Partager des objets de base de données sécurisés¶

Création de rôles de bases de données¶

Créez un nouveau rôle de base de données ou remplacez un rôle de base de données existant en utilisant CREATE DATABASE ROLE.

Par exemple, créez des rôles de base de données d1.r1 et d1.r2 en utilisant des identificateurs entièrement qualifiés :

CREATE DATABASE ROLE d1.r1;

CREATE DATABASE ROLE d1.r2;

Vous pouvez également définir la base de données souhaitée comme la base de données actuelle dans la session, puis créer les rôles de la base de données :

USE DATABASE d1;

CREATE DATABASE ROLE r1;

CREATE DATABASE ROLE r2;

Accorder des privilèges sur les objets aux rôles de base de données¶

Accordez des privilèges sur une seule base de données et un sous-ensemble d’objets de la base de données à chaque rôle de base de données en utilisant GRANT <privilèges>. Accordez uniquement des privilèges sur les objets auxquels le rôle de base de données doit permettre l’accès.

Vous pouvez soit spécifier le nom entièrement qualifié d’un rôle de base de données, soit définir la base de données comme base de données active dans une session, puis spécifier le nom relatif.

En poursuivant l’exemple étendu de ces instructions, les privilèges suivants sont accordés aux rôles de la base de données :

Les instructions SQL suivantes accordent les privilèges au rôle de base de données d1.r1 :

GRANT USAGE ON SCHEMA d1.s1 TO DATABASE ROLE d1.r1;
GRANT SELECT ON VIEW d1.s1.v1 TO DATABASE ROLE d1.r1;

Les instructions SQL suivantes accordent les privilèges au rôle de base de données d1.r2 :

GRANT USAGE ON SCHEMA d1.s1 TO DATABASE ROLE d1.r2;
GRANT SELECT ON VIEW d1.s1.v2 TO DATABASE ROLE d1.r2;

Il n’est pas nécessaire d’accorder le privilège USAGE sur la base de données parente. Ce privilège est accordé implicitement lorsqu’un rôle de base de données est créé.

Pour afficher tous les privilèges accordés à un rôle de base de données, exécutez SHOW GRANTS TO DATABASE ROLE en utilisant des identificateurs entièrement qualifiés :

SHOW GRANTS TO DATABASE ROLE d1.r1;
SHOW GRANTS TO DATABASE ROLE d1.r2;

Sinon, définissez la base de données souhaitée comme la base de données actuelle dans la session, puis exécutez la commande :

USE DATABASE d1;

SHOW GRANTS TO DATABASE ROLE r1;
SHOW GRANTS TO DATABASE ROLE r2;

Création d’un partage¶

Créez un partage à l’aide de CREATE SHARE. Le partage est un conteneur vide à ce stade du processus.

Par exemple, créez un nouveau partage nommé share1 :

CREATE SHARE share1;

Ajout de la base de données en accordant le privilège USAGE au partage¶

Actuellement, il est nécessaire d’accorder le privilège USAGE sur une base de données pour l’inclure dans un partage.

Par exemple, accordez le privilège USAGE sur la base de données d1 au partage share1 :

GRANT USAGE ON DATABASE d1 TO SHARE share1;

Ajout d’objets en accordant des rôles de base de données au partage¶

Ajoutez des bases de données et des objets de base de données à un partage en accordant des rôles de base de données au partage en utilisant GRANT DATABASE ROLE … TO SHARE.

Par exemple, accordez les rôles de base de données d1.r1 et d1.r2 au partage share1 :

GRANT DATABASE ROLE d1.r1 TO SHARE share1;
GRANT DATABASE ROLE d1.r2 TO SHARE share1;

Partage d’objets de base de données avec un ou plusieurs comptes de consommateurs de données¶

Modifiez le partage ALTER SHARE … ADD ACCOUNTS et ajoutez les comptes de consommateurs de base de données avec lesquels vous souhaitez partager les objets de base de données.

L’exemple suivant ajoute les comptes consumer1 et consumer2 de l’organisation org1 au partage share1 :

ALTER SHARE share1 ADD ACCOUNTS = org1.consumer1,org1.consumer2;

Gérer les rôles de bases de données¶

Cette section fournit des instructions pour gérer les rôles de base de données qui sont accordés aux partages.

ALTER DATABASE ROLE d1.r1 RENAME TO d1.r3;

ALTER DATABASE ROLE d1.r1 RENAME TO d2.r1;

DROP DATABASE ROLE d1.r2;

Création d’un partage¶

Utilisez CREATE SHARE pour créer un partage. À cette étape, le partage est simplement un conteneur attendant l’ajout d’objets et de comptes.

Ajout d’objets au partage en accordant des privilèges¶

Utilisez GRANT <privilège> … TO SHARE pour accorder les privilèges d’objet suivants au partage :

• Privilège USAGE sur la base de données que vous souhaitez partager.

• Privilège USAGE sur chaque schéma de base de données contenant les objets que vous souhaitez partager.

• Privilège SELECT pour partager des objets spécifiques dans chaque schéma partagé :

  • Tables

  • Tables externes

  • Vues sécurisées

  • Vues matérialisées sécurisées

  • UDFs sécurisés

En option, utilisez SHOW GRANTS pour voir les attributions d’objet au partage.

Ajout d’un ou de plusieurs comptes au partage¶

Utilisez ALTER SHARE pour ajouter un ou plusieurs comptes au partage. Pour consulter les comptes ajoutés au partage, vous pouvez utiliser SHOW GRANTS.

Le partage peut maintenant être consommé par les comptes indiqués. Pour des instructions plus détaillées sur l’exécution de ces tâches et d’autres tâches relatives aux fournisseurs de données, voir Créer et configurer des partages.

Exemple¶

L’exemple suivant illustre l’ensemble du processus du fournisseur tel que décrit ci-dessus.

Cet exemple suppose les éléments suivants :

• Une base de données nommée sales_db existe avec un schéma nommé aggregates_eula et une table nommée aggregate_1.

• La base de données, le schéma et la table seront partagés avec deux comptes nommés xy12345 et yz23456.

USE ROLE accountadmin;

CREATE SHARE sales_s;

GRANT USAGE ON DATABASE sales_db TO SHARE sales_s;
GRANT USAGE ON SCHEMA sales_db.aggregates_eula TO SHARE sales_s;
GRANT SELECT ON TABLE sales_db.aggregates_eula.aggregate_1 TO SHARE sales_s;

SHOW GRANTS TO SHARE sales_s;

ALTER SHARE sales_s ADD ACCOUNTS=xy12345, yz23456;

SHOW GRANTS OF SHARE sales_s;

Copy