Aperçu des rôles dans Snowflake Data Clean Room¶

Aperçu des rôles et des composants¶

L’application Snowflake DCR se compose de deux éléments principaux :

• Une application native qui s’exécute dans le compte du client et qui exécute toutes les actions demandées par l’application Web.

• Une application Web qui fournit une interface basée sur un navigateur sans code. L’application Web est une enveloppe qui appelle l’application native pour effectuer des actions. L’application Web est utilisée aux fins suivantes :

  • Par l’administrateur Snowflake, pour installer l’environnement des salles blanches et gérer les fonctions au niveau du compte Snowflake.

  • Par le gestionnaire de l’application Web, pour gérer l’accès à l’application Web au sein de son compte.

  • Par des utilisateurs professionnels non techniques pour créer des salles blanches ou exécuter des requêtes dans une salle blanche (pour agir en tant que fournisseurs ou consommateurs).

Le diagramme suivant montre les différentes fonctions et objets de la salle blanche, ainsi que les rôles de Snowflake qu’ils requièrent.

L’administrateur de Snowflake, l’administrateur DCR et le gestionnaire de la salle blanche accèdent tous à l’application native par l’intermédiaire de l’application Web. L’application Web utilise un compte de service, DCR_SERVICE_USER, créé par l’administrateur de Snowflake. Ce compte de service utilise le SAMOOHA_APP_ROLE pour accéder à l’application native. Les développeurs accèdent directement à l’application native à l’aide de SAMOOHA_APP_ROLE.

Le diagramme montre les quatre rôles fonctionnels de base qu’un utilisateur peut avoir dans une salle blanche. Un utilisateur peut jouer plusieurs rôles dans une organisation donnée.

• Administrateur Snowflake : L’administrateur Snowflake installe et gère l’environnement des salles blanches pour un compte Snowflake. La gestion se fait principalement à l’aide de l’application Web. Ce rôle requiert le rôle ACCOUNTADMIN pour effectuer des actions d’exécution. Les administrateurs Snowflake effectuent les tâches suivantes :

  • Installer l’environnement de la salle blanche.

  • Désigner des administrateurs de salles blanches.

  • Créer le compte du service DCR_SERVICE_USER nécessaire à l’exécution de l’application Web (voir plus loin).

  • Désigner les données Snowflake qui peuvent être importées dans les salles blanches de ce compte par les créateurs de salles blanches.

  • Installer et configurer divers connecteurs tiers, tels que les connecteurs d’activation (pour l’exportation de données de salle blanche vers des tiers), les connecteurs de fournisseurs d’identité (pour la gestion des entités PID) et les connecteurs de données externes (pour l’importation de données non Snowflake).

• Administrateur DCR : L’administrateur des salles blanches gère l’environnement des salles blanches pour un compte Snowflake après son installation par l’administrateur Snowflake. Cette personne utilise l’application Web pour des tâches de gestion. Techniquement, il utilise le compte de service DCR_SERVICE_USER, décrit ci-dessous. Les administrateurs de salles blanches effectuent les tâches suivantes :

  • Ajouter d’autres administrateurs de salles blanches.

  • Activer et configurer divers connecteurs tiers, tels que les connecteurs d’activation (pour l’exportation de données de salle blanche vers des tiers), les connecteurs de fournisseurs d’identité (pour la gestion des entités PID) et les connecteurs de données externes (pour l’importation de données non Snowflake). Les connecteurs activés peuvent être utilisés par les gestionnaires de salles blanches.

  • Examiner les résultats des analyses de sécurité concernant les problèmes de sécurité potentiels dans les modèles de salle blanche personnalisés.

  • Ajouter les gestionnaires de salles blanches et les autres administrateurs DCR.

• Gestionnaire de salle blanche : Le rôle de gestionnaire de salle blanche dans l’application Web permet aux utilisateurs d’agir en tant que fournisseurs et consommateurs de salles blanches à l’aide de l’application Web. Les gestionnaires de salles blanches sont ajoutés ou supprimés par l’administrateur DCR. Techniquement, il utilise le compte de service DCR_SERVICE_USER, décrit ci-dessous. Les gestionnaires de salles blanches peuvent effectuer les actions suivantes :

  • Créer, partager et supprimer des salles blanches selon les paramètres généraux configurés par l’administrateur DCR.

  • Spécifier ou créer des modèles de salle blanche.

  • Configurer la confidentialité différentielle pour une salle blanche.

  • Partager une salle blanche avec des comptes spécifiques.

  • Joindre (installer et exécuter) une salle blanche.

  • Importer des données dans une salle blanche.

  • Exécuter des requêtes prises en charge par une salle blanche.

  • Exporter les résultats de la requête comme le permet une salle blanche.

• Développeur : Un développeur a les mêmes capacités qu’un gestionnaire de salle blanche, mais il utilise l’API au lieu de l’application Web. Un développeur doit utiliser explicitement SAMOOHA_APP_ROLE lorsqu’il fait des appels API. L’administrateur DCR gère les développeurs d’un compte en accordant ou en refusant l’accès SAMOOHA_APP_ROLE au compte Snowflake du développeur. Un développeur peut effectuer les mêmes tâches qu’un gestionnaire de salle blanche, à l’exception de la sélection et de la configuration des connecteurs.

• ACCOUNTADMIN : Le rôle utilisé par l’administrateur Snowflake pour installer et configurer l’environnement des salles blanches. Techniquement, ce rôle permet également d’attribuer SAMOOHA_APP_ROLE à d’autres membres de l’équipe lorsque des utilisateurs se voient accorder l’accès à un compte de salle blanche.

• SAMOOHA_APP_ROLE : Le rôle utilisé pour tous les appels de gestion non liés à l’environnement vers l’application native, que ce soit par l’intermédiaire de l’application Web ou lorsqu’elle est appelée directement par une API de développement. Lorsqu’un utilisateur utilise l’application Web, ce rôle est appliqué de manière transparente à ses requêtes.

• DCR_SERVICE_USER : Un compte de service créé par l’administrateur Snowflake au moment de l’installation DCR. Ce compte se voit attribuer le SAMOOHA_APP_ROLE. L’administrateur DCR et le gestionnaire de la salle blanche utilisent cet objet de manière transparente lorsqu’ils utilisent l’application Web.