Configuration du contrôle d’accès¶

Désignation d’utilisateurs supplémentaires comme administrateurs de compte¶

Par défaut, chaque compte a un utilisateur qui a été désigné comme administrateur de compte (c.-à-d. un utilisateur à qui le rôle ACCOUNTADMIN défini par le système a été accordé). Nous vous recommandons de désigner au moins un autre utilisateur comme administrateur de compte. Ceci permet de vous assurer que votre compte a toujours au moins un utilisateur qui peut effectuer des tâches au niveau du compte, en particulier si l’un de vos administrateurs de compte est incapable de se connecter.

Pour ces administrateurs de compte supplémentaires, vous pouvez choisir de créer de nouveaux utilisateurs ou de désigner des utilisateurs existants, mais veillez à spécifier ce qui suit :

• Attribuez le rôle ACCOUNTADMIN au(x) utilisateur(s), mais ne définissez pas ce rôle par défaut. Au lieu de cela, désignez un rôle administratif ou personnalisé de niveau inférieur (SYSADMIN, par ex.) comme rôle par défaut. Ceci aide à empêcher les administrateurs de compte d’utiliser par inadvertance le rôle ACCOUNTADMIN pour créer des objets.

• Assurez-vous qu’une adresse électronique est spécifiée pour chaque utilisateur (nécessaire pour l’authentification multifactorielle).

Par exemple, attribuez les rôles ACCOUNTADMIN et SYSADMIN à un utilisateur existant nommé user2, et spécifiez SYSADMIN comme rôle par défaut :

GRANT ROLE ACCOUNTADMIN, SYSADMIN TO USER user2;

ALTER USER user2 SET EMAIL='user2@domain.com', DEFAULT_ROLE=SYSADMIN;

Copy

Activation de MFA pour chaque administrateur de compte¶

Pour assurer le plus haut niveau de sécurité pour votre compte Snowflake, nous recommandons fortement que tout utilisateur pouvant modifier ou visualiser des données sensibles soit tenu d’utiliser une authentification multifactorielle (MFA) pour se connecter.

Cette recommandation s’applique particulièrement aux utilisateurs ayant le rôle ACCOUNTADMIN, mais peut également être étendue aux utilisateurs ayant les rôles SECURITYADMIN et SYSADMIN.

Pour plus de détails, voir Remarques relatives au contrôle d’accès et Authentification multifactorielle (MFA).

Créer un rôle¶

Seuls les administrateurs des utilisateurs (c’est-à-dire les utilisateurs ayant le rôle système USERADMIN ou un rôle supérieur), ou un autre rôle ayant le privilège CREATE ROLE sur le compte, peuvent créer des rôles.

SQL:

1. Créez le rôle r1 en utilisant une instruction CREATE ROLE :

   CREATE ROLE r1
      COMMENT = 'This role has all privileges on schema_1';
   

   Copy

Snowsight:

1. Connectez-vous à Snowsight.

2. Passez à un rôle ayant les privilèges de création de rôles dans le compte.

3. Dans le menu de navigation, sélectionnez Admin » Users & Roles, puis sélectionnez Roles.

4. Sélectionnez + Role.

   La boîte de dialogue New Role apparaît.

5. Pour Name, saisissez le nom du rôle. Par exemple, r1.

6. Pour Grant to role, vous pouvez choisir d’attribuer le nouveau rôle à un rôle existant et d’hériter des privilèges de ce dernier.

7. Ajoutez éventuellement un commentaire.

8. Sélectionnez Create Role.

Accorder des privilèges au rôle¶

Vous pouvez utiliser le rôle SECURITYADMIN pour accorder des privilèges sur des objets à des rôles. Pour des options supplémentaires, voir GRANT <privilèges>.

SQL:

1. Accordez au rôle r1 les privilèges définis dans le tableau précédent dans cette section.

   GRANT USAGE
     ON WAREHOUSE w1
     TO ROLE r1;
   
   GRANT USAGE
     ON DATABASE d1
     TO ROLE r1;
   
   GRANT USAGE
     ON SCHEMA d1.s1
     TO ROLE r1;
   
   GRANT SELECT
     ON TABLE d1.s1.t1
     TO ROLE r1;
   

   Copy

Snowsight:

1. Connectez-vous à Snowsight.

2. Sélectionnez Data » Databases.

3. Pour une base de données et un schéma spécifiques, sélectionnez un objet de base de données auquel vous souhaitez accorder des privilèges. Par exemple, une base de données nommée d1.

4. Dans Object Details, localisez la section Privileges.

5. Sélectionnez + Privilege.

6. Sélectionnez le rôle auquel vous souhaitez accorder le privilège. Par exemple, r1.

7. Sélectionnez le privilège que vous souhaitez accorder au rôle. Par exemple, USAGE.

8. Si vous souhaitez que le rôle puisse accorder le privilège à d’autres rôles, cochez la case Grant option.

9. Sélectionnez Grant Privileges.

Pour cet exemple, répétez les étapes pour accorder USAGE sur le schéma s1, SELECT sur la table t1.

Pour accorder USAGE à l’entrepôt w1, procédez comme suit :

1. Connectez-vous à Snowsight.

2. Sélectionnez Admin » Warehouses.

3. Localisez et sélectionnez l’entrepôt auquel vous souhaitez accorder des privilèges. Par exemple, w1.

4. Dans la section Privileges, sélectionnez + Privilege.

5. Sélectionnez le rôle auquel vous souhaitez accorder le privilège. Par exemple, r1.

6. Pour Privileges, sélectionnez le privilège à accorder. Par exemple, USAGE.

7. Si vous souhaitez que le rôle puisse accorder le privilège à d’autres rôles, cochez la case Grant option.

8. Sélectionnez Grant Privileges.

Accorder le rôle à des utilisateurs¶

Vous pouvez utiliser le rôle SECURITYADMIN pour attribuer des rôles aux utilisateurs. Pour des options supplémentaires, voir GRANT ROLE.

SQL:

1. Attribuez le rôle r1 à l’utilisateur smith à l’aide de l’instruction GRANT ROLE.

   GRANT ROLE r1
      TO USER smith;
   

   Copy

2. Vous pouvez aussi, si vous le souhaitez, définir le nouveau rôle personnalisé comme le rôle par défaut pour l’utilisateur. La prochaine fois que l’utilisateur se connectera à Snowflake, le rôle par défaut sera automatiquement actif dans la session.

   Seuls le rôle ayant le privilège OWNERSHIP sur l’utilisateur ou un rôle supérieur peuvent exécuter cette commande.

   La commande suivante définit le rôle par défaut de l’utilisateur smith :

   ALTER USER smith
      SET DEFAULT_ROLE = r1;
   

   Copy

Snowsight:

1. Connectez-vous à Snowsight.

2. Passer à un rôle avec privilèges pour accorder des privilèges aux rôles du compte.

3. Dans le menu de navigation, sélectionnez Admin » Users & Roles, puis sélectionnez Roles.

4. Sélectionnez Table et localisez et sélectionnez le rôle que vous avez créé.

5. Dans la section 0 users have been granted R1, sélectionnez Grant to User.

6. Pour User to receive grant, sélectionnez un utilisateur à qui attribuer le rôle. Par exemple, smith.

7. Sélectionnez Grant.

Accorder des privilèges globaux à un rôle¶

Vous pouvez également accorder un privilège global à un rôle. Voir Privilèges de contrôle d’accès pour la liste des privilèges globaux pouvant être accordés à un rôle.

SQL:

Utilisez la commande GRANT PRIVILEGE. Voir Gestion des privilèges pour plus de détails.

Snowsight:

1. Connectez-vous à Snowsight.

2. Passer à un rôle avec privilèges pour accorder des privilèges aux rôles du compte.

3. Dans le menu de navigation, sélectionnez Admin » Users & Roles, puis sélectionnez Roles.

4. Sélectionnez Table et localisez et sélectionnez le rôle que vous avez créé.

5. Dans la page des détails du rôle, sélectionnez » Manage global privileges.

6. Pour Global privilege to grant, sélectionnez le privilège que vous souhaitez accorder au rôle.

7. Si vous souhaitez que le rôle puisse accorder le privilège à d’autres rôles, cochez la case Grant option.

8. Sélectionnez Update Privileges.

Accorder un rôle à un autre rôle¶

Affectez le rôle à un rôle de niveau supérieur dans une hiérarchie des rôles. Dans cet exemple, nous assignons le rôle r1 créé dans Création de rôles personnalisés (dans cette rubrique) au rôle SYSADMIN. Le rôle SYSADMIN hérite de tous les privilèges d’objet accordés au rôle r1 :

SQL:

GRANT ROLE r1
   TO ROLE sysadmin;

Copy

Snowsight:

1. Connectez-vous à Snowsight.

2. Dans le menu de navigation, sélectionnez Admin » Users & Roles, puis sélectionnez Roles.

3. Sélectionnez Table et localisez le rôle que vous souhaitez attribuer à un autre rôle. Par exemple, r1.

4. Dans la section 0 roles have been granted R12, sélectionnez Grant to Role.

5. Pour Role to receive grant, sélectionnez SYSADMIN.

6. Sélectionnez Grant.

Explorez les hiérarchies de rôles dans Snowsight¶

Snowsight inclut un graphique des rôles qui affiche la hiérarchie des rôles dans votre compte. Le graphique est organisé par ordre décroissant de hiérarchie, avec des chemins représentant l’héritage des rôles parents vers les rôles enfants. Dans les comptes comportant un grand nombre de rôles, le graphique peut mettre un certain temps à se charger.

Pour ouvrir le graphique des rôles, procédez comme suit :

1. Connectez-vous à Snowsight.

2. Dans le menu de navigation, sélectionnez Admin » Users & Roles.

Lors de la vue du graphique des rôles, vous pouvez sélectionner un rôle ou un utilisateur individuel qui devient alors le point central du graphique des rôles. Pour explorer, faites un zoom avant et arrière et centrez le graphique sur le rôle ou l’utilisateur ciblé.

Sélectionnez un rôle pour en voir les détails, tels que la date de création du rôle, le rôle du propriétaire, le nombre de rôles accordés au rôle, le nombre de rôles auxquels le rôle a été accordé, le nombre d’utilisateurs auxquels le rôle est accordé et la possibilité de gérer les attributions du rôle.

Lorsque vous voyez les détails d’un rôle, vous pouvez sélectionner le pour centrer le graphique sur le rôle sélectionné ou ouvrir la page des détails du rôle.

Considérations¶

• Lorsque les autorisations futures sont définies sur le même type d’objet pour une base de données et un schéma dans la même base, les autorisations au niveau du schéma ont priorité sur les autorisations au niveau de la base de données et les autorisations au niveau de la base de données sont ignorées. Ce comportement s’applique aux privilèges sur les objets futurs accordés à un rôle ou à différents rôles.

  Par exemple, les instructions suivantes accordent des privilèges différents sur les objets du même type au niveau de la base de données et du schéma.

  Accorder le privilège SELECT sur toutes les futures tables de la base de données d1 au rôle r1 :

  GRANT SELECT ON FUTURE TABLES IN DATABASE d1 TO ROLE r1;
  

  Copy

  Accorder les privilèges INSERT et DELETE sur toutes les futures tables dans le schéma d1.s1 au rôle r2.

  GRANT INSERT,DELETE ON FUTURE TABLES IN SCHEMA d1.s1 TO ROLE r2;
  

  Copy

  Les autorisations futures attribuées au rôle r1 sur des types d’objets dans le schéma d1.s1 sont complètement ignorées. Lorsque de nouvelles tables sont créées dans le schéma d1.s1, seuls les privilèges futurs définis dans les tables du rôle r2 sont autorisés.

• Les autorisations futures au niveau de la base de données s’appliquent aux schémas d’accès réguliers et gérés.

Définition d’autorisations futures sur des objets de base de données ou de schéma¶

Accorde des privilèges sur les objets futurs d’un type spécifié en utilisant la commande GRANT <privilèges> avec les mots-clés ON FUTURE.

Révocation d’autorisations futures sur des objets de base de données ou de schéma¶

Révoquer des autorisations futures sur des objets futurs à l’aide de la commande REVOKE <privilèges> avec les mots-clés ON FUTURE.

Clonage d’objets et autorisations futures¶

• Lorsqu’une base de données ou un schéma est cloné, les autorisations futures sont copiées sur son clone. Ce comportement maintient la cohérence avec les autorisations d’objets ordinaires ; c’est-à-dire que les autorisations de privilèges sur un objet source (c’est-à-dire la base de données) ne sont pas copiés sur ses clones, mais les autorisations de privilèges sur tous les objets enfants (c’est-à-dire les tables de la base de données) sont copiés sur les clones.

• Lorsqu’un objet d’un schéma est cloné, toutes les autorisations futures définies pour ce type d’objet dans le schéma sont appliquées à l’objet cloné, sauf si l’option COPY GRANTS est spécifiée dans l’instruction CREATE <objet> pour l’opération de clonage. Dans ce cas, le nouvel objet conserve les autorisations d’accès de l’objet d’origine et n’hérite d”aucune autorisation future pour des objets de ce type.

Gestion des attributions futures à l’aide de la console classique¶

Vous pouvez également définir des autorisations futures à l’aide de l”Classic Console :

Autorisations sur les futurs objets de base de données:

1. Sélectionnez Databases .

2. Cliquez sur la ligne pour une base de données spécifique. Le panneau de sécurité s’ouvre.

3. Sélectionnez Grant Privileges. La boîte de dialogue Grant Privileges s’ouvre.

4. Dans la liste déroulante Grant privileges on , sélectionnez future object_type pour définir les futures autorisations sur de nouveaux objets d’un type d’objet spécifique.

5. Dans les listes déroulantes restantes, sélectionnez les privilèges que vous accordez aux nouveaux objets du type que vous avez spécifié, ainsi que le rôle auquel les privilèges seront accordés.

6. Sélectionnez Grant Privileges.

Autorisations sur les futurs objets du schéma:

1. Sélectionnez Databases » <nom_bd> » Schemas.

2. Cliquez sur la ligne pour un schéma spécifique. Le panneau de sécurité s’ouvre.

3. Sélectionnez Grant Privileges. La boîte de dialogue Grant Privileges s’ouvre.

4. Dans la liste déroulante Grant privileges on , sélectionnez future object_type pour définir les futures autorisations sur de nouveaux objets d’un type d’objet spécifique.

5. Dans les listes déroulantes restantes, sélectionnez les privilèges que vous accordez aux nouveaux objets du type que vous avez spécifié, ainsi que le rôle auquel les privilèges seront accordés.

6. Sélectionnez Grant Privileges.

Pour gérer les attributions futures dans Snowsight, exécutez les instructions SQL dans une feuille de calcul.

Attribuer des privilèges sur des objets¶

Pour accorder des privilèges d’objet de base de données à un rôle, procédez comme suit :

1. Connectez-vous à Snowsight.

2. Sélectionnez Data » Databases.

3. Pour une base de données et un schéma spécifiques, sélectionnez un objet de base de données auquel vous souhaitez accorder des privilèges.

4. Dans Object Details, localisez la section Privileges.

5. Sélectionnez + Privilege.

6. Sélectionnez le rôle auquel vous souhaitez accorder le privilège.

7. Sélectionnez le privilège que vous souhaitez accorder au rôle.

8. Si vous souhaitez que le rôle puisse accorder le privilège à d’autres rôles, sélectionnez Grant option.

9. Répétez ces étapes pour chaque privilège d’objet que vous souhaitez accorder au rôle.

10. Sélectionnez Grant Privileges.

Révoquer des privilèges sur des objets.¶

Pour révoquer les privilèges d’un objet de base de données d’un rôle, procédez comme suit :

1. Connectez-vous à Snowsight.

2. Sélectionnez Data » Databases.

3. Pour une base de données et un schéma spécifiques, sélectionnez un objet de base de données dont vous souhaitez révoquer les privilèges.

4. Dans Object Details, localisez la section Privileges.

5. Pour un rôle spécifique répertorié, sélectionnez l’icône en forme de crayon Edit Role qui apparaît lorsque vous survolez la ligne.

6. Dans la boîte de dialogue qui s’affiche, sélectionnez le bouton x pour révoquer un privilège d’un rôle spécifique.

7. Sélectionnez Update Privileges.

Identifier les privilèges accordés à des rôles.¶

Pour afficher les privilèges accordés à un rôle spécifique, vous pouvez exécuter la commande SHOW GRANTS ou faire ce qui suit dans Snowsight :

1. Connectez-vous à Snowsight.

2. Sélectionnez Admin » Users & Roles » Roles.

3. Sélectionnez Table et localisez le rôle pour lequel vous souhaitez afficher les privilèges accordés.

4. Sélectionnez le rôle pour lequel vous souhaitez afficher les privilèges accordés afin de consulter les détails.

5. Examinez la section Privileges pour le rôle.