セットアップスクリプトを作成する¶

セットアップスクリプトについて¶

セットアップスクリプトには、 CREATE APPLICATION コマンドが以下のいずれかのコンテキストで実行されたときに実行される SQL ステートメントが含まれています。

• コンシューマーが Snowflake Native App をインストールまたはアップグレードします。

• プロバイダーは、アプリケーションパッケージをテストする際に、アプリケーションオブジェクトを作成またはアップグレードします。

セットアップスクリプトの SQL ステートメントは、アプリが必要とするオブジェクトをアプリケーションオブジェクト内に作成します。これにはデータベースオブジェクト、ストアドプロシージャ、ビュー、 アプリケーションロール などが含まれます。

セットアップスクリプトは、アプリケーションパッケージに必要です。 manifest.yml ファイルは、セットアップスクリプトのファイル名と相対パスの両方を指定します。アプリケーションパッケージの作成時には、 manifest.yml ファイルとセットアップスクリプトの両方が名前付きステージに存在している必要があります。

セットアップスクリプトの制限¶

次は、セットアップスクリプト内では実行できません。

• USE DATABASE

• USE SCHEMA

• USE ROLE

• USE SECONDARY ROLES

• ALTER <オブジェクト> コマンドを使用した LOG_LEVEL または TRACE_LEVEL プロパティの設定。

• EXECUTE AS CALLER であるプロシージャの作成または呼び出し。

• 名前付きステージ上のファイルを含めるために IMPORT を使用する、Snowparkユーザー定義関数（UDFs）またはプロシージャの作成。

• アプリケーションパッケージに含まれていないコードを参照するプロシージャ、関数、または匿名コードブロックの呼び出し。

• CREATE FUNCTION コマンドの使用時における、名前付きステージからのコードファイルのインポート。

• EXECUTE AS CALLER として実行されるプロシージャを呼び出すための CALL の使用。

バージョン管理されたスキーマ内で作成されるオブジェクトには、さらに制限があります。

セットアップスクリプトで作成されたオブジェクトのコンシューマーへの可視性¶

セットアップスクリプトは、ほとんどのタイプのデータベースレベルオブジェクトを作成できます。セットアップスクリプトによって作成されたデータベースオブジェクトは、アプリケーションの内部オブジェクトです。コンシューマーがアプリをインストールすると、デフォルトでこれらのオブジェクトは非表示になり、コンシューマーアカウントに直接アクセスすることはできません。

プロバイダーは、アプリケーションロールを使用して、これらのオブジェクトをコンシューマーに表示することができます。セットアップスクリプト内で作成されたアプリケーションロールは、アプリケーションオブジェクトを所有するロールに自動的に付与されます。セットアップスクリプトによって付与されたアプリケーションのロールは、取り消すことはできません。

アプリケーションオブジェクトを所有するロールを持つユーザーは、組織内の他のロールにアプリケーションロールを付与できます。たとえば、セットアップスクリプトは、 APP_ADMIN などのアプリケーションロールを定義して、アプリケーション内のオブジェクトへのアクセス権限を付与できます。アプリケーションオブジェクトを所有するロールを付与されたユーザーは、これらのオブジェクトのアプリケーションロールを他のロールに付与することができます。

セットアップスクリプトが出力するメッセージのログレベルを設定します。¶

プロバイダーは、セットアップスクリプトの実行時に生成されるメッセージのログレベルを指定できます。追加情報については、 Snowflakeスクリプトでのメッセージのログ をご参照ください。

セットアップスクリプトのログレベルを構成するには、以下のシステム関数のいずれかを使用します。

• SYSTEM$LOG

• SYSTEM$LOG_<level>

たとえば、エラーメッセージをログするようにセットアップスクリプトを構成するには、セットアップスクリプトの最初に次のコマンドを追加します。

SYSTEM$LOG('error', 'Error message');

モジュラーセットアップスクリプトを作成する¶

一般的なアプリのセットアップスクリプトは、大規模で複雑になる場合があります。セットアップスクリプトをよりモジュール化して保守しやすくするために、プロバイダーは、複数のセカンダリセットアップスクリプトを呼び出すプライマリセットアップスクリプトを作成できます。

たとえば、プロバイダーは、異なるセットアップスクリプトを作成して、オブジェクトの作成、ビューの作成、ストアドプロシージャの作成などの異なる型のタスクを処理することができます。

CREATE APPLICATION コマンドを実行すると、 manifest.yml で指定されたメインセットアップスクリプトが実行されます。メインのセットアップスクリプトから追加のセットアップスクリプトを実行するには、 EXECUTE IMMEDIATE FROM コマンドを使用します。

プライマリセットアップスクリプトに含まれるセットアップスクリプトは、遭遇順に実行されます。これらのセカンダリセットアップスクリプトのセットアップスクリプトには、 EXECUTE IMMEDIATE FROM コマンドのインスタンスを含めることもできます。

セットアップスクリプトを作成する際のベストプラクティス¶

Snowflakeは、アプリのセットアップスクリプトを作成する際に、以下のベストプラクティスをお勧めします。

CREATE SCHEMA IF NOT EXISTS app_config;
CREATE TABLE IF NOT EXISTS app_config.params(...);

CREATE OR REPLACE PROCEDURE app_state.proc()...;
GRANT USAGE ON PROCEDURE app_state.proc()
  TO APPLICATION ROLE app_user;

A TAG in a versioned schema can only be assigned to the objects in the same schema. An object in a versioned schema can only have a TAG assigned that is defined in the same schema.

アプリケーションロールについて¶

デフォルトでは、コンシューマーはアプリケーション内で作成されたオブジェクトに対する権限を持ちません。ACCOUNTADMIN ロールがあっても、アプリケーション 内 のオブジェクトを表示することはできません。アプリケーション自体の外部に作成するオブジェクト（例: データベース）は、コンシューマーカウントの ACCOUNTADMIN ロールにのみ表示されます。

アプリケーションロールはデータベースロールに似ていますが、アプリケーション内でのみ作成することができます。データベースロールとは異なり、アプリケーションロールはアプリケーションの外部に存在するオブジェクトに対して権限を付与することができます。

アプリケーションロールは、アプリケーションのインストール時にセットアップスクリプトによって作成される必要があり、アプリケーションの所有者ロールに自動的に付与されます。そのロールで、コンシューマーアカウント内にある他のロールにアプリケーションロールを付与することができます。

アプリケーションロールに付与された権限はすべて、アプリケーションのインストールに使用されるロールであるアプリケーションの所有者に渡されます。所有者はさらに、コンシューマーカウント内の他のロールにアプリケーションロールを委任することができます。

セットアップスクリプトは、アプリケーションロールを定義することもできます（例: USER）。このロールを使用すると、コンシューマーにはアプリケーションで提供される機能を使用するためのアクセス権が付与されます。セットアップスクリプトは、 READ_ONLY などのアプリケーションロールを定義して、アプリケーション内にある一部のデータ領域へのアクセスを制限することができます。

データベースロールとは異なり、アプリケーションロールはインストールされたアプリケーション以外のオブジェクトに対しても権限を付与することができます。したがって、アプリケーションの外部にあるオブジェクトに対する権限を付与するために使用できます。ただし、アプリケーションロール自体はアプリケーション内で作成する必要があります。

アプリケーションロールを操作するためにサポートされている SQL コマンド¶

Snowflake Native App Framework は、アプリケーションロールを操作するために以下の SQL コマンドを提供しています。

• ALTER APPLICATION ROLE

• CREATE APPLICATION ROLE

• DROP APPLICATION ROLE

• GRANT APPLICATION ROLE

• REVOKE APPLICATION ROLE

• SHOW APPLICATION ROLES

セットアップスクリプトでのアプリケーションロールの使用¶

セットアップスクリプトで定義されたアプリケーションロールは、アプリケーションインスタンスを所有するロールに自動的に付与されます。アプリケーションがインストールされると、アプリケーションのインストールに使用されるロールがアプリケーションの所有者になります。ただし、アプリケーションの所有者は、コンシューマーカウントの他のアカウントロールに権限を付与することができます。

アプリケーションロールは、アプリケーション内のオブジェクトに対する権限をコンシューマーに付与することができるようにします。例:

CREATE APPLICATION ROLE admin;
CREATE APPLICATION ROLE user;
GRANT APPLICATION ROLE user TO APPLICATION ROLE admin;

CREATE OR ALTER VERSIONED SCHEMA app_code;
GRANT USAGE ON SCHEMA app_code TO APPLICATION ROLE admin;
GRANT USAGE ON SCHEMA app_code TO APPLICATION ROLE user;
CREATE OR REPLACE PROCEDURE app_code.config_app(...)
GRANT USAGE ON PROCEDURE app_code.config_app(..)
  TO APPLICATION ROLE admin;

CREATE OR REPLACE FUNCTION app_code.add(x INT, y INT)
GRANT USAGE ON FUNCTION app_code.add(INT, INT)
  TO APPLICATION ROLE admin;
GRANT USAGE ON FUNCTION app_code.add(INT, INT)
  TO APPLICATION ROLE user;

この例では、セットアップスクリプトにより、 admin そして user という名前のアプリケーションロールが作成されます。そうすると、セットアップスクリプトは、アプリケーションコードを含むスキーマへのアクセス権を両方のアプリケーションロールに付与します。また、スキーマ内の add 関数へのアクセス権も付与します。 admin ロールには、 config_app プロシージャへのアクセス権も付与されます。

アプリケーションのロールおよびバージョン¶

アプリケーションロールはバージョン管理されません。つまり、アプリケーションロールをドロップしたり、バージョン管理されたスキーマにないオブジェクトから権限を取り消したりすると、アプリケーションの現在のバージョンやアップグレード中のバージョンに影響を与える可能性があります。アプリケーションロールを安全にドロップできるのは、それらのロールを使用するアプリケーションのバージョンをすべてドロップした場合のみです。