Gestion des utilisateurs¶

Types d’utilisateurs¶

Certains objets utilisateurs correspondent à des utilisateurs humains tandis que d’autres objets utilisateurs correspondent à un service ou une application qui interagit avec Snowflake de manière programmatique sans interaction humaine. Lorsque vous créez un objet utilisateur, vous spécifiez le type d’utilisateur afin de faire la distinction entre les humains et les services. Cette distinction est importante car les utilisateurs humains devraient s’inscrire à l’authentification multifactorielle (MFA), mais les services et les applications ne devraient pas le faire car il n’y a pas d’humain pour utiliser une méthode secondaire d’authentification.

La propriété TYPE d’un objet utilisateur détermine le type d’utilisateur. Les valeurs possibles de cette propriété TYPE sont les suivantes :

PERSON:

L’utilisateur est un utilisateur humain qui peut interagir avec Snowflake.

NULL:

Les fonctions sont les mêmes PERSON.

SERVICE:

L’utilisateur est un service ou une application qui interagit avec Snowflake sans interaction humaine.

Pour améliorer la posture de sécurité des cas d’utilisation non interactifs, les utilisateurs disposant de la propriété TYPE définie sur SERVICE présentent les caractéristiques suivantes :

• Ils ne peuvent pas se connecter à l’aide d’un mot de passe.

• Ils ne peuvent pas se connecter en utilisant SAML SSO.

• Ils ne peuvent pas s’inscrire à MFA.

• Ils ne sont pas soumis à l’application MFA de la politique d’authentification.

• Ils ne peuvent pas avoir les propriétés suivantes :

  • FIRST_NAME

  • MIDDLE_NAME

  • LAST_NAME

  • PASSWORD

  • MUST_CHANGE_PASSWORD

  • MINS_TO_BYPASS_MFA

• Les commandes suivantes ne peuvent pas être utilisées :

  • ALTER USER RESET PASSWORD

  • ALTER USER SET DISABLE_MFA = TRUE

SNOWFLAKE_SERVICE:

Utilisateur créé par Snowflake pour Snowpark Container Services. Les administrateurs ne peuvent pas créer d’utilisateurs de type SNOWFLAKE_SERVICE, ni modifier le type d’un utilisateur existant pour qu’il devienne SNOWFLAKE_SERVICE. Pour plus d’informations sur les utilisateurs de SNOWFLAKE_SERVICE, voir Connexion à Snowflake depuis l’intérieur d’un conteneur.

LEGACY_SERVICE:

Un utilisateur dont la propriété TYPE est réglée sur LEGACY_SERVICE représente une intégration non interactive. Il est similaire à SERVICE, mais permet l’authentification par mot de passe et par SAML. Dans une prochaine version, le type LEGACY_SERVICE sera supprimé ; à ce moment-là, tous les cas d’utilisation non interactifs utiliseront le type SERVICE avec une méthode d’authentification sécurisée.

Les utilisateurs LEGACY_SERVICE ont les caractéristiques suivantes :

• Ils peuvent se connecter avec un mot de passe ou l’authentification SAML, contrairement aux utilisateurs SERVICE.

• Ils ont les propriétés d’un utilisateur SERVICE, mais disposent des propriétés PASSWORD et MUST_CHANGE_PASSWORD.

• Ils sont affectés par les restrictions de commande d’un utilisateur SERVICE, mais peuvent utiliser la commande ALTER USER RESET PASSWORD.

• Ils ne sont pas concernés par l’application de la politique d’authentification multifactorielle (MFA). Cette propriété permet aux administrateurs de définir des stratégies d’authentification au niveau du compte qui nécessitent MFA pour l’authentification par mot de passe sans avoir besoin de définir une politique d’authentification au niveau de l’utilisateur pour empêcher les utilisateurs LEGACY_SERVICE d’exiger MFA pour l’authentification par mot de passe.

Rôles utilisateur¶

Snowflake utilise des rôles pour contrôler les objets (entrepôts virtuels, bases de données, tables, etc.) auxquels les utilisateurs peuvent accéder :

• Snowflake fournit un ensemble de rôles prédéfinis, ainsi qu’un cadre pour définir une hiérarchie de rôles personnalisés.

• Tous les utilisateurs de Snowflake se voient automatiquement attribuer le rôle prédéfini PUBLIC, qui permet de se connecter à Snowflake et d’accéder aux objets de base.

• En plus du rôle PUBLIC, chaque utilisateur peut se voir attribuer des rôles supplémentaires, l’un de ces rôles étant désigné comme rôle par défaut. Le rôle par défaut d’un utilisateur détermine le rôle utilisé dans les sessions Snowflake initiées par l’utilisateur ; cependant, il ne s’agit que d’un rôle par défaut. Les utilisateurs peuvent modifier les rôles au sein d’une session à tout moment.

• Les rôles peuvent être affectés lors de la création de l’utilisateur ou après.

Privilèges requis pour créer et modifier des utilisateurs¶

Les rôles ou privilèges suivants sont nécessaires pour gérer les utilisateurs de votre compte :

Création d’utilisateurs:

Le rôle système USERADMIN peut créer des utilisateurs en utilisant SQL (CREATE USER).

Si vous préférez utiliser un rôle personnalisé à cette fin, accordez le privilège CREATE USER sur le compte à ce rôle.

Modifier les utilisateurs:

Seul le rôle disposant du privilège OWNERSHIP sur un utilisateur peut modifier la plupart des propriétés de l’utilisateur à l’aide de SQL (ALTER USER).

Création d’utilisateurs¶

Cette section décrit comment créer un utilisateur dans un compte spécifique à l’aide de l’interface de votre choix.

Lorsque vous choisissez l’interface, tenez compte du fait que l’interface Web, que vous utilisiez Classic Console ou Snowsight, exige que vous spécifiiez un mot de passe lorsque vous créez un utilisateur. La commande CREATE USER et UserCollection.create de l’API Python ne l’exigent pas.

Désactivation ou activation d’un utilisateur¶

La désactivation d’un utilisateur l’empêche de se connecter à Snowflake. Vous pouvez désactiver un utilisateur via les interfaces suivantes.

Déverrouillage d’un utilisateur¶

Si la connexion d’un utilisateur échoue après cinq tentatives consécutives, l’utilisateur ne peut plus tenter d’accéder à son compte pendant un certain temps (actuellement 15 minutes). Après la période de temps écoulée, le système supprime automatiquement le verrouillage et l’utilisateur peut tenter de se connecter à nouveau.

Pour déverrouiller l’utilisateur avant la fin du temps imparti, vous pouvez réinitialiser le temporisateur à l’aide de la commande ALTER USER ou de la commande UserResource.create_or_alter de l’API Python.

L’exemple suivant réinitialise la minuterie à 0, ce qui déverrouille immédiatement l’utilisateur janesmith :

ALTER USER janesmith SET MINS_TO_UNLOCK= 0;

user_parameters = root.users["janesmith"].fetch()
user_parameters.mins_to_unlock = 0
root.users["janesmith"].create_or_alter(user_parameters)

Modification des paramètres de session pour un utilisateur¶

• Pour afficher les paramètres de session d’un utilisateur, utilisez la syntaxe SQL suivante :

  SHOW PARAMETERS [ LIKE '<pattern>' ] FOR USER <name>
  

  Copy

• Pour modifier les paramètres de session d’un utilisateur, utilisez la syntaxe suivante :

  ALTER USER <name> SET <session_param> = <value>
  

  Copy

  Par exemple, permettez à un utilisateur de rester connecté à Snowflake indéfiniment et sans temps mort :

  ALTER USER janesmith SET CLIENT_SESSION_KEEP_ALIVE = TRUE;
  

  Copy

• Pour rétablir la valeur par défaut d’un paramètre de session pour un utilisateur, utilisez la syntaxe suivante :

  ALTER USER <name> UNSET <session_param>
  

  Copy

Modification d’autres propriétés de l’utilisateur¶

Vous pouvez modifier toutes les autres propriétés de l’utilisateur à l’aide de la commande ALTER USER ou de la commande UserResource.create_or_alter de l’API Python. Vous pouvez modifier un grand nombre des mêmes propriétés d’utilisateur à l’aide de Snowsight.

Par exemple :

• Remplacer le nom de famille de l’utilisateur janesmith par Jones :

  SQL:

  ALTER USER janesmith SET LAST_NAME = 'Jones';
  

  Copy

  Python:

  user_parameters = root.users["janesmith"].fetch()
  user_parameters.last_name = "Jones"
  root.users["janesmith"].create_or_alter(user_parameters)
  

  Copy

  Snowsight:

  1. Connectez-vous à Snowsight.

  2. Sélectionnez Admin » Users & Roles.

  3. Localisez l’utilisateur que vous souhaitez désactiver et sélectionnez » Edit.

  4. Pour le champ Last Name, saisissez Jones.

  5. Sélectionnez Save User.

• Définir ou modifier l’entrepôt, l’espace de noms, le rôle primaire et les rôles secondaires par défaut pour l’utilisateur janesmith :

  SQL:

  ALTER USER janesmith SET DEFAULT_WAREHOUSE = mywarehouse DEFAULT_NAMESPACE = mydatabase.myschema DEFAULT_ROLE = myrole DEFAULT_SECONDARY_ROLES = ('ALL');
  

  Copy

  Python:

  user_parameters = root.users["janesmith"].fetch()
  user_parameters.default_warehouse = "mywarehouse"
  user_parameters.default_namespace = "mydatabase.myschema"
  user_parameters.default_role = "myrole"
  user_parameters.default_secondary_roles = "ALL"
  root.users["janesmith"].create_or_alter(user_parameters)
  

  Copy

  Snowsight:

  Note

  Vous ne pouvez pas définir des rôles secondaires par défaut pour un utilisateur à l’aide de Snowsight.

  1. Connectez-vous à Snowsight.

  2. Sélectionnez Admin » Users & Roles.

  3. Localisez l’utilisateur que vous souhaitez désactiver et sélectionnez » Edit.

  4. Ouvrez les Advanced User Options et saisissez des valeurs dans les champs correspondants.

  5. Sélectionnez Save User.

Affichage des utilisateurs¶

Vous pouvez voir des informations sur les utilisateurs à l’aide des interfaces suivantes.

DESC USER janeksmith;

my_user = root.users["janesmith"].fetch()
print(my_user.to_dict())

users = root.users.iter(like="jane%")
for user in users:
  print(user.name)

Suppression d’un utilisateur¶

La destruction (ou suppression) d’un utilisateur supprime les informations d’identification de l’utilisateur de Snowflake.

Les objets créés par l’utilisateur, tels que les tables ou les vues, ne sont pas supprimés car ils appartiennent au rôle actif de l’utilisateur au moment de leur création. Un autre utilisateur affecté au même rôle ou à un rôle supérieur dans la hiérarchie de rôles peut gérer les objets ou transférer la propriété à un autre rôle.

DROP USER janesmith;

root.users["janesmith"].drop()