Verwalten der Benutzer und des Zugangs für Clean Rooms¶

Übersicht¶

This topic describes how a clean rooms account administrator manages user access to the clean rooms UI and API.

Clean rooms defines several application roles that permit access to the API and various subsections of the UI. Access to the clean rooms UI and API are granted separately. Typically, the account administrator creates a custom role, grants the desired application roles to allow fine-grained access to the UI and API, then grants the role to various users in that account.

This strategy uses the Snowflake role-based access control (RBAC) model to delegate privileges appropriately to clean room users and collaborators in their account. For more information about RBAC, see Übersicht zur Zugriffssteuerung. To see which users were granted a specific role, run the following SQL command:

SHOW GRANTS OF ROLE <role_name>;

Zugriff auf die Clean Room-UI verwalten¶

An administrator grants access to the clean rooms UI in a Snowflake account by granting the appropriate roles, either directly or indirectly. The administrator should also assign a default warehouse and grant USAGE privilege on it to UI users.

Die folgenden Rollen gewähren die Berechtigung, die Clean Rooms-UI zu verwalten oder darauf zuzugreifen:

• ACCOUNTADMIN: Rolle, die für die Installation oder Deinstallation der Clean Rooms-Umgebung verwendet wird. Diese Rolle ermöglicht auch den Zugriff auf die Snowflake Admin-Seite in der Clean Rooms-UI. Kontoadministratoren verwenden diese Seite, um die Benutzer- und Konto-Features des Service zu verwalten, wie z. B. die Cloud-übergreifende automatische Ausführung, externe und Iceberg-Tabellen und Datenset-Registrierung für UI-Benutzer. Diese Rolle hat alle Clean Room-UI-Berechtigungen. Ein Benutzer, der als ACCOUNTADMIN ausgeführt wird, benötigt keine zusätzlichen UI-Anwendungsrollen.

• MANAGE_CLEANROOMS: Anwendungsrolle, die die Fähigkeit bietet, Clean Rooms zu erstellen, zu aktualisieren, zu löschen und zu installieren sowie Analysen in der Clean Rooms-UI zu erstellen, zu aktualisieren, zu löschen und auszuführen.

• MANAGE_DCR_PROFILE_AND_FEATURES: Anwendungsrolle, die Zugriff auf die Profile & Features-Seite im Admin-Abschnitt der UI ermöglicht, wo Sie das Unternehmensprofil verwalten und steuern können, welche Konnektoren von Drittanbietern in Clean Rooms verwendet werden können.

• MANAGE_DCR_CONNECTORS: Anwendungsrolle, die Zugriff auf die Connectors-Seite in der UI ermöglicht, wo Sie Konnektoren von Drittanbietern konfigurieren können.

• MANAGE_DCR_COLLABORATORS: Anwendungsrolle, die Zugriff auf die Collaborators-Seite in der UI ermöglicht, wo Sie die Liste der zugelassenen Teilnehmer, die den Anbietern von Clean Rooms in der UI zur Verfügung stehen, verwalten können. Diese Rolle steuert nicht die Liste der Teilnehmer, die Anbietern bei der Verwendung der API zur Verfügung stehen. API-Benutzer können jeden zur Zusammenarbeit einladen. Weitere Informationen dazu finden Sie unter Verwalten von Clean Room-Teilnehmern.

Beispiel

Der folgende Code zeigt, wie Sie eine benutzerspezifische Rolle erstellen, dieser Rolle mehrere UI-Funktionen zuweisen und dann einem Benutzer die benutzerspezifische Rolle zuweisen.

-- Create the role.
USE ROLE ACCOUNTADMIN;
CREATE ROLE dcr_access;

-- Grant capabilities to the new role.
GRANT APPLICATION ROLE SAMOOHA_BY_SNOWFLAKE.MANAGE_CLEANROOMS TO ROLE dcr_access;
GRANT APPLICATION ROLE SAMOOHA_BY_SNOWFLAKE.MANAGE_DCR_COLLABORATORS TO ROLE dcr_access;
GRANT APPLICATION ROLE SAMOOHA_BY_SNOWFLAKE.MANAGE_DCR_PROFILE_AND_FEATURES TO ROLE dcr_access;
GRANT APPLICATION ROLE SAMOOHA_BY_SNOWFLAKE.MANAGE_DCR_CONNECTORS TO ROLE dcr_access;

-- Assign the role to a user.
-- You must also grant access to a default warehouse to the role.
GRANT USAGE ON WAREHOUSE <your_warehouse> TO ROLE dcr_access;
ALTER USER <some_user> SET DEFAULT_WAREHOUSE  =  <your_warehouse>;
GRANT ROLE dcr_access to USER <some_user>;

API-Benutzer verwalten¶

API-Zugriff wird über Rollen verwaltet. Die folgenden Snowflake-Rollen werden für den Zugriff auf oder die Verwaltung der API verwendet:

• ACCOUNTADMIN: Die Rolle, mit der Sie die Clean Rooms-Umgebung installieren oder deinstallieren. Diese Rolle enthält nicht SAMOOHA_APP_ROLE. Um die API zu verwenden, müssen Sie SAMOOHA_APP_ROLE verwenden.

• SAMOOHA_APP_ROLE: Diese Rolle gewährt eine volle Berechtigung für die Clean Rooms-API in diesem Konto. (Diese Rolle wird von der Clean Rooms-UI verwendet, um mit der API zu kommunizieren.)

• Entwicklerrolle „Nur ausführen“: jemand, der verwendet SAMOOHA_APP_ROLE kann Erteilen der Nutzungsberechtigung für eine Rolle mit eingeschränktem Zugriff-, ,. Diese Rolle, auch Ausführungsrolle genannt, gewährt die Berechtigung, eine Teilmenge von API-Prozeduren für eine Teilmenge von Clean Rooms im Verbraucherkontext zu verwenden. Diese eingeschränkten Rollen können Rollen gewährt werden, um bestimmten Benutzern, z. B. Datenanalysten, eine eingeschränkte Nutzung in Ihrem Konto zu ermöglichen.

USE ROLE ACCOUNTADMIN;
GRANT ROLE SAMOOHA_APP_ROLE TO USER <user_name>;

USE ROLE ACCOUNTADMIN;
REVOKE ROLE SAMOOHA_APP_ROLE FROM USER <user_name>;

Verwalten von Clean Room-Teilnehmern¶

Teilnehmer sind Benutzer, die von einem Clean Room-Anbieter als Verbraucher zu einem Clean Room eingeladen wurden.

When using the clean rooms UI, creators can invite collaborators from a list that is managed by someone using the MANAGE_DCR_COLLABORATORS role.

When using the clean rooms API, providers are not limited by a predefined collaborators list, and can add any clean room collaborator by Snowflake account locator. If you want to invite a collaborator without a Snowflake account, you must first create a clean room managed account for them. Remember that you invite an account to collaborate, not an individual user. Any user with clean rooms access in the invited account can join and use the clean room.