Objekt-Tagging¶

Tag-Kontingente für Objekte und Spalten¶

Der Zeichenfolgenwert für jedes Tag kann bis zu 256 Zeichen lang sein mit der Option, zulässige Werte für ein Tag anzugeben.

Die folgende Beschreibung gilt für alle Objekte, die keine Tabellen und Ansichten sind:

Snowflake erlaubt eine maximale Anzahl von 50 eindeutigen Tags, die für ein einzelnes Objekt gesetzt werden können. In einer einzelnen CREATE <Objekt>- oder ALTER <Objekt>-Anweisung können maximal 100 Tags angegeben werden.

Die maximale Anzahl eindeutiger Tags ist für Tabellen und Ansichten, einschließlich der Spalten in diesen Tabellen und Ansichten, leicht unterschiedlich.

Tag-Werte angeben¶

Mit der Tag-Eigenschaft ALLOWED_VALUES können die möglichen Zeichenfolgenwerte angegeben werden, die dem Tag zugewiesen werden können, wenn das Tag auf ein Objekt gesetzt wird. Die maximale Anzahl möglicher Zeichenfolgenwerte für ein einzelnes Tag ist 300.

Sie können diese Werte beim Erstellen oder Ersetzen eines Tags mit einer CREATE TAG-Anweisung oder beim Ändern eines vorhandenen Tag-Schlüssels mit einer ALTER TAG-Anweisung angeben. Beachten Sie, dass die Anweisung ALTER TAG das Hinzufügen zulässiger Werte für ein Tag und das Löschen vorhandener Werte für ein Tag unterstützt.

Um die Liste der zulässigen Werte für ein Tag zu ermitteln, rufen Sie die Funktion GET_DDL oder die Funktion SYSTEM$GET_TAG_ALLOWED_VALUES auf.

Beispiel:

Erstellen Sie ein Tag mit dem Namen cost_center mit 'finance' und 'engineering' als den beiden einzigen zulässigen Zeichenfolgenwerten:

create tag cost_center
    allowed_values 'finance', 'engineering';

Copy

Prüfen Sie die zulässigen Werte:

select get_ddl('tag', 'cost_center')

+------------------------------------------------------------------------------+
| GET_DDL('tag', 'cost_center')                                                |
|------------------------------------------------------------------------------|
| create or replace tag cost_center allowed_values = 'finance', 'engineering'; |
+------------------------------------------------------------------------------+

Copy

Ändern Sie das Tag mit dem Namen cost_center, um 'marketing' als zulässigen Zeichenfolgenwert hinzuzufügen:

alter tag cost_center
    add allowed_values 'marketing';

Copy

Ändern Sie das Tag mit dem Namen cost_center, um 'engineering' als zulässigen Zeichenfolgenwert zu entfernen:

alter tag cost_center
    drop allowed_values 'engineering';

Copy

Um die Liste der zulässigen Zeichenfolgenwerte für ein bestimmtes Tag zu erhalten, rufen Sie entweder die Funktion GET_DDL oder die Funktion SYSTEM$GET_TAG_ALLOWED_VALUES auf. Angenommen, das Tag cost_center ist in einer Datenbank namens governance und einem Schema namens tags gespeichert:

select system$get_tag_allowed_values('governance.tags.cost_center');

+--------------------------------------------------------------+
| SYSTEM$GET_TAG_ALLOWED_VALUES('GOVERNANCE.TAGS.COST_CENTER') |
|--------------------------------------------------------------|
| ["finance","marketing"]                                      |
+--------------------------------------------------------------+

Copy

Tag-Herkunft¶

Ein Tag wird basierend auf der Hierarchie der sicherbaren Snowflake-Objekte vererbt. Snowflake empfiehlt, dass sich die Definition der Tag-Schlüssel so nah wie möglich an der Hierarchie der sicherbaren Objekte in Ihrer Snowflake-Umgebung orientieren sollte.

Tag-Vererbung bedeutet, dass ein Tag, das auf eine Tabelle angewendet wird, auch für die Spalten in dieser Tabelle gilt. Dieses Verhalten wird als „Tag-Herkunft“ bezeichnet.

Es ist möglich, das geerbte Tag eines bestimmten Objekts zu überschreiben. Wenn beispielsweise eine Tabellenspalte das Tag „cost_center“ erbt, kann das Tag durch ein Tag mit einem spezifischeren Zeichenfolgenwert wie „sales_na“ ersetzt werden, mit dem die Vertriebskostenstelle „Nordamerika“ angegeben wird. Zusätzlich kann ein neues Tag auf die Tabellenspalte angewendet werden. Verwenden Sie eine ALTER TABLE … ALTER COLUMN-Anweisung, um den Tag-Zeichenfolgenwert der Spalte zu aktualisieren und um ein oder mehrere zusätzliche Tags für eine Spalte festzulegen.

Nachdem Sie die Tag-Schlüssel definiert und die Tags den Snowflake-Objekten zugewiesen haben, können Sie die Tags, die Tag-Referenzen und die Tag-Herkunft mithilfe der angegebenen Tabellenfunktionen oder durch Abfragen der Ansichten überwachen, wie unter Tags mit SQL überwachen (unter diesem Thema) gezeigt.

Vorteile¶

Benutzerfreundlichkeit:

Ein Tag wird einmal definiert und kann dann auf beliebig viele verschiedene Objekte angewendet werden.

Tag-Herkunft:

Da Tags vererbt werden, führt die Anwendung des Tags auf Objekte, die in der Hierarchie der sicherbaren Objekte höher stehen, dazu, dass das Tag auf alle untergeordneten Objekte angewendet wird. Wird beispielsweise ein Tag für eine Tabelle festgelegt, so wird das Tag an alle Spalten in dieser Tabelle vererbt.

Konsistente Zuweisung mit Replikation:

Snowflake repliziert die Tags und deren Zuweisungen innerhalb der Primärdatenbank auch in die Sekundärdatenbank.

Weitere Informationen dazu finden Sie unter Replikation (unter diesem Thema).

Verfolgen von sensiblen Daten und der Ressourcennutzung:

Tags vereinfachen das Identifizieren von sensiblen Daten (z. B. PII, Geheimnis) und machen die Nutzung von Snowflake-Ressourcen transparent. Da sich Daten und Metadaten im gleichen System befinden, können Analysten anhand der Tag-Definition (z B. cost_center, department) schnell feststellen, welche Ressourcen die meisten Snowflake-Credits verbrauchen.

Zentrale oder dezentrale Verwaltung:

Tags unterstützen verschiedene Verwaltungsansätze, um die Konformität mit internen und externen Vorschriften zu vereinfachen.

Bei einem zentralen Ansatz werden Tags von der kundenspezifischen Rolle tag_admin erstellt und auf Snowflake-Objekte angewendet.

Bei einem dezentralen Ansatz werden die Tags zwar von der kundenspezifischen Rolle tag_admin definiert, um eine einheitliche Benennung sicherzustellen, aber die Anwendung der Tags auf die Snowflake-Objekte erfolgt durch einzelne Teams.

Hinweise¶

Zukünftige Berechtigungszuweisungen:

Zukünftige Berechtigungszuweisungen zu Tags werden nicht unterstützt.

Als Problemumgehung können Sie einer kundenspezifischen Rolle die Berechtigung APPLYTAG erteilen, damit diese Rolle Tags auf andere Objekte anwenden kann.

Snowflake Native App:

Seien Sie vorsichtig, wenn Sie das Setup-Skript erstellen und Tags in einem versionierten Schema vorliegen. Weitere Informationen dazu finden Sie unter Hinweise zum Versionsschema.

Unterstützte Objekte¶

In der folgenden Tabelle sind die unterstützten Objekte für Tags, einschließlich Spalten, basierend auf der Hierarchie der sicherbaren Snowflake-Objekte aufgeführt.

Ein Tag kann mit einer CREATE <Objekt>-Anweisung oder einer ALTER <Objekt>-Anweisung auf ein Objekt festgelegt werden, sofern in der nachstehenden Tabelle nichts anderes angegeben ist.

Ein Tag kann für eine Spalte entweder mit einer CREATE TABLE-, CREATE VIEW-, ALTER TABLE … MODIFY COLUMN- oder ALTER VIEW-Anweisung gesetzt werden.

Objekt-Tagging und Maskierungsrichtlinien¶

Weitere Details dazu finden Sie unter Tag-basierte Maskierungsrichtlinien.

Beachten Sie, dass eine Maskierungsrichtlinie, die einer Spalte direkt zugewiesen ist, Vorrang vor einer Tag-basierten Maskierungsrichtlinie hat.

CREATE TABLE-Anweisungen¶

Mit CREATE TABLE … LIKE werden die der Quelltabelle zugewiesenen Tags der Zieltabelle zugewiesen.

Replikation¶

Tags und deren Zuweisungen können von einem Quellkonto in ein Zielkonto repliziert werden.

Tag-Zuweisungen können nach der ersten Replikation vom Quellkonto im Zielkonto nicht mehr geändert werden. So ist beispielsweise das Setzen eines Tags auf eine Sekundärdatenbank (d. h. eine replizierte Datenbank) nicht zulässig. Um Tag-Zuweisungen im Zielkonto zu ändern, ändern Sie diese im Quellkonto, und replizieren Sie sie dann in das Zielkonto.

Bei der Datenbankreplikation kann die Replikationsoperation fehlschlagen, wenn eine der folgenden Bedingungen erfüllt ist:

• Die Primärdatenbank befindet sich in einem Enterprise-Konto (oder höher) und enthält ein Tag, aber mindestens eines der zur Replikation genehmigten Konten befindet sich in einer niedrigeren Edition.

• Ein in der Primärdatenbank enthaltenes Objekt hat eine verwaiste Referenz auf ein Tag in einer anderen Datenbank.

Um Fehler durch verwaiste Referenzen zu vermeiden, replizieren Sie die Datenbank und die Objekte auf Kontoebene mit einer Replikations- oder Failover-Gruppe. Stellen Sie sicher, dass die Replikationsgruppe Folgendes enthält:

• Die Datenbank, die die Tags in der Eigenschaft ALLOWED_DATABASES enthält.

• Andere Objekte auf Kontoebene, die ein Tag in der Eigenschaft OBJECT_TYPES haben (z. B. ROLES, WAREHOUSES).

  Weitere Informationen dazu finden Sie unter CREATE REPLICATION GROUP und CREATE FAILOVER GROUP.

Klonen¶

• Tag-Zuordnungen im Quellobjekt (z. B. Tabelle) bleiben in den geklonten Objekten erhalten.

• Für eine Datenbank oder ein Schema:

  Die in dieser Datenbank oder diesem Schema gespeicherten Tags werden ebenfalls geklont.

  Wenn eine Datenbank oder ein Schema geklont wird, werden die Tags, die sich in diesem Schema oder dieser Datenbank befinden, ebenfalls geklont.

  Wenn eine Tabelle oder Ansicht im Quellschema bzw. in der Quelldatenbank vorhanden ist und Verweise auf Tags in demselben Schema oder derselben Datenbank hat, wird die geklonte Tabelle oder Ansicht dem entsprechenden geklonten Tag (im Zielschema bzw. in der Zieldatenbank) zugeordnet und nicht dem Tag im Quellschema bzw. der Quelldatenbank.

Data Sharing (Datenfreigabe)¶

• Wenn die freigegebene Ansicht und das freigegebene Tag in verschiedenen Datenbanken vorhanden sind, erteilen Sie der Freigabe die REFERENCE_USAGE-Berechtigung für die Datenbank, die das Tag enthält. Weitere Details dazu finden Sie unter Freigeben von Daten aus mehreren Datenbanken.

• Für das Data Sharing-Verbraucherkonto gilt Folgendes:

  • Bei Ausführung von SHOW TAGS wird das freigegebene Tag zurückgegeben, vorausgesetzt, die Rolle, die den Befehl SHOW TAGS ausführt, verfügt über die USAGE-Berechtigung für das Schema, das das freigegebene Tag enthält.

    Wenn der Anbieter der Freigabe oder einer Rolle der freigegebenen Datenbank die READ-Berechtigung für das Tag erteilt, kann der Verbraucher die Tag-Zuweisungen für das freigegebene Tag anzeigen. Weitere Informationen finden Sie unter Referenzen für freigegebene Tags.

  • Wenn ein Tag des Data Sharing-Anbieterkontos einer freigegebenen Tabelle zugewiesen ist, kann der Data Sharing-Verbraucher die Funktion SYSTEM$GET_TAG oder die Information Schema-Funktion TAG_REFERENCES aufrufen, um die Tag-Zuweisung anzuzeigen.

Tags ermitteln¶

Snowflake unterstützt die folgenden Optionen, um Tags aufzulisten und den Tag-Zeichenfolgenwert eines bestimmten Tag-Schlüssels zu identifizieren.

• Identifizieren von Tags in Ihrem Konto:

  Verwenden Sie die Ansicht TAGS im Account Usage-Schema der freigegebenen SNOWFLAKE-Datenbank. Diese Ansicht fungiert wie ein Katalog für alle Tags in Ihrem Snowflake-Konto, der Informationen über aktuelle und gelöschte Tags enthält. Beispiel:

  SELECT * FROM SNOWFLAKE.ACCOUNT_USAGE.TAGS
  ORDER BY TAG_NAME;
  

  Copy

• Identifizieren des Werts eines bestimmten Tags:

  Verwenden Sie die Systemfunktion SYSTEM$GET_TAG, um den Tag-Wert, der dem angegebenen Tag zugewiesen ist, sowie das Snowflake-Objekt oder die Spalte zurückzugeben.

  SELECT SYSTEM$GET_TAG('cost_center', 'my_table', 'table');
  

  Copy

Zuweisungen identifizieren¶

Snowflake unterstützt verschiedene Optionen zur Identifizierung von Tag-Zuweisungen, je nachdem, ob die Abfrage auf das Konto oder eine bestimmte Datenbank abzielen soll und ob eine Tag-Herkunft benötigt wird.

• Abfrage auf Kontoebene mit Herkunft:

  Verwenden Sie die Account Usage-Tabellenfunktion TAG_REFERENCES_WITH_LINEAGE, um alle Objekte zu ermitteln, die einen bestimmten Tag-Schlüssel und Tag-Wert haben, der auch die Tag-Herkunft enthält:

  SELECT *
  FROM TABLE(
    snowflake.account_usage.tag_references_with_lineage(
      'my_db.my_schema.cost_center'
    )
  );
  

  Copy

• Abfrage auf Kontoebene ohne Herkunft:

  Verwenden Sie die Account Usage-Ansicht TAG_REFERENCES, um alle Objekte zu ermitteln, die einen bestimmten Tag-Schlüssel und Tag-Wert haben, aber nicht die Tag-Herkunft enthalten:

  SELECT * FROM snowflake.account_usage.tag_references
  ORDER BY TAG_NAME, DOMAIN, OBJECT_ID;
  

  Copy

• Abfrage auf Datenbankebene mit Herkunft:

  Jede Snowflake-Datenbank enthält ein Snowflake Information Schema. Verwenden Sie die Information Schema-Tabellenfunktion TAG_REFERENCES, um alle Objekte zu ermitteln, die ein bestimmtes Tag haben, das auch die Tag-Herkunft in einer bestimmten Datenbank enthält:

  SELECT *
  FROM TABLE(
    my_db.INFORMATION_SCHEMA.TAG_REFERENCES(
      'my_table',
      'table'
    )
  );
  

  Copy

• Abfrage auf Datenbankebene nach allen Tags für jede Spalte in einer Tabelle oder Ansicht mit Herkunft:

  Verwenden Sie die Information Schema-Tabellenfunktion TAG_REFERENCES_ALL_COLUMNS, um alle Tags zu erhalten, die auf jeder Spalte einer gegebenen Tabelle oder Ansicht festgelegt sind:

  Beachten Sie, dass die Domäne TABLE für alle Objekte verwendet werden muss, die Spalten enthalten, auch wenn der Objektname eine Ansicht ist (d. h. Ansicht, materialisierte Ansicht).

  SELECT *
  FROM TABLE(
    INFORMATION_SCHEMA.TAG_REFERENCES_ALL_COLUMNS(
      'my_table',
      'table'
    )
  );
  

  Copy

Zugriff auf den Governance-Bereich in Snowsight¶

Für den Zugriff auf den Bereich Governance muss Ihr Snowflake-Konto die Enterprise Edition oder höher verwenden. Außerdem müssen Sie einen der folgenden Punkte erfüllen:

• Verwenden Sie die Rolle ACCOUNTADMIN.

• Sie verwenden eine Kontorolle, der die Datenbankrollen GOVERNANCE_VIEWER und OBJECT_VIEWER direkt zugewiesen sind.

  Sie müssen eine Kontorolle mit diesen Datenbankrollenzuweisungen verwenden. Derzeit wertet Snowsight keine Rollenhierarchien und benutzerdefinierten Datenbankrollen aus, die Zugriff auf Tabellen, Ansichten, Datenzugriffsrichtlinien und Tags haben.

  Um festzustellen, ob Ihre Kontorolle über diese Datenbankrollen verfügt, verwenden Sie den Befehl SHOW GRANTS:

  SHOW GRANTS LIKE '%VIEWER%' TO ROLE data_engineer;
  

  Copy

  |-------------------------------+-----------+---------------+-----------------------------+------------+-----------------+--------------+------------|
  | created_on                    | privilege | granted_on    | name                        | granted_to | grantee_name    | grant_option | granted_by |
  |-------------------------------+-----------+---------------+-----------------------------+------------+-----------------+--------------+------------|
  | 2024-01-24 17:12:26.984 +0000 | USAGE     | DATABASE_ROLE | SNOWFLAKE.GOVERNANCE_VIEWER | ROLE       | DATA_ENGINEER   | false        |            |
  | 2024-01-24 17:12:47.967 +0000 | USAGE     | DATABASE_ROLE | SNOWFLAKE.OBJECT_VIEWER     | ROLE       | DATA_ENGINEER   | false        |            |
  |-------------------------------+-----------+---------------+-----------------------------+------------+-----------------+--------------+------------|
  

  
  

  Wenn Ihrer Kontorolle keine dieser beiden Datenbankrollen zugewiesen ist, verwenden Sie den Befehl GRANT DATABASE ROLE, und führen Sie den Befehl SHOW GRANTS erneut aus, um die Berechtigungszuweisungen zu bestätigen:

  USE ROLE ACCOUNTADMIN;
  GRANT DATABASE ROLE SNOWFLAKE.GOVERNANCE_VIEWER TO ROLE data_engineer;
  GRANT DATABASE ROLE SNOWFLAKE.OBJECT_VIEWER TO ROLE data_engineer;
  SHOW GRANTS LIKE '%VIEWER%' TO ROLE data_engineer;
  

  Copy

  Weitere Informationen zu diesen Datenbankrollen finden Sie unter SNOWFLAKE-Datenbankrollen.

Dashboard¶

Als Datenadministrator können Sie die Dashboard-Schnittstelle verwenden, um die Nutzung von Tags und Richtlinien auf folgende Weise zu überwachen.

• Coverage (Abdeckung): Gibt die Anzahl und den Prozentsatz an, je nachdem, ob eine Tabelle, Ansicht oder Spalte eine Richtlinie oder ein Tag hat.

• Prevalence (Verbreitung): Listet die am häufigsten genutzten Richtlinien und Tags auf und zählt sie.

Die Abdeckung und die Verbreitung liefern eine Momentaufnahme darüber, wie gut die Daten geschützt und getaggt sind.

Wenn Sie eine Zählernummer, einen Prozentsatz, einen Richtliniennamen oder einen Tag-Namen auswählen, wird die Tagged Objects-Schnittstelle geöffnet. Die Tagged Objects-Schnittstelle aktualisiert die Filter automatisch auf der Grundlage Ihrer Auswahl im Feld Dashboard.

Die Überwachungsinformationen sind eine Alternative oder Ergänzung zur Ausführung komplexer und abfrageintensiver Operationen auf mehreren Account Usage-Ansichten.

Zu diesen Ansichten können unter anderem die Ansichten COLUMNS, POLICY_REFERENCES, TABLES, TAG_REFERENCES und VIEWS zählen.

Getaggte Objekte¶

Als Datenadministrator können Sie diese Tabelle verwenden, um den Abdeckung und die Verbreitung im Dashboard schnell mit einer Liste bestimmter Tabellen, Ansichten oder Spalten zu verknüpfen. Sie können die Tabellenergebnisse auch wie folgt manuell filtern.

• Wählen Sie Tables oder Columns aus.

• Bei Tags können Sie mit Tags, ohne Tags oder nach einem bestimmten Tag filtern.

• Bei Richtlinien können Sie mit Richtlinien, ohne Richtlinien oder nach einer bestimmten Richtlinie filtern.

Wenn Sie eine Zeile in der Tabelle auswählen, wird in Data » Databases die Registerkarte Table Details oder Columns geöffnet. Sie können die Tag- und Richtlinienzuweisungen nach Bedarf bearbeiten.

Tag-Berechtigungen¶

Snowflake unterstützt die folgenden Berechtigungen, um zu bestimmen, ob Benutzer Tags erstellen, festlegen und besitzen können.

Beachten Sie, dass für die Bearbeitung eines Objekts in einem Schema auch die Berechtigung USAGE für die übergeordnete Datenbank und das Schema erforderlich ist.

Tag-DDL-Referenz¶

Snowflake unterstützt die folgenden DDL-Befehle zum Erstellen und Verwalten von Tags:

• CREATE TAG

• ALTER TAG

• ALTER <Objekt> (um ein Tag einem Snowflake-Objekt zuzuordnen)

• SHOW TAGS

• DROP TAG

• UNDROP TAG

Beachten Sie, dass Snowflake die describe-Operation bei Tag-Objekten nicht unterstützt.

Übersicht der DDL-Befehle, Operationen und Berechtigungen¶

Die folgende Tabelle fasst die Beziehung zwischen Tag-Berechtigungen und DDL-Operationen zusammen.

Snowflake unterstützt verschiedene Berechtigungen zum Erstellen und Festlegen eines Tags für ein Objekt.

1. Bei einem zentralen Ansatz für die Tag-Verwaltung, bei dem die kundenspezifische Rolle tag_admin Tags für alle Objekte/Spalten erstellt und festlegt, sind die folgenden Berechtigungen erforderlich:

   use role securityadmin;
   grant create tag on schema <db_name.schema_name> to role tag_admin;
   grant apply tag on account to role tag_admin;
   

   Copy

2. In einem hybriden Verwaltungsansatz verfügt eine einzelne Rolle über die CREATE TAG-Berechtigung, um die konsistente Benennung der Tags sicherzustellen, und einzelne Teams oder Rollen verfügen über die APPLY-Berechtigung für ein bestimmtes Tag.

   So kann beispielsweise der kundenspezifischen Rolle finance_role die Berechtigung erteilt werden, das Tag cost_center für Tabellen und Ansichten festzulegen, deren Eigentümer die Rolle ist (d. h. die Rolle hat die OWNERSHIP-Berechtigung für die Tabelle oder Ansicht):

   use role securityadmin;
   grant create tag on schema <db_name.schema_name> to role tag_admin;
   grant apply on tag cost_center to role finance_role;
   

   Copy