Freigabe von sicheren Datenbankobjekten¶

Datenbankrollen erstellen¶

Erstellen Sie eine neue Datenbankrolle, oder ersetzen Sie eine vorhandene Datenbankrolle mit CREATE DATABASE ROLE.

Erstellen Sie zum Beispiel die Datenbankrollen d1.r1 und d1.r2 mit vollqualifizierten Bezeichnern:

CREATE DATABASE ROLE d1.r1;

CREATE DATABASE ROLE d1.r2;

Alternativ dazu können Sie die gewünschte Datenbank als aktuelle Datenbank in der Sitzung festlegen und dann die Datenbankrollen erstellen:

USE DATABASE d1;

CREATE DATABASE ROLE r1;

CREATE DATABASE ROLE r2;

Berechtigungen auf Objekte an Datenbankrollen erteilen¶

Weisen Sie jeder Datenbankrolle mit GRANT <Berechtigungen> die Berechtigungen für eine einzelne Datenbank und für eine Teilmenge der Objekte in der Datenbank zu. Erteilen Sie nur Berechtigungen für Objekte, auf die die Datenbankrolle Zugriff gewähren soll.

Geben Sie entweder den vollqualifizierten Namen einer Datenbankrolle an, oder legen Sie die Datenbank als aktive Datenbank einer Sitzung fest und geben Sie dann den relativen Namen an.

In Fortsetzung des erweiterten Beispiels in dieser Anleitung werden den Datenbankrollen die folgenden Berechtigungen erteilt:

Mit den folgenden SQL-Anweisungen werden die Berechtigungen der Datenbankrolle d1.r1 zugewiesen:

GRANT USAGE ON SCHEMA d1.s1 TO DATABASE ROLE d1.r1;
GRANT SELECT ON VIEW d1.s1.v1 TO DATABASE ROLE d1.r1;

Mit den folgenden SQL-Anweisungen werden die Berechtigungen der Datenbankrolle d1.r2 zugewiesen:

GRANT USAGE ON SCHEMA d1.s1 TO DATABASE ROLE d1.r2;
GRANT SELECT ON VIEW d1.s1.v2 TO DATABASE ROLE d1.r2;

Die Erteilung der USAGE-Berechtigung für die übergeordnete Datenbank ist nicht erforderlich. Diese Berechtigung wird implizit zugewiesen, wenn eine Datenbankrolle erstellt wird.

Um alle einer Datenbankrolle erteilten Berechtigungen anzuzeigen, führen Sie SHOW GRANTS TO DATABASE ROLE unter Verwendung vollqualifizierter Bezeichner aus:

SHOW GRANTS TO DATABASE ROLE d1.r1;
SHOW GRANTS TO DATABASE ROLE d1.r2;

Alternativ können Sie auch die gewünschte Datenbank als aktuelle Datenbank der Sitzung festlegen und dann den Befehl ausführen:

USE DATABASE d1;

SHOW GRANTS TO DATABASE ROLE r1;
SHOW GRANTS TO DATABASE ROLE r2;

Freigabe erstellen¶

Erstellen Sie eine Freigabe mit CREATE SHARE. Die Freigabe ist in dieser Phase des Prozesses ein leerer Container.

Erstellen Sie zum Beispiel eine neue Freigabe mit dem Namen share1:

CREATE SHARE share1;

Datenbank durch Zuweisen der USAGE-Berechtigung zur Freigabe hinzufügen¶

Derzeit ist es erforderlich, die USAGE-Berechtigung einer Datenbank zu erteilen, damit sie in eine Freigabe aufgenommen wird.

Erteilen Sie beispielsweise der Freigabe share1 die USAGE-Berechtigung für die Datenbank d1:

GRANT USAGE ON DATABASE d1 TO SHARE share1;

Objekte hinzufügen, indem Sie der Freigabe Datenbankrollen zuweisen¶

Fügen Sie Datenbanken und Datenbankobjekte zu einer Freigabe hinzu, indem Sie der Freigabe mit GRANT DATABASE ROLE … TO SHARE Datenbankrollen zuweisen.

Weisen Sie beispielsweise der Freigabe share1 die Datenbankrollen d1.r1 und d1.r2 zu.

GRANT DATABASE ROLE d1.r1 TO SHARE share1;
GRANT DATABASE ROLE d1.r2 TO SHARE share1;

Datenbankobjekte für ein oder mehrere Datenverbraucherkonten freigeben¶

Ändern Sie die Freigabe mit ALTER SHARE … ADD ACCOUNTS, und fügen Sie Datenbank-Verbraucherkonten hinzu, für die Sie die Datenbankobjekte freigeben möchten.

Im folgende Beispiel werden die Konten consumer1 und consumer2 der Organisation org1 zur Freigabe share1 hinzugefügt:

ALTER SHARE share1 ADD ACCOUNTS = org1.consumer1,org1.consumer2;

Datenbankrollen verwalten¶

In diesem Abschnitt wird das Verwalten von Datenbankrollen beschrieben, die Freigaben zugewiesen sind.

ALTER DATABASE ROLE d1.r1 RENAME TO d1.r3;

ALTER DATABASE ROLE d1.r1 RENAME TO d2.r1;

DROP DATABASE ROLE d1.r2;

Freigabe erstellen¶

Verwenden Sie CREATE SHARE, um eine Freigabe zu erstellen. In diesem Schritt ist die Freigabe lediglich ein Container, der darauf wartet, dass Objekte und Konten hinzugefügt werden.

Objekte durch Erteilen von Berechtigungen zur Freigabe hinzufügen¶

Verwenden Sie GRANT <Berechtigung> … TO SHARE, um der Freigabe die folgenden Objektberechtigungen zu erteilen:

• USAGE-Berechtigung für die Datenbank, die Sie freigeben möchten.

• USAGE-Berechtigung für jedes Datenbankschema, das die Objekte enthält, die Sie freigeben möchten.

• SELECT-Berechtigung zum Freigeben bestimmter Objekte in jedem freigegebenen Schema:

  • Tabellen

  • Externe Tabellen

  • Sichere Ansichten

  • Sichere materialisierte Ansichten

  • Sichere UDFs

Verwenden Sie optional SHOW GRANTS, um die der Freigabe erteilten Objektberechtigungen anzuzeigen.

Fügen Sie ein oder mehrere Konten zur Freigabe hinzu.¶

Verwenden Sie ALTER SHARE, um ein oder mehrere Konten zur Freigabe hinzuzufügen. Um die der Freigabe hinzugefügten Konten zu überprüfen, können Sie SHOW GRANTS verwenden.

Die Freigabe kann nun von den angegebenen Konten genutzt werden. Eine detaillierte Anleitung zum Ausführen dieser und anderer Datenanbieteraufgaben finden Sie unter Freigaben erstellen und konfigurieren.

Beispiel¶

Das folgende Beispiel veranschaulicht den gesamten oben beschriebenen Anbieterprozess.

Beachten Sie, dass dieses Beispiel von folgenden Voraussetzungen ausgeht:

• Es existiert eine Datenbank namens sales_db mit einem Schema aggregates_eula und einer Tabelle aggregate_1.

• Datenbank, Schema und Tabelle werden für zwei Konten mit dem Namen xy12345 und yz23456 freigegeben.

USE ROLE accountadmin;

CREATE SHARE sales_s;

GRANT USAGE ON DATABASE sales_db TO SHARE sales_s;
GRANT USAGE ON SCHEMA sales_db.aggregates_eula TO SHARE sales_s;
GRANT SELECT ON TABLE sales_db.aggregates_eula.aggregate_1 TO SHARE sales_s;

SHOW GRANTS TO SHARE sales_s;

ALTER SHARE sales_s ADD ACCOUNTS=xy12345, yz23456;

SHOW GRANTS OF SHARE sales_s;

Copy