Deaktivieren von Snowflake-AI-Features¶

Deaktivieren der Standard-Features¶

To revoke access to all Snowflake AI features that are available to users by default, revoke the SNOWFLAKE.CORTEX_USER and SNOWFLAKE.COPILOT_USER database roles from the PUBLIC role. You can grant these roles to specific roles that you want to have access to the features, then grant those roles to specific users as needed. (You cannot grant database roles directly to users, but must grant them to roles that can be assumed by users.)

Use SQL like the following to revoke access to the SNOWFLAKE.CORTEX_USER and SNOWFLAKE.COPILOT_USER roles from the PUBLIC role, then grant them to specific roles and users.

-- Revoke access to most Snowflake AI features from all users in the account
REVOKE DATABASE ROLE SNOWFLAKE.CORTEX_USER FROM ROLE PUBLIC;
REVOKE DATABASE ROLE SNOWFLAKE.COPILOT_USER FROM ROLE PUBLIC;

-- Optionally, grant access to specific roles
GRANT DATABASE ROLE SNOWFLAKE.CORTEX_USER TO ROLE my_cortex_role;
GRANT DATABASE ROLE SNOWFLAKE.COPILOT_USER TO ROLE my_copilot_role;

-- Then grant those roles to specific users
GRANT ROLE my_cortex_role TO USER alice;
GRANT ROLE my_copilot_role TO USER bob;

Widerrufen des Zugriffs auf Opt-in-Features¶

Einige Snowflake-AI-Features sind optional. Der Zugriff auf diese Features ist standardmäßig deaktiviert. Wenn Sie also keinen Zugriff darauf gewähren, können Ihre Benutzer sie nicht verwenden. Wenn Sie Zugriff auf eines dieser Features gewährt haben, können Sie den Zugriff auf einzelne Features widerrufen:

• Cortex Analyst: Legen Sie den Kontoparameter ENABLE_CORTEX_ANALYST auf FALSE fest.

  ALTER ACCOUNT SET ENABLE_CORTEX_ANALYST = FALSE;
  

  Copy

• Cortex-Einbettungsfunktionen (AI_EMBED, EMBED_TEXT_768, und EMBED_TEXT_1024): Für den Aufruf dieser Funktionen ist die Datenbankrolle SNOWFLAKE.CORTEX_EMBED_USER erforderlich, wenn der Benutzer nicht über die Datenbankrolle SNOWFLAKE.CORTEX_USER verfügt. Widerrufen Sie die Rolle SNOWFLAKE.CORTEX_EMBED_USER von allen Rollen, denen Sie sie zugewiesen haben.

  REVOKE DATABASE ROLE SNOWFLAKE.CORTEX_EMBED_USER FROM ROLE my_role;
  

  Copy

• Cortex Fine-Tuning: Widerrufen Sie die Berechtigung CREATEMODEL für Schemas von allen Rollen, denen Sie sie erteilt haben.

  REVOKE CREATE MODEL ON SCHEMA my_schema FROM ROLE my_role;
  

  Copy

• Document AI: Widerrufen Sie die Datenbankrolle SNOWFLAKE.DOCUMENT_INTELLIGENCE_CREATOR von allen Rollen, denen Sie sie zugewiesen haben.

  REVOKE DATABASE ROLE SNOWFLAKE.DOCUMENT_INTELLIGENCE_CREATOR FROM ROLE my_role;
  

  Copy

  Bemerkung

  Bestehende Pipelines funktionieren weiterhin, nachdem der Zugriff auf Dokumenten-AI widerrufen wurde. Um die Pipelines zu beenden, setzen Sie die mit den Pipelines verbundenen Aufgaben aus oder löschen Sie sie.

• Bereitgestellter Durchsatz: Widerrufen Sie die Berechtigung CREATE PROVISIONED THROUGHPUT für Schemas von allen Rollen, denen Sie sie erteilt haben.

  REVOKE CREATE PROVISIONED THROUGHPUT ON SCHEMA my_schema FROM ROLE my_role;
  

  Copy

Zugriffssteuerung nach Feature¶

Die folgende Tabelle enthält detailliertere Informationen zur Zugriffssteuerung für einzelne Snowflake-AI-Features:

Opt out of specific models and AI Functions¶

Da die Kosten für die Verwendung verschiedener LLMs unterschiedlich sind, können Sie den Zugriff auf bestimmte LLMs über eine Zulassungsliste auf Kontoebene, durch rollenbasierte Zugriffssteuerung oder durch eine Kombination aus beidem beschränken. Weitere Informationen dazu finden Sie unter Zugriff auf das Modell kontrollieren.

ACCOUNTADMIN- und AI-Features¶

The ACCOUNTADMIN role has complete access to all features in a Snowflake account, including Snowflake AI features. Revoking the SNOWFLAKE.CORTEX_USER and SNOWFLAKE.COPILOT_USER roles from PUBLIC does not prevent ACCOUNTADMIN from using these features. Even if an ACCOUNTADMIN’s access to AI features is revoked, a user with access to ACCOUNTADMIN can always grant access to that role (or any other role) again.

Aus diesem und anderen Gründen ist es eine bewährte Methode, die ACCOUNTADMIN-Rolle nur vertrauenswürdigen Benutzern oder, noch strenger, einem einzelnen Benutzer im Konto zu gewähren, der ausschließlich für die Verwaltung des Snowflake-Kontos zuständig ist und dessen Anmeldeinformationen streng kontrolliert werden. Verwenden Sie ACCOUNTADMIN nur für die Einrichtung und Pflege von Konten, und verwenden Sie andere administrative Rollen mit eingeschränkterem Geltungsbereich (d. h. SECURITYADMIN, SYSADMIN oder USERADMIN) für die tägliche Verwaltung.

Es ist möglich, ACCOUNTADMIN daran zu hindern, Snowflake-AI-Features zu nutzen, die durch andere Mittel als die rollenbasierte Zugriffssteuerung geschützt sind. Zum Beispiel kann selbst ein Benutzer mit der ACCOUNTADMIN-Rolle Cortex Analyst nicht verwenden, wenn der Kontoparameter ENABLE_CORTEX_ANALYST auf FALSE gesetzt ist. Natürlich kann dieser Benutzer diesen Parameter jederzeit auf TRUE setzen.

Verwendung von AI-Features überwachen¶

Um sicherzustellen, dass Snowflake-AI-Features nicht verwendet werden, überwachen Sie die Nutzung von Snowflake-AI-Features über die Cortex-bezogenen Ansichten im Schema SNOWFLAKE.ACCOUNT_USAGE. Diese Ansichten sind:

• Ansicht CORTEX_ANALYST_USAGE_HISTORY

• Ansicht CORTEX_DOCUMENT_PROCESSING_USAGE_HISTORY

• Ansicht CORTEX_FINE_TUNING_USAGE_HISTORY

• Ansicht CORTEX_FUNCTIONS_QUERY_USAGE_HISTORY

• Ansicht CORTEX_FUNCTIONS_USAGE_HISTORY

• Ansicht CORTEX_PROVISIONED_THROUGHPUT_USAGE_HISTORY

• Ansicht CORTEX_SEARCH_DAILY_USAGE_HISTORY

• Ansicht CORTEX_SEARCH_SERVING_USAGE_HISTORY

Erstellen Sie Alerts für neue Daten in diesen Ansichten, um sich benachrichtigen zu lassen, wenn neue AI-Features in Ihrem Konto verwendet werden. Beispielsweise erstellt die folgende SQL-Anweisung einen Alert, der eine Slack-Meldung sendet, wenn eine AI-Funktion verwendet wird:

CREATE ALERT my_alert
  IF (EXISTS (
    SELECT * FROM SNOWFLAKE.ACCOUNT_USAGE.CORTEX_FUNCTIONS_QUERY_USAGE_HISTORY))
  THEN
    BEGIN
      CALL SYSTEM$SEND_SNOWFLAKE_NOTIFICATION(
        SNOWFLAKE.NOTIFICATION.TEXT_PLAIN('AI function used in account'),
        '{"my_slack_integration": {}}'
      );
    END;

Solche Alerts verursachen zwar nominale Computekosten, wenn neue Daten zu einer Ansicht des Cortex-Nutzungsverlaufs hinzugefügt werden, wenn aber keine AI-Features verwendet werden, entstehen keine Kosten, da keine Daten hinzugefügt werden und der Alert nie ausgelöst wird.

Zugriff auf ML-Features steuern¶

Snowflake ML features are not AI features, and access to them is not controlled by the SNOWFLAKE.CORTEX_USER role.