Konfigurieren der Zugriffssteuerung¶

Festlegen zusätzlicher Benutzer als Kontoadministratoren¶

Standardmäßig hat jedes Konto einen Benutzer, der als Kontoadministrator festgelegt wurde (d. h. der Benutzer hat die systemdefinierte ACCOUNTADMIN-Rolle erhalten). Wir empfehlen, mindestens einen weiteren Benutzer als Kontoadministrator zu bestimmen. Auf diese Weise wird sichergestellt, dass Ihr Konto immer mindestens einen Benutzer hat, der Aufgaben auf Kontoebene ausführen kann, insbesondere wenn sich einer Ihrer Kontoadministratoren nicht anmelden kann.

Für diese zusätzlichen Kontoadministratoren können Sie wählen, ob Sie neue Benutzer anlegen oder bestehende Benutzer benennen möchten. Achten Sie aber darauf, Folgendes anzugeben:

• Weisen Sie den Benutzern die ACCOUNTADMIN-Rolle zu, aber legen Sie diese Rolle nicht als Standard fest. Legen Sie stattdessen eine untergeordnete administrative Rolle (z. B. SYSADMIN) oder eine kundenspezifische Rolle als Standardrolle fest. Dadurch wird verhindert, dass Kontoadministratoren versehentlich die ACCOUNTADMIN-Rolle zum Erstellen von Objekten verwenden.

• Stellen Sie sicher, dass für jeden Benutzer eine E-Mail-Adresse angegeben ist (erforderlich für die mehrstufige Authentifizierung).

Weisen Sie beispielsweise einem vorhandenen Benutzer mit dem Namen user2 die Rollen ACCOUNTADMIN und SYSADMIN zu, und geben Sie SYSADMIN als Standardrolle an:

GRANT ROLE ACCOUNTADMIN, SYSADMIN TO USER user2;

ALTER USER user2 SET EMAIL='user2@domain.com', DEFAULT_ROLE=SYSADMIN;

Copy

Aktivieren von MFA für jeden Kontoadministrator¶

Um die höchste Sicherheitsstufe für Ihr Snowflake-Konto sicherzustellen, empfehlen wir dringend, dass jeder Benutzer, der sensible Daten ändern oder anzeigen kann, zur Anmeldung die mehrstufige Authentifizierung (MFA) verwenden muss.

Diese Empfehlung gilt insbesondere für Benutzer mit der Rolle ACCOUNTADMIN, kann aber auch auf Benutzer mit den Rollen SECURITYADMIN und SYSADMIN ausgedehnt werden.

Weitere Details dazu finden Sie unter Hinweise zur Zugriffssteuerung und Mehrstufige Authentifizierung (MFA).

Rolle erstellen¶

Nur Benutzeradministratoren (d. h. Benutzer mit der Systemrolle USERADMIN oder höher) oder eine andere Rolle mit der Berechtigung CREATE ROLE für das Konto können Rollen erstellen.

SQL:

1. Erstellen Sie mit einer CREATE ROLE-Anweisung die Rolle r1:

   CREATE ROLE r1
      COMMENT = 'This role has all privileges on schema_1';
   

   Copy

Snowsight:

1. Melden Sie sich bei Snowsight an.

2. Wechseln Sie zu einer Rolle mit Berechtigungen zum Erstellen von Rollen in dem Konto.

3. Wählen Sie im Navigationsmenü die Option Admin » Users & Roles aus, und wählen Sie dann Roles aus.

4. Wählen Sie + Role aus.

   Das Dialogfenster New Role wird geöffnet.

5. Geben Sie unter Name den Namen der Rolle ein. Beispiel: r1.

6. Unter Grant to role können Sie optional festlegen, dass die neue Rolle einer bestehenden Rolle zugewiesen wird und die Berechtigungen der bestehenden Rolle erbt.

7. Fügen Sie optional einen Kommentar hinzu.

8. Wählen Sie Create Role aus.

Rolle Berechtigungen erteilen¶

Verwenden Sie die Rolle SECURITYADMIN, um den Rollen Berechtigungen für Objekte erteilen. Weitere Optionen finden Sie unter GRANT <Berechtigungen>.

SQL:

1. Erteilen Sie der Rolle r1 die in der Tabelle weiter oben in diesem Abschnitt definierten Berechtigungen.

   GRANT USAGE
     ON WAREHOUSE w1
     TO ROLE r1;
   
   GRANT USAGE
     ON DATABASE d1
     TO ROLE r1;
   
   GRANT USAGE
     ON SCHEMA d1.s1
     TO ROLE r1;
   
   GRANT SELECT
     ON TABLE d1.s1.t1
     TO ROLE r1;
   

   Copy

Snowsight:

1. Melden Sie sich bei Snowsight an.

2. Wählen Sie Data » Databases aus.

3. Wählen Sie für eine bestimmte Datenbank und ein bestimmtes Schema ein Datenbankobjekt aus, für das Sie Berechtigungen erteilen möchten. Zum Beispiel eine Datenbank mit dem Namen d1.

4. Suchen Sie in Object Details den Abschnitt Privileges.

5. Wählen Sie + Privilege aus.

6. Wählen Sie die Rolle aus, der Sie die Berechtigung zuweisen möchten. Beispiel: r1.

7. Wählen Sie die Berechtigung aus, die Sie der Rolle erteilen möchten. Beispiel: USAGE.

8. Wenn Sie möchten, dass die Rolle auch anderen Rollen diese Berechtigung erteilen kann, aktivieren Sie das Kontrollkästchen Grant option.

9. Wählen Sie Grant Privileges aus.

Wiederholen Sie bei diesem Beispiel die Schritte, um die Berechtigung USAGE für das Schema s1 und SELECT für Tabelle t1 zu erteilen.

Um USAGE für Warehouse w1 zu erteilen, führen Sie die folgenden Schritte aus:

1. Melden Sie sich bei Snowsight an.

2. Wählen Sie Admin » Warehouses aus.

3. Wählen Sie das Warehouse aus, für das Sie Berechtigungen zuweisen möchten. Beispiel: w1.

4. Wählen Sie im Abschnitt Privileges die Option + Privilege aus.

5. Wählen Sie die Rolle aus, der Sie die Berechtigung zuweisen möchten. Beispiel: r1.

6. Wählen Sie unter Privileges die zu Berechtigung aus, die erteilt werden soll. Beispiel: USAGE.

7. Wenn Sie möchten, dass die Rolle auch anderen Rollen diese Berechtigung erteilen kann, aktivieren Sie das Kontrollkästchen Grant option.

8. Wählen Sie Grant Privileges aus.

Benutzern die Rolle zuweisen¶

Sie können die Rolle SECURITYADMIN verwenden, um Benutzern Rollen zuzuweisen. Weitere Optionen finden Sie unter GRANT ROLE.

SQL:

1. Weisen Sie mit einer GRANT ROLE-Anweisung die Rolle r1 dem Benutzer smith zu.

   GRANT ROLE r1
      TO USER smith;
   

   Copy

2. Optional können Sie die neue kundenspezifische Rolle als Standardrolle für den Benutzer festlegen. Wenn sich der Benutzer das nächste Mal bei Snowflake anmeldet, ist die Standardrolle automatisch in der Sitzung aktiv.

   Dieser Befehl kann nur von der Rolle mit OWNERSHIP-Berechtigung für einen Benutzer oder von einer höheren Rolle ausgeführt werden.

   Mit dem folgenden Befehl wird die Standardrolle für den Benutzer smith festgelegt:

   ALTER USER smith
      SET DEFAULT_ROLE = r1;
   

   Copy

Snowsight:

1. Melden Sie sich bei Snowsight an.

2. Wechseln Sie zu einer Rolle mit Berechtigungen zum Zuweisen von Berechtigungen zu Rollen im Konto.

3. Wählen Sie im Navigationsmenü die Option Admin » Users & Roles aus, und wählen Sie dann Roles aus.

4. Wählen Sie Table aus, suchen Sie die von Ihnen erstellte Rolle, und wählen Sie sie aus.

5. Wählen Sie im Bereich 0 users have been granted R1 die Option Grant to User aus.

6. Wählen Sie unter User to receive grant einen Benutzer aus, dem Sie die Rolle zuweisen möchten. Beispiel: smith.

7. Wählen Sie Grant aus.

Einer Rolle globale Berechtigungen zuweisen¶

Sie können einer Rolle auch eine globale Berechtigung zuweisen. Unter Zugriffssteuerungsrechte finden Sie eine Liste der globalen Berechtigungen, die einer Rolle zugewiesen werden können.

SQL:

Verwenden Sie den Befehl GRANT PRIVILEGE. Weitere Informationen dazu finden Sie unter Berechtigungsverwaltung.

Snowsight:

1. Melden Sie sich bei Snowsight an.

2. Wechseln Sie zu einer Rolle mit Berechtigungen zum Zuweisen von Berechtigungen zu Rollen im Konto.

3. Wählen Sie im Navigationsmenü die Option Admin » Users & Roles aus, und wählen Sie dann Roles aus.

4. Wählen Sie Table aus, suchen Sie die von Ihnen erstellte Rolle, und wählen Sie sie aus.

5. Wählen Sie auf der Seite mit den Rollendetails » Manage global privileges aus.

6. Wählen Sie unter Global privilege to grant die Berechtigung aus, die Sie der Rolle zuweisen möchten.

7. Wenn Sie möchten, dass die Rolle auch anderen Rollen diese Berechtigung erteilen kann, aktivieren Sie das Kontrollkästchen Grant option.

8. Wählen Sie Update Privileges aus.

Rolle einer anderen Rolle zuweisen¶

Weisen Sie die Rolle einer in der Rollenhierarchie übergeordneten Rolle zu. In diesem Beispiel wird die Rolle r1, die in Erstellen von kundenspezifischen Rollen (unter diesem Thema) erstellt wurde, der Rolle SYSADMIN zugewiesen. Die SYSADMIN-Rolle erbt alle Objektberechtigungen, die der Rolle r1 erteilt wurden:

SQL:

GRANT ROLE r1
   TO ROLE sysadmin;

Copy

Snowsight:

1. Melden Sie sich bei Snowsight an.

2. Wählen Sie im Navigationsmenü die Option Admin » Users & Roles aus, und wählen Sie dann Roles aus.

3. Wählen Sie Table aus, und suchen Sie die Rolle, die Sie einer anderen Rolle zuweisen möchten. Beispiel: r1.

4. Wählen Sie im Bereich 0 roles have been granted R12 die Option Grant to Role aus.

5. Wählen Sie unter Role to receive grant die Option SYSADMIN aus.

6. Wählen Sie Grant aus.

Rollenhierarchien in Snowsight untersuchen¶

Snowsight bietet ein Rollendiagramm, das die Hierarchie der Rollen in Ihrem Konto anzeigt. Das Diagramm ist in absteigender Reihenfolge der Hierarchie organisiert, sodass die Vererbung von übergeordneten an untergeordnete Rollen dargestellt wird. Bei Konten mit vielen Rollen kann das Laden des Diagramms einige Zeit dauern.

Um das Rollendiagramm zu öffnen, gehen Sie wie folgt vor:

1. Melden Sie sich bei Snowsight an.

2. Wählen Sie im Navigationsmenü die Option Admin » Users & Roles aus.

Bei der Anzeige des Rollendiagramms können Sie eine einzelne Rolle oder einen einzelnen Benutzer auswählen, der dann in den Mittelpunkt des Rollendiagramms rückt. Zoomen Sie in der rechten oberen Ecke des Diagramms hinein und heraus, und zentrieren Sie das Diagramm auf die fokussierte Rolle bzw. den fokussierten Benutzer.

Wählen Sie eine Rolle aus, um Details zu der Rolle anzuzeigen, z. B. wann die Rolle erstellt wurde, die Eigentümerrolle, die Anzahl der Rollen, die der Rolle zugewiesen wurden, die Anzahl der Benutzer, denen die Rolle zugewiesen wurde, und die Möglichkeit, Zuweisungen für die Rolle zu verwalten.

Wenn Sie die Details zu einer Rolle anzeigen, können Sie das Menü auswählen, um die Grafik auf die ausgewählte Rolle zu zentrieren oder die Detailseite der Rolle zu öffnen.

Hinweise¶

• Wenn zukünftige Berechtigungszuweisungen zu demselben Objekttyp sowohl für eine Datenbank als auch für ein Schema in dieser Datenbank definiert werden, haben die Zuweisungen auf Schemaebene Vorrang vor den Zuweisungen auf Datenbankebene, und die Zuweisungen auf Datenbankebene werden ignoriert. Dieses Verhalten gilt für Berechtigungen auf zukünftige Objekte, die einer Rolle oder verschiedenen Rollen erteilt werden.

  Mit den folgenden Anweisungen werden beispielsweise unterschiedliche Berechtigungen für Objekte desselben Typs auf Datenbank- und Schemaebene erteilt.

  Rolle r1 wird die SELECT-Berechtigung für alle zukünftigen Tabellen der Datenbank d1 erteilt:

  GRANT SELECT ON FUTURE TABLES IN DATABASE d1 TO ROLE r1;
  

  Copy

  Der Rolle r2 werden die Berechtigungen INSERT und DELETE für alle zukünftigen Tabellen erteilt, die im Schema d1.s1 erstellt werden:

  GRANT INSERT,DELETE ON FUTURE TABLES IN SCHEMA d1.s1 TO ROLE r2;
  

  Copy

  Die zukünftigen Berechtigungszuweisungen der Rolle r1 für Objekttypen im Schema d1.s1 werden vollständig ignoriert. Wenn im Schema d1.s1 neue Tabellen erstellt werden, kommen nur die zukünftigen Berechtigungszuweisungen zur Anwendung, die für Tabellen der Rolle r2 definiert wurden.

• Zukünftige Berechtigungszuweisungen auf Datenbankebene gelten sowohl für reguläre als auch für verwaltete Zugriffsschemas.

Definieren zukünftiger Berechtigungszuweisungen zu Datenbank- oder Schemaobjekten¶

Erteilen von Berechtigungen auf zukünftige Objekte eines bestimmten Typs mit dem Befehl GRANT <Berechtigungen> und den Schlüsselwörtern ON FUTURE.

Entziehen zukünftiger Berechtigungszuweisungen von Datenbank- oder Schemaobjekten¶

Entziehen von Berechtigungen auf zukünftige Objekte mit dem Befehl REVOKE <Berechtigungen> und den Schlüsselwörtern ON FUTURE.

Klonen von Objekten und zukünftige Berechtigungszuweisungen¶

• Wenn eine Datenbank oder ein Schema geklont wird, werden zukünftige Berechtigungszuweisungen in den Klon kopiert. Auf diese Weise wird die Konsistenz mit den regulären Objektzuweisungen beibehalten, bei denen nicht die Berechtigungen des Quellobjekts (d. h. der Datenbank) in den Klon kopiert werden, sondern die Berechtigungen für alle untergeordneten Objekte (d. h. Schemas in der Datenbank).

• Wenn ein Objekt in einem Schema geklont wird, werden alle zukünftigen Berechtigungszuweisungen, die für diesen Objekttyp im Schema definiert sind, auf das geklonte Objekt angewendet, es sei denn, die Option COPY GRANTS wird in der CREATE <Objekt>-Anweisung der Klonoperation angegeben. In diesem Fall behält das neue Objekt die Zugriffsberechtigungen des ursprünglichen Objekts bei und erbt nicht die zukünftigen Berechtigungszuweisungen für Objekte dieses Typs.

Verwalten zukünftiger Berechtigungszuweisungen zur klassischen Konsole¶

Sie können zukünftige Berechtigungszuweisungen auch über die klassische Weboberfläche definieren:

Berechtigungen auf zukünftige Datenbankobjekte:

1. Wählen Sie Databases aus.

2. Klicken Sie auf die Zeile einer spezifischen Datenbank. Der Sicherheitsbereich wird geöffnet.

3. Wählen Sie Grant Privileges aus. Das Dialogfenster Grant Privileges wird geöffnet.

4. Wählen Sie in der Dropdown-Liste Grant privileges on die Option future object_type (Objekttyp) aus, um zukünftige Berechtigungszuweisungen zu neuen Objekten eines bestimmten Objekttyps zu definieren.

5. Wählen Sie in den übrigen Dropdown-Listen die Berechtigungen aus, die Sie den neuen Objekten des angegebenen Typs erteilen möchten, sowie die Rolle, der die Berechtigungen erteilt werden sollen.

6. Wählen Sie Grant Privileges aus.

Berechtigungen auf zukünftige Schemaobjekte:

1. Wählen Sie Databases » <DB-Name> » Schemas aus.

2. Klicken Sie auf die Zeile eines spezifischen Schemas. Der Sicherheitsbereich wird geöffnet.

3. Wählen Sie Grant Privileges aus. Das Dialogfenster Grant Privileges wird geöffnet.

4. Wählen Sie in der Dropdown-Liste Grant privileges on die Option future object_type (Objekttyp) aus, um zukünftige Berechtigungszuweisungen zu neuen Objekten eines bestimmten Objekttyps zu definieren.

5. Wählen Sie in den übrigen Dropdown-Listen die Berechtigungen aus, die Sie den neuen Objekten des angegebenen Typs erteilen möchten, sowie die Rolle, der die Berechtigungen erteilt werden sollen.

6. Wählen Sie Grant Privileges aus.

Um zukünftige Berechtigungszuweisungen in Snowsight zu verwalten, führen Sie SQL-Anweisungen in einem Arbeitsblatt aus.

Berechtigungen für Objekte erteilen¶

Gehen Sie wie folgt vor, um einer Rolle Berechtigungen für Datenbankobjekte zu erteilen:

1. Melden Sie sich bei Snowsight an.

2. Wählen Sie Data » Databases aus.

3. Wählen Sie für eine bestimmte Datenbank und ein bestimmtes Schema ein Datenbankobjekt aus, für das Sie Berechtigungen erteilen möchten.

4. Suchen Sie in Object Details den Abschnitt Privileges.

5. Wählen Sie + Privilege aus.

6. Wählen Sie die Rolle aus, der Sie die Berechtigung zuweisen möchten.

7. Wählen Sie die Berechtigung aus, die Sie der Rolle erteilen möchten.

8. Wenn Sie möchten, dass die Rolle auch anderen Rollen diese Berechtigung erteilen kann, wählen Sie Grant option aus.

9. Wiederholen Sie die Schritte für jede Objektberechtigung, die Sie der Rolle erteilen möchten.

10. Wählen Sie Grant Privileges aus.

Berechtigungen für Objekte entziehen¶

Gehen Sie wie folgt vor, um einer Rolle die Berechtigungen für Datenbankobjekte zu entziehen:

1. Melden Sie sich bei Snowsight an.

2. Wählen Sie Data » Databases aus.

3. Wählen Sie für eine bestimmte Datenbank und ein bestimmtes Schema ein Datenbankobjekt aus, dem Sie die Berechtigungen entziehen möchten.

4. Suchen Sie in Object Details den Abschnitt Privileges.

5. Wählen Sie für eine bestimmte aufgelistete Rolle das Bleistiftsymbol Edit Role aus, das angezeigt wird, wenn Sie den Mauszeiger über die Zeile bewegen.

6. Wählen Sie im angezeigten Dialogfeld die Option x aus, um einer bestimmten Rolle eine Berechtigung zu entziehen.

7. Wählen Sie Update Privileges aus.

Berechtigungen identifizieren, die der Rollen erteilt wurden¶

Um die einer bestimmten Rolle zugeteilten Berechtigungen anzuzeigen, können Sie den Befehl SHOW GRANTS ausführen oder in Snowsight Folgendes tun:

1. Melden Sie sich bei Snowsight an.

2. Wählen Sie Admin » Users & Roles » Roles aus.

3. Wählen Sie Table aus, und bestimmen Sie die Rolle, für die Sie die erteilten Berechtigungen anzeigen möchten.

4. Wählen Sie die Rolle aus, für die Sie die erteilten Berechtigungen anzeigen möchten, um die Details anzuzeigen.

5. Überprüfen Sie den Bereich Privileges für die Rolle.