Organisationsbenutzer¶

Erste Schritte¶

Der grundlegende Workflow, um Benutzer einer Organisation in einem oder mehreren Konten anzulegen, ist wie folgt:

1. Als globaler Organisationsadministrator im Organisationskonto:

   1. Erstellen Sie einen Organisationsbenutzer für jede Person, die Sie als Benutzer in mehreren regulären Konten haben möchten.

   2. Erstellen Sie eine Organisationsbenutzergruppe, die eine logische Gruppierung der Benutzer darstellt.

   3. Fügen Sie die Organisationsbenutzer zur Organisationsbenutzergruppe hinzu.

   4. Machen Sie die Organisationsbenutzergruppe für die Kontoadministratoren in regulären Konten verfügbar.

2. Als Administrator eines regulären Kontos:

   1. Importieren Sie die Organisationsbenutzergruppe in das Konto.

   2. Prüfen Sie, ob es Konflikte gibt und lösen Sie diese.

Ein vollständiges Beispiel für diesen Workflow finden Sie unter Erweitertes Beispiel.

Einen Benutzer für eine Organisation erstellen¶

Der Organisationsadministrator erstellt einen Organisationsbenutzer mit den grundlegenden Eigenschaften eines Benutzerobjekts wie Anmeldename und E-Mail-Administrator. Es ist nur eine E-Mail-Adresse erforderlich, jedoch können diese grundlegenden Eigenschaften nach dem Import des Nutzers in einem regulären Konto nicht mehr gesetzt werden. Eine Liste dieser grundlegenden Eigenschaften finden Sie unter CREATE ORGANIZATION USER.

Der folgende Befehl erstellt beispielsweise einen Organisationsbenutzer:

USE ROLE GLOBALORGADMIN;

CREATE ORGANIZATION USER asmith
   EMAIL = 'asmith@example.com'
   LOGIN_NAME = 'asmith@example.com';

Organisationsbenutzergruppen¶

Organisationsbenutzergruppen sind logische Gruppierungen von Organisationsbenutzern. Der Organisationsadministrator erstellt diese Organisationsbenutzergruppen und fügt dann die Organisationsbenutzer hinzu, die zu jeder Gruppe gehören sollen. Wenn der Kontoadministrator eine Organisationsbenutzergruppe in ein Konto importiert, werden alle Organisationsbenutzer in der Gruppe zu Benutzerobjekten im regulären Konto. Ein Organisationsbenutzer kann Mitglied mehrerer Organisationsbenutzergruppen sein.

Wenn Sie den Kontoadministrator eine Organisationsbenutzergruppe in ein reguläres Konto importiert, erstellt Snowflake eine Zugriffskontrolle Rolle mit demselben Namen. Wenn die Organisationsbenutzergruppe beispielsweise den Namen data_stewards trägt, wird beim Importieren der Gruppe in das reguläre Konto eine Rolle mit dem Namen data_stewards erstellt. Jeder Benutzer, der aus der Organisationsbenutzergruppe importiert wird, erhält diese Rolle.

Administratoren im regulären Konto können die Zugriffskontrolle feinabstimmen, indem sie der Rolle, die jedem der aus der Organisationsbenutzergruppe importierten Benutzer zugewiesen wurde, Berechtigungen erteilen oder entziehen. Sie können der neuen Rolle auch kontospezifische Rollen zuweisen oder die neue Rolle an kontospezifische Rollen vergeben.

Sie können dieselbe Organisationsbenutzergruppe in mehrere reguläre Konten importieren, um unternehmensweit einheitliche Rollen zu implementieren. Jedes reguläre Konto kann der Rolle kontospezifische Berechtigungen zuweisen, wobei die Benennung jedoch einheitlich bleibt. Alternativ können Sie für jedes Konto eine separate Organisationsbenutzergruppe erstellen und dann die Organisationsbenutzer, die in einem bestimmten Konto benötigt werden, der entsprechenden Organisationsbenutzergruppe hinzufügen.

Wenn der Administrator mehrere Organisationsbenutzergruppen importiert, die denselben Organisationsbenutzer enthalten, wird nur ein lokaler Benutzer erstellt, dem die Rollen aller Organisationsbenutzergruppen zugewiesen werden.

Die Aufgabe des Organisationsadminitrators, eine Organisationsbenutzergruppe für den Kontoverwalter der regulären Konten vorzubereiten, erfolgt in drei Schritten:

1. Erstellen Sie die Organisationsbenutzergruppe.

2. Fügen Sie Organisationsbenutzer zur Gruppe hinzu.

3. Stellen Sie die Sichtbarkeit der Gruppe ein, um festzulegen, welche regulären Konten darauf zugreifen können.

CREATE ORGANIZATION USER GROUP data_engineers_group;

ALTER ORGANIZATION USER GROUP data_engineers_group
   ADD ORGANIZATION USERS asmith, sjohnson;

ALTER ORGANIZATION USER GROUP data_engineers_group
   SET VISIBILITY = ACCOUNTS qa_env;

Benutzer in ein reguläres Konto importieren¶

Nachdem der Organisationsadministrator eine Organisationsbenutzergruppe erstellt hat, können Administratoren in regulären Konten die Organisationsbenutzer importieren, indem sie den Befehl ALTER ACCOUNT ausführen, um die Organisationsbenutzergruppe hinzuzufügen. Diese Administratoren können eine Organisationsbenutzergruppe nur importieren, wenn der Organisationsadministrator die Sichtbarkeit der Gruppe so eingestellt hat, dass das reguläre Konto darauf zugreifen kann.

Standardmäßig können nur Benutzer mit der Rolle ACCOUNTADMIN Organisationsbenutzergruppen in das reguläre Konto importieren. Um anderen Benutzern den Import einer Organisationsgruppe zu ermöglichen, erteilen Sie ihnen die Berechtigung IMPORT ORGANIZATION USER GROUPS.

Die Syntax zum Importieren einer Organisationsbenutzergruppe in ein reguläres Konto lautet wie folgt:

ALTER ACCOUNT ADD ORGANIZATION USER GROUP <group_name>

Ein Beispiel für das Importieren einer Organisationsbenutzergruppe zum Hinzufügen von Benutzern finden Sie unter Erweitertes Beispiel.

Konflikte nach dem Importieren von Benutzern lösen¶

Der Kontoadministrator, der Organisationsbenutzer in sein reguläres Konto importiert, muss manuell auf Konflikte prüfen. Diese Konflikte können zwischen den Eigenschaften der Benutzer oder dem Namen der Organisationsbenutzergruppe entstehen.

SELECT SYSTEM$LINK_ORGANIZATION_USER_GROUP('marketing_team');

SHOW ORGANIZATION USERS IN ORGANIZATION USER GROUP marketing_team;
SELECT * FROM TABLE(RESULT_SCAN(LAST_QUERY_ID())) WHERE "is_imported" = 'false';

SELECT SYSTEM$LINK_ORGANIZATION_USER('jloeb', 'jloebsmith');

USE ROLE ACCOUNTADMIN;
ALTER USER joe SET LOGIN_NAME = joe_login_renamed;

Importierte Benutzer ändern¶

Administratoren in einem regulären Konto können den Befehl ALTER USER verwenden, um eine Teilmenge der Eigenschaften eines Benutzerobjekts zu ändern, nachdem es importiert wurde. Der Administrator kann alle Eigenschaften ändern mit Ausnahme der Eigenschaften, die für den Organisationbenutzer im Organisationskonto festgelegt werden können. Eine Liste der Eigenschaften, die nur im Organisationskonto eingestellt werden können, finden Sie unter CREATE ORGANIZATION USER.

Organisationsbenutzer und Gruppen entfernen¶

Organisationsbenutzer und Organisationsbenutzergruppen können von einem einzelnen Konto oder von allen Konten entfernt werden, indem sie im Organisationskonto fallen lässt.

ALTER ACCOUNT REMOVE ORGANIZATION USER GROUP data_stewards;

Verknüpfung von Organisationsbenutzern und Organisationsbenutzergruppen aufheben¶

Wenn Organisationsbenutzer erfolgreich in ein reguläres Konto importiert werden, wird das lokale Benutzerobjekt mit dem Organisationsbenutzer verknüpft. Wenn Sie das Benutzerobjekt in einem Konto behalten, aber nicht mehr mit dem Organisationsbenutzer verknüpfen möchten, können Sie die Funktion SYSTEM$UNLINK_ORGANIZATION_USER verwenden, um die Verknüpfung des lokalen Benutzers mit dem Organisationsbenutzer aufzuheben. Alle Eigenschaften des Benutzers bleiben erhalten und er kann weiterhin als lokaler Benutzer verwaltet werden.

Ebenso können Sie mit der Funktion SYSTEM$UNLINK_ORGANIZATION_USER_GROUP die Verknüpfung einer Rolle aufheben, die durch Hinzufügen einer Organisationsbenutzergruppe erstellt wurde. Damit bleibt alles an der Rolle gleich, aber sie ist nicht mehr mit der Organisationsbenutzergruppe verknüpft.

Erweitertes Beispiel¶

Workflow für Organisationsadministratoren

1. Melden Sie sich als Organisationsadministrator beim Organisationskonto an.

2. Erstellen Sie Organisationsbenutzer für zwei Personen, die Datenverwalter sind:

   USE ROLE GLOBALORGADMIN;
   
   CREATE ORGANIZATION USER joe_kelley
   EMAIL = 'jkelley@example.com'
   LOGIN_NAME = 'jkelley@example.com';
   
   CREATE ORGANIZATION USER grace_vivian
   EMAIL = 'gvivian@example.com'
   LOGIN_NAME = 'gvivian@example.com';
   

   Copy

3. Erstellen Sie eine Organisationsbenutzergruppe, die eine logische Gruppierung von Datenverwaltern darstellt.

   CREATE ORGANIZATION USER GROUP data_stewards_group;
   

   Copy

4. Fügen Sie die Organisationsbenutzer zur neuen Organisationsbenutzergruppe hinzu.

   ALTER ORGANIZATION USER GROUP data_stewards_group
      ADD ORGANIZATION USERS joe_kelley, grace_vivian;
   

   Copy

5. Erlauben Sie allen regulären Konten, die Organisationsbenutzergruppe zu importieren.

   ALTER ORGANIZATION USER GROUP data_stewards_group
      SET VISIBILITY = ALL;
   

   Copy

Workflow für Kontoadministratoren

1. Melden Sie sich als Kontoadministrator bei dem regulären Konto an, in das Sie die Organisationsbenutzer importieren möchten.

2. Listen Sie die Organisationsbenutzergruppen auf, die in das Konto importiert werden können.

   USE ROLE ACCOUNTADMIN;
   
   SHOW ORGANIZATION USER GROUPS;
   

   Copy

3. Importieren Sie die Organisationsbenutzergruppe in das Konto.

   ALTER ACCOUNT
     ADD ORGANIZATION USER GROUP data_stewards_group;
   

   Copy

4. Prüfen Sie, ob es Konflikte zwischen der Organisationsbenutzergruppe und einer vorhandenen Rolle gibt:

   SHOW ORGANIZATION USER GROUPS;
   

   Copy

   Vergewissern Sie sich, dass der Wert der Spalte is_imported TRUE lautet, was bedeutet, dass es keinen Konflikt gab.

5. Listen Sie die Benutzer auf, die dem Konto hinzugefügt wurden, und prüfen Sie auf Konflikte:

   SHOW ORGANIZATION USERS IN ORGANIZATION USER GROUP data_stewards_group;
   

   Copy

   Vergewissern Sie sich, dass der Wert der Spalte is_imported für alle Benutzer der Organisation TRUE lautet, was bedeutet, dass es keine Konflikte gab.

Verwandte Funktionen¶

Eine Liste der Funktionen, die Ihnen bei der Arbeit mit Organisationsbenutzern und Organisationsbenutzergruppen helfen, finden Sie unter Funktionen für Organisationsbenutzer und Organisationsbenutzergruppen.