Sessions Snowflake et politiques de session¶

Sessions Snowflake¶

Une session commence lorsqu’un utilisateur se connecte à Snowflake et réussit à s’authentifier en utilisant un client automatique Snowflake, Snowsight, ou l”Classic Console. Une session est indépendante de la session d’un fournisseur d’identité (c’est-à-dire IdP). Si la session Snowflake expire mais que la session IdP reste active, un utilisateur peut se connecter à Snowflake sans saisir à nouveau ses identifiants de connexion (authentification silencieuse).

Avec une activité continue de l’utilisateur, une session client est maintenue indéfiniment. Après une période d’inactivité de la session, connue sous le nom de expiration de session inactive, l’utilisateur doit s’authentifier à nouveau auprès de Snowflake. Le délai d’expiration d’une session inactive a une valeur maximale de quatre heures et une politique de session peut modifier le délai d’expiration d’une session inactive. Le délai d’expiration d’une session inactive s’applique aux éléments suivants :

• Classic Console.

• Snowsight.

• SnowSQL (CLI client).

• Connecteurs et pilotes pris en charge.

• Clients tiers qui se connectent à Snowflake en utilisant un connecteur ou un pilote pris en charge.

Snowflake recommande de réutiliser les sessions existantes lorsque cela est possible et de fermer la connexion à Snowflake lorsqu’une session n’est plus nécessaire.

Politiques de la session¶

Une politique de session définit le délai d’expiration d’une session inactive en minutes et offre la possibilité de remplacer la valeur par défaut du délai d’inactivité de 4 heures.

La politique de session peut être définie pour un compte ou un utilisateur avec des délais d’expiration en cas d’inactivité configurables pour répondre à des exigences de conformité. Si un utilisateur est associé à la fois à une politique de session de compte et de niveau utilisateur, la politique de session de niveau utilisateur a la priorité. Une fois la politique de session définie pour le compte ou l’utilisateur, Snowflake l’applique.

Il existe deux propriétés qui régissent le comportement de la politique de session :

• SESSION_IDLE_TIMEOUT_MINS pour les clients automatiques et les clients Snowflake.

• SESSION_UI_IDLE_TIMEOUT_MINS pour l”Classic Console et Snowsight.

Le délai d’expiration commence dès que l’authentification à Snowflake a réussi. Si une politique de session n’est pas définie, Snowflake utilise une valeur par défaut de 240 minutes (c’est-à-dire 4 heures). La valeur minimale configurable du délai d’expiration d’une session inactive pour une politique de session est de 5 minutes. Lorsque la session expire, l’utilisateur doit s’authentifier à nouveau auprès de Snowflake. Cependant, Snowflake n’applique pas les paramètres définis par le Point de terminaison de déconnexion personnalisé.

Pour plus d’informations, voir :

• Gestion des politiques de session.

• La vue SESSIONS pour surveiller l’utilisation de la session.

Mise en œuvre d’une politique de session¶

Les étapes suivantes constituent un guide représentatif de la mise en œuvre d’une politique de session.

Ces étapes supposent une approche de gestion centralisée dans laquelle un rôle personnalisé nommé policy_admin possède la politique de session (c’est-à-dire qu’il dispose du privilège OWNERSHIP sur la politique de session) et est chargé de définir la politique de session sur un compte ou un utilisateur (c’est-à-dire qu’il dispose du privilège APPLY SESSION POLICY sur ACCOUNT ou du privilège APPLY SESSION POLICY ON USER).

Suivez ces étapes pour mettre en œuvre une politique de session.

USE ROLE USERADMIN;

CREATE ROLE policy_admin;

USE ROLE SECURITYADMIN;

GRANT USAGE ON DATABASE mydb TO ROLE policy_admin;

GRANT USAGE, CREATE SESSION POLICY ON SCHEMA mydb.policies TO ROLE policy_admin;

GRANT APPLY SESSION POLICY ON ACCOUNT TO ROLE policy_admin;

USE ROLE POLICY_ADMIN;

CREATE SESSION POLICY mydb.policies.session_policy_prod_1
  SESSION_IDLE_TIMEOUT_MINS = 60
  SESSION_UI_IDLE_TIMEOUT_MINS = 60
  COMMENT = 'Session policy for the prod_1 environment'
;

USE ROLE policy_admin;

ALTER ACCOUNT SET SESSION POLICY mydb.policies.session_policy_prod_1;

ALTER USER jsmith SET SESSION POLICY my_database.my_schema.session_policy_prod_1_jsmith;

Gestion des politiques de session¶

Référence DDL de politique de session¶

Snowflake fournit les commandes DDL suivantes pour gérer les objets de politique de session.

• CREATE SESSION POLICY

• ALTER SESSION POLICY

• DROP SESSION POLICY

• SHOW SESSION POLICIES

• DESCRIBE SESSION POLICY

Pour définir ou désactiver une politique de session sur le compte, exécutez la commande ALTER ACCOUNT comme indiqué ci-dessous.

ALTER ACCOUNT SET SESSION POLICY mydb.policies.session_policy_prod_1;

Copy

ALTER ACCOUNT UNSET SESSION POLICY;

Copy

Pour définir ou désactiver une politique de session au niveau de l’utilisateur, exécutez la commande ALTER USER comme indiqué ci-dessous.

ALTER USER jsmith SET SESSION POLICY mydb.policies.session_policy_prod_1_jsmith;

Copy

ALTER USER jsmith UNSET SESSION POLICY;

Copy

Dépannage des politiques de session¶

• Si une politique de session est affectée à un compte ou à un utilisateur et que la base de données ou le schéma qui contient la politique de session est détruit, puis qu’une nouvelle politique de session est affectée au compte ou à l’utilisateur, l’utilisateur ne sera pas tenu de respecter la ou les valeurs du délai d’expiration d’une session inactive de la nouvelle politique de session.

  La solution de contournement consiste à annuler la politique de session d’origine du compte à l’aide d’une commande ALTER ACCOUNT ou de l’utilisateur à l’aide d’une commande ALTER USER comme indiqué dans ce chapitre.

• Le tableau suivant résume certains messages d’erreur qui peuvent se produire avec les politiques de session.

  Comportement	Message d’erreur	Action de dépannage
  Impossible de créer une politique de session.	Impossible d’exécuter CREATE SESSION POLICY. Cette session ne dispose pas d’une base de données actuelle. Appelez « USE DATABASE » ou utilisez un nom qualifié.	Spécifiez une base de données avant d’exécuter CREATE SESSION POLICY ou utilisez le nom d’objet entièrement qualifié dans l’instruction CREATE SESSION POLICY.
  Impossible de créer une politique de session.	Erreur de contrôle d’accès SQL : privilèges insuffisants pour effectuer des opérations sur le schéma « <nom_schéma> »	Vérifiez que le rôle qui exécute l’instruction CREATE SESSION POLICY possède le privilège CREATE SESSION POLICY sur SCHEMA.
  Impossible de créer une politique de session.	Erreur de compilation SQL : la base de données « <nom_base_de_données> » n’existe pas ou n’est pas autorisée.	Vérifiez que la base de données existe et que le rôle qui exécute l’instruction CREATE SESSION POLICY possède le privilège USAGE sur le schéma dans lequel la politique de session doit exister.
  Impossible d’exécuter une instruction de description.	Erreur de compilation SQL : le schéma « <nom_schéma> » n’existe pas ou n’est pas autorisé.	Vérifiez que le rôle qui exécute l’instruction DESC SESSION POLICY possède le privilège OWNERSHIP sur la politique de session ou le privilège APPLY sur la politique de session.
  Impossible de détruire une politique de session.	Erreur de compilation SQL : la politique de session « <nom_politique> » n’existe pas ou n’est pas autorisée.	Vérifiez que le rôle qui exécute l’instruction DROP SESSION POLICY possède le privilège OWNERSHIP sur la politique de session.
  Impossible de détruire une politique de session.	La politique de session <nom_politique> ne peut pas être détruite, car elle est associée à un compte.	Annulez la politique de session du compte avec une instruction ALTER ACCOUNT et relancez l’instruction de suppression.
  Impossible de définir une politique de session sur un compte.	La politique de session « <nom_politique> » est déjà associée au compte « <nom_compte> ».	Un compte ne peut avoir qu’une seule politique de session active. Déterminez quelle politique de session doit être définie pour le compte. . Si nécessaire, annulez la politique de session actuelle du compte avec une commande ALTER ACCOUNT ; puis définissez l’autre politique de session sur le compte avec une autre commande ALTER ACCOUNT.
  Impossible de définir une valeur de délai d’expiration.	Erreur de compilation SQL : valeur non valide « <entier> » pour la propriété « session_idle_timeout_mins ».	La valeur du délai d’attente de la session, en minutes, doit être un nombre entier compris entre 5 et 240, inclus. . Choisissez un nombre entier valide pour le délai d’expiration de session et exécutez à nouveau l’instruction CREATE ou ALTER SESSION POLICY.
  Impossible de mettre à jour une politique de session existante.	Erreur de compilation SQL : la politique de session « <nom_politique> » n’existe pas ou n’est pas autorisée.	Vérifiez le nom de la politique de session, la syntaxe de la commande ALTER SESSION POLICY et les privilèges permettant d’agir sur la politique de session, la base de données et le schéma.