zum Schutz sensibler Daten verwenden:

• Aggregationsrichtlinien schützen die Daten eines einzelnen Datensatzes, nicht die einer Entität. Wenn ein Datenset mehrere Datensätze enthält, die zur selben Entität gehören, schützt eine Aggregationsrichtlinie nur die Daten in einem bestimmten Datensatz, der zu dieser Entität gehört, nicht die gesamte Entität.

• Aggregationsrichtlinien schränken zwar den Zugriff auf einzelne Datensätze ein, garantieren aber nicht, dass ein böswilliger Akteur nicht absichtliche Abfragen verwenden könnte, um potenziell sensible Daten aus einer Tabelle mit Aggregationseinschränkung zu erhalten. Bei genügend Abfrageversuchen könnte ein böswilliger Akteur möglicherweise die Aggregationsanforderungen umgehen, um einen Wert aus einer einzelnen Zeile zu ermitteln. Aggregationsrichtlinien eignen sich am besten für Partner und Kunden, zu denen Sie bereits ein gewisses Maß an Vertrauen haben. Darüber hinaus sollten Anbieter auf einen möglichen Missbrauch ihrer Daten achten (z. B. indem sie den Zugriffsverlauf auf ihre Freigabeangebote überprüfen).

Aufrufen interner Funktionen über den Richtlinientext (body)¶

Im Richtlinientext (body) einer Aggregationsrichtlinie werden zwei interne Funktionen verwendet, um die Einschränkungen der Richtlinie zu definieren: NO_AGGREGATION_CONSTRAINT und AGGREGATION_CONSTRAINT. Wenn eine dieser Funktionen von den Bedingungen im Richtlinientext aufgerufen werden, bestimmt der Rückgabewert der Funktion, wie Abfragen an die Tabelle oder Ansicht mit Aggregationseinschränkung formuliert werden müssen, um Ergebnisse zurückzugeben.

NO_AGGREGATION_CONSTRAINT

Wenn der Richtlinientext einen Wert für diese Funktion zurückgibt, können Abfragen Daten aus Tabellen oder Ansichten, die eine Aggregationseinschränkung aufweisen, ohne Einschränkung zurückgeben. Der Richtlinientext könnte diese Funktion beispielsweise aufrufen, wenn ein Administrator aus der Tabelle oder Ansicht mit Aggregationseinschränkung Ergebnisse benötigt, die nicht aggregiert sind.

Rufen Sie NO_AGGREGATION_CONSTRAINT ohne Argument auf.

AGGREGATION_CONSTRAINT

Wenn der Richtlinientext einen Wert aus dieser Funktion zurückgibt, müssen die Abfragen Daten aggregieren, um Ergebnisse zurückgeben zu können. Verwenden Sie das Argument MIN_GROUP_SIZE, um anzugeben, wie viele Datensätze in jeder Aggregationsgruppe enthalten sein müssen.

Die Syntax der AGGREGATION_CONSTRAINT-Funktion lautet:

AGGREGATION_CONSTRAINT ( MIN_GROUP_SIZE => <integer_expression> )

Copy

Wobei integer_expression die minimale Gruppengröße der Richtlinie darstellt.

Es gibt einen Unterschied zwischen der Übergabe von 1 und 0 als Argument an die Funktion. In beiden Fällen müssen die Ergebnisse aggregiert werden.

• Die Übergabe von 1 erfordert auch, dass jede Aggregationsgruppe mindestens einen Datensatz aus der Tabelle mit Aggregationseinschränkung enthält. Bei äußeren Verknüpfungen (Outer Join) muss also mindestens ein Datensatz aus der Tabelle mit Aggregationseinschränkung mit einem Datensatz aus einer ungeschützten Tabelle übereinstimmen.

• Durch die Übergabe von 0 kann die Abfrage Gruppen zurückgeben, die vollständig aus Datensätzen aus einer anderen Tabelle bestehen. Das bedeutet, dass bei äußeren Joins zwischen einer Tabelle mit Aggregationseinschränkung und einer ungeschützten Tabelle eine Gruppe aus Datensätzen aus der ungeschützten Tabelle bestehen kann, die mit keinem Datensatz in der Tabelle mit Aggregationseinschränkung übereinstimmen.

Beispiele für Richtlinien¶

Feste Mindestgruppengröße

Die einfachste Aggregationsrichtlinie ruft die Funktion AGGREGATION_CONSTRAINT direkt auf und definiert eine konstante Mindestgruppengröße, die auf alle Abfragen der Tabelle angewendet wird. Der folgende Befehl erstellt zum Beispiel eine Aggregationsrichtlinie mit einer Mindestgruppengröße von 5:

CREATE AGGREGATION POLICY my_agg_policy
  AS () RETURNS AGGREGATION_CONSTRAINT -> AGGREGATION_CONSTRAINT(MIN_GROUP_SIZE => 5);

Copy

Bedingte Richtlinie

Richtlinienadministratoren können den SQL-Ausdruck einer Aggregationsrichtlinie so definieren, dass für verschiedene Abfragen unterschiedliche Einschränkungen gelten, die auf Faktoren wie der Rolle des Benutzers, der die Abfrage ausführt, basieren. Diese Strategie kann es einem Benutzer ermöglichen, eine Tabelle ohne Einschränkungen abzufragen, während bei anderen die Ergebnisse aggregiert werden müssen.

Die folgende Aggregationsrichtlinie gewährt beispielsweise Benutzern mit der Rolle ADMIN uneingeschränkten Zugriff auf eine Tabelle, während bei Abfragen in allen anderen Fällen die Daten in Gruppen von mindestens 5 Zeilen aggregiert werden müssen.

CREATE AGGREGATION POLICY my_agg_policy
  AS () RETURNS AGGREGATION_CONSTRAINT ->
    CASE
      WHEN CURRENT_ROLE() = 'ADMIN'
        THEN NO_AGGREGATION_CONSTRAINT()
      ELSE AGGREGATION_CONSTRAINT(MIN_GROUP_SIZE => 5)
    END;

Copy

Aggregationsrichtlinie ersetzen¶

Die empfohlene Methode zum Ersetzen einer Aggregationsrichtlinie ist die Verwendung des Parameters FORCE, um mit einem Befehl die bestehende Aggregationsrichtlinie abzutrennen und die neue Aggregationsrichtlinie zuzuweisen. So können Sie die alte Richtlinie atomar ersetzen, ohne dass eine Sicherheitslücke entsteht.

So können Sie beispielsweise einer Tabelle, die bereits eine Aggregationseinschränkung aufweist, eine neue Aggregationsrichtlinie zuweisen:

ALTER TABLE privacy SET AGGREGATION POLICY agg_policy_2 FORCE;

Sie können die Aggregationsrichtlinie auch mit einer Anweisung (… UNSET AGGREGATION POLICY) von einer Tabelle oder Ansicht trennen und dann mit einer anderen Anweisung eine neue Richtlinie für die Tabelle oder Ansicht festlegen (… SET AGGREGATION POLICY <name>). Wenn Sie sich für diese Methode entscheiden, ist die Tabelle zwischen dem Trennen der einen Richtlinie und dem Zuweisen der anderen Richtlinie nicht durch eine Aggregationsrichtlinie geschützt. Wird in dieser Zeit eine Abfrage ausgeführt, könnte sie möglicherweise auf sensible Daten zugreifen.

Aggregationsrichtlinien ermitteln¶

Sie können die Ansicht AGGREGATION_POLICIES im Account Usage-Schema der freigegebenen SNOWFLAKE-Datenbank verwenden. Diese Ansicht ist ein Katalog aller Aggregationsrichtlinien in Ihrem Snowflake-Konto. Beispiel:

SELECT * FROM SNOWFLAKE.ACCOUNT_USAGE.AGGREGATION_POLICIES
ORDER BY POLICY_NAME;

Copy

Referenzen von Aggregationsrichtlinien erkennen¶

Die Information Schema-Tabellenfunktion POLICY_REFERENCES kann Referenzen auf Aggregationsrichtlinien identifizieren. Es gibt zwei verschiedene Syntaxoptionen:

1. Rückgabe einer Zeile für jedes Objekt (d. h. Tabelle oder Ansicht), auf das die angegebene Aggregationsrichtlinie festgelegt wurde:

   USE DATABASE my_db;
   USE SCHEMA information_schema;
   SELECT policy_name,
          policy_kind,
          ref_entity_name,
          ref_entity_domain,
          ref_column_name,
          ref_arg_column_names,
          policy_status
   FROM TABLE(information_schema.policy_references(policy_name => 'my_db.my_schema.aggpolicy'));
   

   Copy

2. Rückgabe einer Zeile für jede Richtlinie, die der Tabelle my_table zugewiesene ist:

   USE DATABASE my_db;
   USE SCHEMA information_schema;
   SELECT policy_name,
          policy_kind,
          ref_entity_name,
          ref_entity_domain,
          ref_column_name,
          ref_arg_column_names,
          policy_status
   FROM TABLE(information_schema.policy_references(ref_entity_name => 'my_db.my_schema.my_table', ref_entity_domain => 'table'));
   

   Copy

Andere Richtlinien¶

Dieser Abschnitt beschreibt, wie eine Aggregationsrichtlinie mit anderen Richtlinien interagiert, einschließlich Maskierungsrichtlinien, Zeilenzugriffsrichtlinien und Projektionsrichtlinien.

Sie können einer Tabelle mit Aggregationseinschränkung weitere Richtlinien zuweisen. Damit eine Abfrage der Tabelle erfolgreich ist, müssen die Anforderungen aller Richtlinien erfüllt werden.

Wenn einer Tabelle mit Aggregationseinschränkung eine Zeilenzugriffsrichtlinie zugewiesen ist, wird eine Zeile, die aufgrund der Zeilenzugriffsrichtlinie aus den Abfrageergebnissen ausgeschlossen wurde, bei der Berechnung der aggregierten Ergebnisse nicht berücksichtigt.

Der Richtlinientext einer Maskierungsrichtlinie, einer Zeilenzugriffsrichtlinie oder einer Projektionsrichtlinie kann nicht auf eine Tabelle mit Aggregationseinschränkung, einschließlich ihrer Spalten, verweisen. Ebenso darf der Richtlinientext der anderen Richtlinie keine UDF enthalten, die eine Referenz auf die Tabelle mit Aggregationseinschränkung enthält.

Ansichten und materialisierte Ansichten¶

Eine Aggregationsrichtlinie kann sowohl Ansichten als auch materialisierten Ansichten zugewiesen werden. Wenn eine Aggregationsrichtlinie auf eine Ansicht angewendet wird, bedeutet dies nicht, dass dadurch auch die zugrunde liegende Tabelle eine Aggregationseinschränkung aufweist. Diese Basistabelle kann weiterhin ohne Einschränkung abgefragt werden.

Um die Möglichkeit der Offenlegung sensibler Daten zu vermeiden, werden alle Ansichten mit Aggregationseinschränkung so behandelt, als seien sie sichere Ansichten, auch wenn sie es nicht sind.

Ob Sie eine Ansicht aus einer Tabelle mit Aggregationseinschränkung erstellen können, hängt vom Typ der Ansicht ab:

• Sie können eine Standardansicht aus einer oder mehreren Tabellen mit Aggregationseinschränkung erstellen, jedoch müssen Abfragen auf dieser Ansicht die Daten so aggregieren, dass die Einschränkungen der Basistabellen eingehalten werden.

• Sie können keine materialisierte Ansicht erstellen, die auf einer Tabelle oder Ansicht mit Aggregationseinschränkung basiert, und Sie können einer Tabelle oder Ansicht, auf denen eine materialisierte Ansicht basiert, keine Aggregationsrichtlinie zuweisen.

Geklonte Objekte¶

Der folgende Ansatz unterstützt Sie dabei, Daten vor Benutzern mit SELECT-Berechtigung für eine geklonte Tabelle oder Ansicht schützen, die in der geklonten Datenbank oder dem geklonten Schema gespeichert ist:

• Das Klonen eines einzelnen Aggregationsrichtlinienobjekts wird nicht unterstützt.

• Das Klonen einer Datenbank führt zum Klonen aller Aggregationsrichtlinien innerhalb der Datenbank.

• Das Klonen eines Schemas führt zum Klonen aller Aggregationsrichtlinien innerhalb des Schemas.

• Einer geklonten Tabelle sind dieselben Aggregationsrichtlinien zugeordnet wie der Quelltabelle.

  • Wenn eine Tabelle im Kontext des Klonens ihres übergeordneten Schemas geklont wird und die Quelltabelle einen Verweis auf eine Richtlinie in demselben übergeordneten Schema enthält (d. h. eine lokale Referenz), dann enthält auch die geklonte Tabelle eine Referenz auf die geklonte Aggregationsrichtlinie.

  • Wenn die Quelltabelle auf eine Aggregationsrichtlinie in einem anderen Schema verweist (d. h. eine Fremdreferenz), dann behält die geklonte Tabelle die Fremdreferenz bei.

Weitere Informationen dazu finden Sie unter CREATE <Objekt> … CLONE.

Replikation¶

Aggregationsrichtlinien und deren Zuweisungen können mithilfe von Datenbankreplikation und Replikationsgruppen repliziert werden.

Bei der Datenbankreplikation kann die Replikationsoperation fehlschlagen, wenn eine der folgenden Bedingungen erfüllt ist:

• Die Primärdatenbank befindet sich in einem Enterprise-Konto (oder höher) und enthält eine Richtlinie, aber mindestens eines der zur Replikation genehmigten Konten befindet sich in einer niedrigeren Edition.

• Eine in der Primärdatenbank enthaltene Tabelle oder Ansicht hat eine verwaiste Referenz auf eine Aggregationsrichtlinie in einer anderen Datenbank.

Das Verhalten von verwaisten Referenzen bei der Datenbankreplikation kann umgangen werden, wenn mehrere Datenbanken in einer Replikationsgruppe repliziert werden.

Berechtigungen von Aggregationsrichtlinien¶

Snowflake unterstützt die folgenden Berechtigungen für das Aggregationsrichtlinienobjekt.

Beachten Sie, dass für die Bearbeitung eines Objekts in einem Schema auch die Berechtigung USAGE für die übergeordnete Datenbank und das Schema erforderlich ist.

Weitere Details dazu finden Sie unter Übersicht der DDL-Befehle, Operationen und Berechtigungen (unter diesem Thema).

Übersicht zu DDL für Aggregationsrichtlinien¶

Snowflake unterstützt die folgenden DDL-Befehle zum Erstellen und Verwalten von Aggregationsrichtlinien:

• CREATE AGGREGATION POLICY

• ALTER AGGREGATION POLICY

• DESCRIBE AGGREGATION POLICY

• DROP AGGREGATION POLICY

• SHOW AGGREGATION POLICIES

Übersicht der DDL-Befehle, Operationen und Berechtigungen¶

Die folgende Tabelle fasst die Beziehung zwischen den Aggregationsrichtlinien-Berechtigungen und DDL-Operationen zusammen.

Beachten Sie, dass für die Bearbeitung eines Objekts in einem Schema auch die Berechtigung USAGE für die übergeordnete Datenbank und das Schema erforderlich ist.

Snowflake unterstützt verschiedene Berechtigungen zum Erstellen und Festlegen einer Aggregationsrichtlinie für ein Objekt.

1. Bei einem zentralen Ansatz für die Verwaltung von Aggregationsrichtlinien, bei dem die kundenspezifische Rolle aggregation_policy_admin Aggregationsrichtlinien für alle Objekte erstellt und festlegt, sind die folgenden Berechtigungen erforderlich:

   USE ROLE securityadmin;
   GRANT USAGE ON DATABASE mydb TO ROLE agg_policy_admin;
   GRANT USAGE ON SCHEMA mydb.schema TO ROLE proj_policy_admin;
   GRANT CREATE AGGREGATION POLICY ON SCHEMA mydb.schema TO ROLE aggregation_policy_admin;
   GRANT APPLY ON AGGREGATION POLICY ON ACCOUNT TO ROLE aggregation_policy_admin;
   

   Copy

2. In einem hybriden Verwaltungsansatz verfügt eine einzelne Rolle über die CREATE AGGREGATION POLICY-Berechtigung, um die konsistente Benennung der Aggregationsrichtlinien sicherzustellen, und einzelne Teams oder Rollen verfügen über die APPLY-Berechtigung für eine bestimmte Aggregationsrichtlinie.

   So kann beispielsweise der kundenspezifischen Rolle finance_role die Berechtigung erteilt werden, die Aggregationsrichtlinie cost_center für Tabellen und Ansichten festzulegen, deren Eigentümer die Rolle ist (d. h. die Rolle hat die OWNERSHIP-Berechtigung für die Tabelle oder Ansicht):

   USE ROLE securityadmin;
   GRANT CREATE AGGREGATION POLICY ON SCHEMA mydb.schema TO ROLE aggregation_policy_admin;
   GRANT APPLY ON AGGREGATION POLICY cost_center TO ROLE finance_role;
   

   Copy