Snowflake-Sitzungen und Sitzungsrichtlinien¶

Snowflake-Sitzungen¶

Eine Sitzung beginnt, wenn ein Benutzer eine Verbindung zu Snowflake hergestellt und sich erfolgreich über einen programmgesteuerten Snowflake-Client, Snowsight oder die klassische Weboberfläche authentifiziert hat. Eine Sitzung ist unabhängig von einer Sitzung des Identitätsanbieters (d. h. IdP). Wenn die Snowflake-Sitzung abläuft, aber die IdP-Sitzung aktiv bleibt, kann sich ein Benutzer bei Snowflake anmelden, ohne seine Anmeldeinformationen erneut eingeben zu müssen (d. h. stille Authentifizierung).

Bei fortgesetzter Benutzeraktivität bleibt eine Sitzung auf unbestimmte Zeit aufrechterhalten. Nach einer Zeit der Inaktivität in der Sitzung, die als Sitzungstimeout bei Leerlauf bezeichnet wird, muss sich der Benutzer erneut bei Snowflake authentifizieren. Das Sitzungstimeout bei Leerlauf hat einen Höchstwert von vier Stunden, wobei dieser Wert über eine Sitzungsrichtlinie geändert werden kann. Das Sitzungstimeout bei Leerlauf gilt für Folgendes:

• Classic Console

• Snowsight

• SnowSQL (CLI-Client)

• Unterstützte Konnektoren und Treiber

• Clients von Drittanbietern, die über einen unterstützten Konnektor oder Treiber eine Verbindung zu Snowflake herstellen

Snowflake empfiehlt, bestehende Sitzungen nach Möglichkeit wiederzuverwenden und die Verbindung zu Snowflake zu schließen, wenn eine Sitzung nicht mehr benötigt wird.

Sitzungsrichtlinien¶

Eine Sitzungsrichtlinie definiert das Sitzungstimeout nach Leerlauf in Minuten und bietet die Option, den für das Leerlauf-Timeout definierten Standardwert von 4 Stunden zu überschreiben.

Die Sitzungsrichtlinie kann für ein Konto oder einen Benutzer mit konfigurierbaren Timeoutperioden nach Leerlauf festgelegt werden, um Compliance-Anforderungen zu erfüllen. Wenn ein Benutzer mit einer Sitzungsrichtlinie sowohl auf Konto- als auch auf Benutzerebene verbunden ist, hat die Sitzungsrichtlinie auf Benutzerebene Vorrang. Nachdem die Sitzungsrichtlinie für das Konto oder den Benutzer festgelegt wurde, setzt Snowflake die Sitzungsrichtlinie durch.

Es gibt zwei Eigenschaften, die das Verhalten der Sitzungsrichtlinie bestimmen:

• SESSION_IDLE_TIMEOUT_MINS für programmgesteuerte Clients und Snowflake-Clients

• SESSION_UI_IDLE_TIMEOUT_MINS für die klassische Weboberfläche und für Snowsight.

Die Timeout-Periode beginnt nach erfolgreicher Authentifizierung bei Snowflake. Ist keine Sitzungsrichtlinie festgelegt, verwendet Snowflake einen Standardwert von 240 Minuten (d. h. 4 Stunden). Der minimale konfigurierbare Wert für das Leerlauf-Timeout einer Sitzungsrichtlinie ist 5 Minuten. Nach Ablauf des Sitzungstimeouts muss sich der Benutzer erneut bei Snowflake authentifizieren. Snowflake setzt jedoch keine der durch Kundenspezifischer Logout-Endpunkt definierten Einstellungen durch.

Weitere Informationen dazu finden Sie unter:

• Verwalten von Sitzungsrichtlinien

• Die Ansicht SESSIONS zur Überwachung der Sitzungsnutzung

Implementieren einer Sitzungsrichtlinie¶

Die folgenden Schritte sind eine repräsentative Anleitung für die Implementierung einer Sitzungsrichtlinie.

Bei diesen Schritten wird von einem zentralen Verwaltungsansatz ausgegangen, bei dem eine kundenspezifische Rolle mit dem Namen policy_admin Eigentümer der Sitzungsrichtlinie ist (d. h. die Berechtigung OWNERSHIP für die Sitzungsrichtlinie hat) und für die Festlegung der Sitzungsrichtlinie für ein Konto oder einen Benutzer verantwortlich ist (d. h. die Berechtigung APPLY SESSION POLICY ON ACCOUNT oder die Berechtigung APPLY SESSION POLICY ON USER hat).

Gehen Sie folgendermaßen vor, um eine Sitzungsrichtlinie zu implementieren.

USE ROLE USERADMIN;

CREATE ROLE policy_admin;

USE ROLE SECURITYADMIN;

GRANT USAGE ON DATABASE mydb TO ROLE policy_admin;

GRANT USAGE, CREATE SESSION POLICY ON SCHEMA mydb.policies TO ROLE policy_admin;

GRANT APPLY SESSION POLICY ON ACCOUNT TO ROLE policy_admin;

USE ROLE POLICY_ADMIN;

CREATE SESSION POLICY mydb.policies.session_policy_prod_1
  SESSION_IDLE_TIMEOUT_MINS = 60
  SESSION_UI_IDLE_TIMEOUT_MINS = 60
  COMMENT = 'Session policy for the prod_1 environment'
;

USE ROLE policy_admin;

ALTER ACCOUNT SET SESSION POLICY mydb.policies.session_policy_prod_1;

ALTER USER jsmith SET SESSION POLICY my_database.my_schema.session_policy_prod_1_jsmith;

Verwalten von Sitzungsrichtlinien¶

Übersicht zu DDL für Sitzungsrichtlinien¶

Snowflake bietet die folgenden DDL-Befehle zum Verwalten von Sitzungsrichtlinienobjekten:

• CREATE SESSION POLICY

• ALTER SESSION POLICY

• DROP SESSION POLICY

• SHOW SESSION POLICIES

• DESCRIBE SESSION POLICY

Um eine Sitzungsrichtlinie für das Konto festzulegen oder aufzuheben, führen Sie den Befehl ALTER ACCOUNT wie unten gezeigt aus.

ALTER ACCOUNT SET SESSION POLICY mydb.policies.session_policy_prod_1;

Copy

ALTER ACCOUNT UNSET SESSION POLICY;

Copy

Um eine Sitzungsrichtlinie auf Benutzerebene festzulegen oder aufzuheben, führen Sie den Befehl ALTER USER wie unten gezeigt aus.

ALTER USER jsmith SET SESSION POLICY mydb.policies.session_policy_prod_1_jsmith;

Copy

ALTER USER jsmith UNSET SESSION POLICY;

Copy

Problembehandlung für Sitzungsrichtlinien¶

• Wenn einem Konto oder einem Benutzer eine Sitzungsrichtlinie zugewiesen ist und die Datenbank oder das Schema, die bzw. das die Sitzungsrichtlinie enthält, gelöscht wird, und dann dem Konto oder dem Benutzer eine neue Sitzungsrichtlinie zugewiesen wird, ist der Benutzer nicht an das Sitzungstimeout nach Leerlauf der neuen Sitzungsrichtlinie gebunden.

  Die Problemumgehung besteht darin, die ursprüngliche Sitzungsrichtlinie rückgängig zu machen: bei einem Konto mit dem ALTER ACCOUNT-Befehl und bei einem Benutzer mit dem ALTER USER-Befehl, wie unter diesem Thema gezeigt.

• In der folgenden Tabelle sind einige Fehlermeldungen zusammengefasst, die bei Sitzungsrichtlinien auftreten können.

  Verhalten	Fehlermeldung	Problembehandlung
  Sitzungsrichtlinie kann nicht erstellt werden.	Cannot perform CREATE SESSION POLICY. This session does not have a current database. Call ‚USE DATABASE‘, or use a qualified name.	Geben Sie vor der Ausführung von CREATE SESSION POLICY eine Datenbank an, oder verwenden Sie in der Anweisung CREATE SESSION POLICY den vollqualifizierten Objektnamen.
  Sitzungsrichtlinie kann nicht erstellt werden.	SQL access control error: Insufficient privileges to operate on schema ‚<Name_des_Schemas>‘	Überprüfen Sie, ob die Rolle, die die Anweisung CREATE SESSION POLICY-Anweisung ausführt, Berechtigung CREATE SESSION POLICY ON SCHEMA.
  Sitzungsrichtlinie kann nicht erstellt werden.	SQL compilation error: Database ‚<Name_der_Datenbank>‘ does not exist or not authorized.	Überprüfen Sie, ob die Datenbank vorhanden ist und die Rolle, die die CREATE SESSION POLICY-Anweisung ausführt, die USAGE-Berechtigung für das Schema hat, in dem die Sitzungsrichtlinie vorhanden sein soll.
  DESCRIBE-Anweisung kann nicht ausgeführt werden.	SQL compilation error: Schema ‚<Name_des_Schemas>‘ does not exist or not authorized.	Überprüfen Sie, ob die Rolle, die die DESC SESSION POLICY-Anweisung ausführt, die OWNERSHIP-Berechtigung für die Sitzungsrichtlinie oder die APPLY-Berechtigung für die Sitzungsrichtlinie hat.
  Sitzungsrichtlinie kann nicht gelöscht werden.	SQL compilation error: Session policy ‚<Name_der_Richtlinie>‘ does not exist or not authorized.	Überprüfen Sie, ob die Rolle, die die DROP SESSION POLICY-Anweisung ausführt, die Berechtigung OWNERSHIP für die Sitzungsrichtlinie hat.
  Sitzungsrichtlinie kann nicht gelöscht werden.	Session policy <Name_der_Richtlinie> cannot be dropped because it is attached to an account.	Heben Sie die Sitzungsrichtlinie für das Konto mit einer ALTER ACCOUNT-Anweisung auf, und führen Sie die Drop-Anweisung erneut aus.
  Sitzungsrichtlinie kann für Konto nicht festgelegt werden.	Session policy ‚<Name_der_Richtlinie> is already attached to account <Name_des_Kontos>.	Ein Konto kann nur eine aktive Sitzungsrichtlinie haben. Bestimmen Sie, welche Sitzungsrichtlinie für das Konto festgelegt werden soll. . Falls erforderlich, heben Sie die aktuelle Sitzungsrichtlinie für das Konto mit einem ALTER ACCOUNT-Befehl auf, und legen Sie dann die andere Sitzungsrichtlinie für das Konto mit einem weiteren ALTER ACCOUNT-Befehl fest.
  Timeout-Wert kann nicht festgelegt werden.	SQL compilation error: invalid value ‚<Ganzzahl>‘ for property ‚session_idle_timeout_mins‘	Der Wert für das Sitzungstimeout in Minuten muss eine ganze Zahl zwischen 5 und 240 (einschließlich) sein. . Wählen Sie eine gültige Ganzzahl für das Sitzungstimeout, und führen Sie die Anweisung CREATE OR ALTER SESSION POLICY erneut aus.
  Bestehende Sitzungsrichtlinie kann nicht aktualisiert werden.	SQL compilation error: Session policy ‚<Name_der_Richtlinie>‘ does not exist or not authorized.	Überprüfen Sie den Namen der Sitzungsrichtlinie, die Syntax des ALTER SESSION POLICY-Befehls und die Berechtigungen zum Bearbeiten der Sitzungsrichtlinie, der Datenbank und des Schemas.