Einführung in Aufgaben¶

Einschränkungen¶

• Die maximale Berechnungsgröße für eine serverlose Aufgabe entspricht einem XXLARGE virtuellen Warehouse.

Erstellen Sie eine Aufgabe mit dem serverlosen Berechnungsmodell¶

Verwenden Sie CREATE TASK, um die Aufgabe zu definieren. Fügen Sie nicht den Parameter WAREHOUSE hinzu.

Die Rolle, die die Aufgabe ausführt, muss über die globale EXECUTE MANAGED TASK-Berechtigung verfügen. Weitere Informationen dazu finden Sie unter Aufgabensicherheit.

Im folgenden Beispiel wird eine Aufgabe erstellt, die jede Stunde ausgeführt wird.

CREATE TASK SCHEDULED_T1
  SCHEDULE='60 MINUTES'
  AS SELECT 1;

from datetime import timedelta
from snowflake.core.task import Cron, Task

tasks = root.databases["TEST_DB"].schemas["TEST_SCHEMA"].tasks

task = tasks.create(
    Task(
        name="SCHEDULED_T1",
        definition="SELECT 1",
        schedule=timedelta(minutes=60),
        ),
    )

Kosten und Leistung: Warehouse-Größen¶

Um sicherzustellen, dass serverlose Aufgaben effizient ausgeführt werden, können Sie ein Minimum und ein Maximum von Warehouse-Größen festlegen, indem Sie die folgenden Parameter einstellen:

• SERVERLESS_TASK_MIN_STATEMENT_SIZE: die minimale Warehouse-Größe für vorhersehbare Leistung (Standard: XSMALL).

• SERVERLESS_TASK_MAX_STATEMENT_SIZE: die maximale Warehouse-Größe, um unerwartete Kosten zu vermeiden (Standard: XXLARGE).

Nachdem eine Aufgabe abgeschlossen ist, überprüft Snowflake die Leistung und passt die Computeressourcen für künftige Ausführungen innerhalb dieser Limits an.

Das folgende Beispiel zeigt eine Aufgabe, die alle 30 Sekunden ausgeführt wird, mit einer Mindestgröße des Warehouses von SMALL und einer maximalen Warehouse-Größe von LARGE.

CREATE TASK SCHEDULED_T2
  SCHEDULE='30 SECONDS'
  SERVERLESS_TASK_MIN_STATEMENT_SIZE='SMALL'
  SERVERLESS_TASK_MAX_STATEMENT_SIZE='LARGE'
  AS SELECT 1;

from datetime import timedelta
from snowflake.core.task import Cron, Task

tasks = root.databases["TEST_DB"].schemas["TEST_SCHEMA"].tasks

task = tasks.create(
    Task(
        name="SCHEDULED_T2",
        definition="SELECT 1",
        schedule=timedelta(seconds=30),
        serverless_task_min_statement_size="SMALL",
        serverless_task_max_statement_size="LARGE",
        ),
    )

Ziel-Abschlussintervall¶

Sie können ein früheres Ziel für die Fertigstellung einer serverlosen Aufgabe festlegen. Für serverlose getriggerte Aufgaben ist ein Ziel-Abschlussintervall erforderlich.

Wenn diese Einstellung vorgenommen wird, schätzt und skaliert Snowflake die Ressourcen, die innerhalb des Ziel-Abschlussintervalls abgeschlossen sein müssen. Wenn eine Aufgabe bereits ihre maximale Warehouse-Größe erreicht hat und zu lange ausgeführt wird, wird das Ziel-Abschlussintervall ignoriert.

Im folgenden Beispiel wird eine Aufgabe jeden Tag um Mitternacht mit dem Ziel bis 2 Uhr nachts ausgeführt. Die Startzeit und die Zeitzone werden durch USING CRON definiert. Wenn die Aufgabe die größte Warehouse-Größe erreicht, kann sie bis zu drei Stunden lang ausgeführt werden, bevor sie schließlich ein Timeout auslöst.

CREATE TASK SCHEDULED_T3
  SCHEDULE='USING CRON 0 * * * * America/Los_Angeles'
  TARGET_COMPLETION_INTERVAL='120 MINUTE'
  SERVERLESS_TASK_MAX_STATEMENT_SIZE='LARGE'
  USER_TASK_TIMEOUT_MS = 10800000         -- (3 hours)
  SUSPEND_TASK_AFTER_NUM_FAILURES = 3
  AS SELECT 1;

from datetime import timedelta
from snowflake.core.task import Cron, Task

tasks = root.databases["TEST_DB"].schemas["TEST_SCHEMA"].tasks

task = tasks.create(
    Task(
        name="SCHEDULED_T3",
        definition="SELECT 1",
        schedule=Cron("0 * * * *", "America/Los_Angeles"),
        target_completion_interval=timedelta(minutes=120),
        serverless_task_max_statement_size="LARGE",
        user_task_timeout_ms=10800000,  # (3 hours)
        suspend_task_after_num_failures=3,
    ),
)

Warehouse auswählen¶

Beachten Sie bei der Auswahl eines Warehouses Folgendes:

• Informieren Sie sich über die Best Practices unter Hinweise zu Warehouses.

• Analysieren Sie die durchschnittlichen Ausführungszeiten von Aufgaben mit verschiedenen Warehouses, basierend auf der Warehouse-Größe und dem Clustering. Weitere Informationen dazu finden Sie unter Dauer der Aufgabe.

• Wenn das Warehouse von mehreren Prozessen gemeinsam genutzt wird, sollten Sie die Auswirkungen der Aufgabe auf andere Workloads berücksichtigen.

Eine Aufgabe mit dem benutzerverwalteten Computemodell erstellen¶

Verwenden Sie CREATE TASK, und schließen Sie den Parameter WAREHOUSE ein.

Die Rolle, die die Aufgabe ausführt, muss über die globale EXECUTE MANAGED TASK-Berechtigung verfügen. Weitere Informationen dazu finden Sie unter Aufgabensicherheit.

Im folgenden Beispiel wird eine Aufgabe erstellt, die jede Stunde ausgeführt wird.

CREATE TASK SCHEDULED_T1
  WAREHOUSE='COMPUTE_WH'
  SCHEDULE='60 MINUTES'
  AS SELECT 1;

Erstellen von Aufgaben¶

Für das Erstellen von Aufgaben ist eine Rolle mit mindestens den folgenden Berechtigungen erforderlich:

Ausführen von Aufgaben¶

Nachdem eine Aufgabe erstellt wurde, muss der Aufgabeneigentümer über die folgenden Berechtigungen verfügen, um die Aufgabe ausführen zu können:

Darüber hinaus muss die Rolle über die erforderlichen Berechtigungen verfügen, um die von der Aufgabe ausgeführte SQL-Anweisung auszuführen.

Aufgabenverlauf anzeigen¶

Um Aufgaben anzuzeigen, müssen Sie über eine oder mehrere der folgenden Berechtigungen verfügen:

• Rolle ACCOUNTADMIN

• OWNERSHIP-Berechtigungen für die Aufgabe

• Die globale Berechtigung MONITOR EXECUTION

Anhalten und Fortsetzen von Aufgaben¶

Zusätzlich zum Aufgabeneigentümer kann eine Rolle mit der Berechtigung OPERATE für die Aufgabe, die Aufgabe anhalten und fortsetzen. Diese Rolle muss die Berechtigung USAGE für die Datenbank und das Schema haben, die die Aufgabe enthalten. Es sind keine weiteren Berechtigungen erforderlich.

Wenn eine Aufgabe fortgesetzt wird, überprüft Snowflake, ob die Rolle des Aufgabeneigentümers die unter Ausführen von Aufgaben aufgeführten Berechtigungen aufweist.

Kundenspezifische Rolle zum Erstellen von Aufgaben erstellen¶

Snowflake erfordert unterschiedliche Berechtigungen für das Erstellen von serverlosen Aufgaben und von benutzerverwalteten Aufgaben.

Um beispielsweise benutzerverwaltete Aufgaben zu erstellen, erstellen Sie eine kundenspezifische Rolle namens warehouse_task_creation und weisen Sie dieser Rolle die Berechtigungen CREATE TASK und USAGE für das Warehouse zu, in dem die Rolle Aufgaben erstellen kann.

USE SYSADMIN;

CREATE ROLE warehouse_task_creation
  COMMENT = 'This role can create user-managed tasks.';

from snowflake.core.role import Role

root.session.use_role("SYSADMIN")

my_role = Role(
    name="warehouse_task_creation",
    comment="This role can create user-managed tasks."
)
root.roles.create(my_role)

USE ACCOUNTADMIN;

GRANT CREATE TASK
  ON SCHEMA schema1
  TO ROLE warehouse_task_creation;

from snowflake.core.role import Securable

root.session.use_role("ACCOUNTADMIN")

root.roles['warehouse_task_creation'].grant_privileges(
    privileges=["CREATE TASK"], securable_type="schema", securable=Securable(name='schema1')
)

GRANT USAGE
  ON WAREHOUSE warehouse1
  TO ROLE warehouse_task_creation;

from snowflake.core.role import Securable

root.roles['warehouse_task_creation'].grant_privileges(
    privileges=["USAGE"], securable_type="warehouse", securable=Securable(name='warehouse1')
)

Als Beispiel für eine Rolle, die serverlose Aufgaben erstellen kann, erstellen Sie eine kundenspezifische Rolle namens serverless_task_creation und weisen der Rolle die Berechtigung CREATE TASK sowie auf Kontoebene die Berechtigung EXECUTE MANAGED TASK zu.

USE SYSADMIN;

CREATE ROLE serverless_task_creation
  COMMENT = 'This role can create serverless tasks.';

from snowflake.core.role import Role

root.session.use_role("SYSADMIN")

my_role = Role(
    name="serverless_task_creation",
    comment="This role can create serverless tasks."
)
root.roles.create(my_role)

USE ACCOUNTADMIN;

GRANT CREATE TASK
  ON SCHEMA schema1
  TO ROLE serverless_task_creation;

from snowflake.core.role import Securable

root.session.use_role("ACCOUNTADMIN")

root.roles['serverless_task_creation'].grant_privileges(
    privileges=["CREATE TASK"], securable_type="schema", securable=Securable(name='schema1')
)

GRANT EXECUTE MANAGED TASK ON ACCOUNT
  TO ROLE serverless_task_creation;

root.roles['serverless_task_creation'].grant_privileges(
    privileges=["EXECUTE MANAGED TASK"], securable_type="account"
)

Kundenspezifische Rolle zum Verwalten von Aufgaben¶

Erstellen Sie eine kundenspezifische Rolle, weisen Sie dieser die Berechtigung EXECUTE TASK zu, und weisen Sie diese kundenspezifischen Rolle dann jeder Aufgabeneigentümerrolle zu, um das Ändern ihrer eigenen Aufgaben zu ermöglichen. Um zu verhindern, dass die Aufgabeneigentümerrolle die Aufgabe ausführt, muss der Aufgabeneigentümerrolle diese kundenspezifische Rolle entzogen werden.

Erstellen Sie beispielsweise eine kundenspezifische Rolle mit dem Namen taskadmin, und erteilen Sie dieser Rolle die Berechtigung EXECUTE TASK. Weisen Sie die Rolle taskadmin einer Aufgabeneigentümerrolle mit dem Namen myrole zu:

USE ROLE securityadmin;

CREATE ROLE taskadmin;

from snowflake.core.role import Role

root.session.use_role("securityadmin")

root.roles.create(Role(name="taskadmin"))

Setzen Sie die aktive Rolle auf ACCOUNTADMIN, bevor Sie der neuen Rolle die Berechtigungen auf Kontoebene erteilen.

USE ROLE accountadmin;

GRANT EXECUTE TASK, EXECUTE MANAGED TASK ON ACCOUNT TO ROLE taskadmin;

root.session.use_role("accountadmin")

root.roles['taskadmin'].grant_privileges(
    privileges=["EXECUTE TASK", "EXECUTE MANAGED TASK"], securable_type="account"
)

Setzen Sie die aktive Rolle auf SECURITYADMIN, um zu zeigen, dass diese Rolle einer anderen Rolle eine Rolle zuweisen kann.

USE ROLE securityadmin;

GRANT ROLE taskadmin TO ROLE myrole;

from snowflake.core.role import Securable

root.session.use_role("securityadmin")

root.roles['myrole'].grant_role(role_type="ROLE", role=Securable(name='taskadmin'))

Weitere Informationen zum Erstellen von kundenspezifischen Rollen und Rollenhierarchien finden Sie unter Konfigurieren der Zugriffssteuerung.

Aufgabeneigentümerrolle löschen¶

Wenn Sie die Eigentümerrolle einer Aufgabe löschen, geht die Eigentümerschaft der Aufgabe an die Rolle über, die die Eigentümerrolle gelöscht hat. Wenn die Eigentümerschaft einer Aufgabe wechselt, wird die Aufgabe automatisch angehalten, und neue Ausführungen werden erst geplant, wenn der neue Eigentümer die Aufgabe fortsetzt.

Wenn Sie die Rolle löschen, während die Aufgabe ausgeführt wird, wird die Aufgabenausführung unter der gelöschten Rolle abgeschlossen.

Zugriffssteuerung¶

Die Eigentümerrolle der Aufgabe muss die IMPERSONATE-Berechtigung für den durch EXECUTE AS USER angegebenen Benutzer haben, und dem angegebenen Benutzer muss die Eigentümerrolle der Aufgabe zugewiesen sein.

Wenn die Aufgabe ausgeführt wird, wird die Primärrolle der Aufgabensitzung zur Eigentümerrolle der Aufgabe, und die Standard-Sekundärrollen des Benutzers werden aktiviert. Benutzer können die Primärrollen mit dem Befehl USE ROLE wechseln und die Sekundärrollen in der Aufgabensitzung mit dem Befehl USE SECONDARY ROLES anpassen.

Aufgaben mithilfe eines Dienstbenutzers und einer Dienstrolle freigeben¶

Für Produktionsumgebungen empfehlen wir Ihnen, einen separaten Dienstbenutzer zu erstellen, der Ihr Team oder Ihren Geschäftsprozess repräsentiert. Im Gegensatz zur Ausführung als bestehender Dienst- oder Personenbenutzer hilft diese bewährte Methode, den Workflow sicherer zu gestalten:

• Wenn eine Aufgabe als dedizierter Dienstbenutzer ausgeführt wird, erhält sie nur Zugriff auf die vorgesehenen Berechtigungen. Wenn sich ein Benutzer stattdessen als ein anderer Benutzer ausgibt, erhält er Zugriff auf alle Berechtigungen, die dem anderen Benutzer zugeordnet sind, einschließlich unbeabsichtigter Berechtigungen, einschließlich Benutzerberechtigungen, die nach dem Erstellen und Fortsetzen der Aufgabe erteilt wurden.

• Eine Aufgabe, die als Benutzer ausgeführt wird, kann unterbrochen werden, wenn die Person die Abteilung oder die Organisation verlässt.

Beispiele: Den Dienstbenutzer und die Teamrolle einrichten¶

1. Richten Sie mit der Administratorrolle einen Dienstbenutzer ein, der für die Aufgabe verwendet werden soll.

   Im folgenden Beispiel wird ein Dienstbenutzer mit dem Namen task_user erstellt:

   USE ROLE ACCOUNTADMIN;
   CREATE USER task_user;
   

   Copy

2. Erstellen Sie eine Aufgabenrolle, und weisen Sie diese dann dem Dienstbenutzer zu:

   CREATE ROLE task_role;
   GRANT ROLE task_role to USER task_user;
   

   Copy

3. Erlauben Sie der Aufgabenrolle, Abfragen im Namen der Teambenutzerrolle auszuführen:

   GRANT IMPERSONATE ON USER task_user TO ROLE task_role;
   

   Copy

4. Erteilen Sie der Aufgabenrolle die entsprechenden Berechtigungen.

   USE ROLE ACCOUNTADMIN;
   
   -- Grant the team role the privileges to create tasks in a specific schema
   GRANT CREATE TASK
     ON SCHEMA schema1
     TO ROLE task_role;
   
   -- Grant the team role the privileges to use a specific warehouse
   GRANT USAGE
     ON WAREHOUSE warehouse1
     TO ROLE task_role;
   
   -- Grant the team role the privileges to run tasks on a serverless compute model
   GRANT EXECUTE MANAGED TASK ON ACCOUNT TO ROLE task_role;
   

   Copy

Eine Aufgabe im Namen eines Dienstbenutzers ausführen¶

Nachdem die Teamrolle die Eigentümerschaft für die Aufgabe hat, können die Teammitglieder die Aufgabe ändern und sie im Namen des Dienstbenutzers ausführen.

Beispiel:

USE ROLE task_owner;

CREATE TASK team_task
  SCHEDULE='12 HOURS'
  EXECUTE AS USER task_user
  AS SELECT 1;

Im vorherigen Beispiel würden die resultierenden Protokolle zeigen, dass task_user die Aufgabe geändert hat.

(Nur zum Testen) Einem Benutzer erlauben, sich direkt als ein anderer Benutzer auszugeben¶

Wenn Sie Tests oder Prototypenänderungen durchführen, können Sie als Administrator Benutzern erlauben, sich direkt als ein anderer Benutzer auszugeben. Dieses Szenario wird zwar unterstützt, wird aber in einer Produktionsumgebung nicht empfohlen.

1. Richten Sie eine Rolle für den Identitätswechsel ein:

   USE ROLE ACCOUNTADMIN;
   CREATE ROLE janes_role;
   GRANT ROLE janes_role to USER jane;
   GRANT IMPERSONATE ON USER jane TO ROLE janes_role;
   

   Copy

2. Erstellen Sie eine Aufgabe mit der neuen Rolle:

   USE ROLE janes_role;
   
   CREATE TASK janes_task
     SCHEDULE='60 M' AS SELECT 1;
   

   Copy

3. Weisen Sie die Rolle einem anderen Benutzer zu.

   Im folgenden Beispiel gewährt die Benutzerin Jane dem Benutzer Billy Zugriff:

   --Logged in as Jane or account admin
   GRANT ROLE janes_role to USER billy;
   

   Copy

4. Der andere Benutzer ändert die Aufgabe.

   Im folgenden Beispiel ändert der Benutzer Billy die Aufgabe:

   -- Logged in as billy
   USE ROLE janes_role;
   
   ALTER TASK janes_task
     SET EXECUTE AS USER jane;
   

   Copy

5. Überprüfen Sie die Protokolle.

   Der Befehl SHOW GRANTS TO ROLE würde zeigen, dass Jane die Rolle an Billy vergeben hat. Die Ansicht QUERY_HISTORY würde dann zeigen, dass Billy die Aufgabe geändert hat. Zukünftige Aufgabenausführungen würden immer noch als von Jane ausgeführt angezeigt.

   USE ROLE ACCOUNTADMIN;
   
   SHOW GRANTS TO ROLE janes_role;
   
   QUERY_HISTORY()
     WHERE QUERY_TEXT ILIKE '%janes_task%';
   

   Copy