Snowflake Native App でデータのコンテンツを共有する¶

Snowflake Native App の共有データについて¶

Snowflake Native App Framework により、プロバイダーは共有データ・コンテンツをアプリに追加できます。このデータコンテンツは、消費者がアプリをインストールして使用する際に共有されます。データ・コンテンツを共有するためには、プロバイダーはアプリケーション・パッケージに共有データに関する権限を付与する必要があります。アプリケーションパッケージでプロバイダーが共有するデータコンテンツは、アプリにインストールされているすべてのインスタンスで共有されます。

コンシューマーは共有コンテンツに直接アクセスすることはできません。代わりに、プロバイダーはアプリケーションパッケージのセットアップスクリプトでセキュアビューを作成し、コンシューマーにセキュアビューへのアクセス権を付与します。詳細については、 共有オブジェクトにアクセスすることをコンシューマーに許可する をご参照ください。

アプリケーションパッケージに共有コンテンツの権限を付与する¶

アプリに共有データ コンテンツを含めるには、プロバイダーはアプリケーションパッケージと共有するオブジェクトに対する権限を付与する必要があります。プロバイダーがアプリケーションパッケージ内にオブジェクトを追加すると、デフォルトでは、そのオブジェクトがアプリケーションパッケージに対してプライベートになり、アプリのインストール時には表示されません。

アプリケーションパッケージからインストールされたオブジェクトをアプリに表示するには、次の例に示すように GRANT ... TO SHARE IN APPLICATION PACKAGE コマンドを使用します。

CREATE APPLICATION PACKAGE app_package;

GRANT USAGE ON SCHEMA app_package.shared_schema
  TO SHARE IN APPLICATION PACKAGE app_package;
GRANT SELECT ON TABLE app_package.shared_schema.shared_table
  TO SHARE IN APPLICATION PACKAGE app_package;

この例では、最初のコマンドが shared_schema スキーマに対する USAGE 権限をアプリケーションパッケージに付与し、コンシューマーと共有できるようにします。このコマンドにより、スキーマをコンシューマーと共有することができます。2番目のコマンドは、 shared_schema 内の shared_table テーブルに対する SELECT 権限をアプリケーションパッケージに付与します。このコマンドにより、コンシューマーはテーブルにクエリすることができます。

コンシューマーは、アプリケーションパッケージ app_package からアプリをインストールした後、 shared_schema にアクセスし、 shared_table をクエリできます。

同様の SQL コマンドを使用して、ビューをアプリケーションと共有することもできます。

アプリケーションパッケージ外のオブジェクトに権限を付与する¶

アプリケーション・パッケージの外部に存在するデータベース・オブジェクトを共有するには、プロバイダーはアプリケーション・パッケージ内にオブジェクトへのアクセスを許可するビューを作成する必要があります。アプリケーションパッケージの外部のオブジェクトを直接共有することはできません。

例えば、アプリケーション・パッケージの外部にあるデータベースを共有するには、次の例に示すように、アプリケーション・パッケージにデータベース上の REFERENCE_USAGE 権限を付与します。

GRANT REFERENCE_USAGE ON DATABASE other_db
  TO SHARE IN APPLICATION PACKAGE app_pkg;

外部データベースに対する REFERENCE_USAGE を付与した後、次の例に示すように、プロバイダーは共有オブジェクトを参照するビューをアプリケーションパッケージ内に作成する必要があります。

CREATE VIEW app_pkg.shared_schema.shared_view
  AS SELECT c1, c2, c3, c4
  FROM other_db.other_schema.other_table;

このコマンドは、アプリケーションパッケージの外部のデータベース、テーブル、スキーマを参照するビューをアプリケーションパッケージ内に作成します。

ビューの作成後、次の例に示すように、スキーマとビューに対する権限をアプリケーションに付与する必要があります。

GRANT USAGE ON SCHEMA app_pkg.shared_schema
  TO SHARE IN APPLICATION PACKAGE app_pkg;
GRANT SELECT ON VIEW app_pkg.shared_schema.shared_view
  TO SHARE IN APPLICATION PACKAGE app_pkg;

共有オブジェクトにアクセスすることをコンシューマーに許可する¶

セットアップスクリプトで作成されたデータベースオブジェクトは、インストール後にアプリから直接アクセスできます。これには、テーブル、関数、プロシージャ、新しいビュー定義が含まれます。

デフォルトでは、アプリケーションパッケージと共有されているデータベースオブジェクトは、コンシューマーには表示されません。コンシューマーがデータコンテンツを表示しアクセスできるようにするには、アプリケーションパッケージにセキュアビューを作成し、適切な権限を付与する必要があります。

このアプローチには次のようなメリットがあります。

• セットアップスクリプトでビューを作成すると、新しい列などの共有オブジェクトに直接加えられた変更は、セットアップスクリプトによってインストールされる Snowflake Native App のバージョンには表示されません。オブジェクトへの変更へのアクセスを許可するには、プロバイダーはアプリの新しいバージョンまたはパッチを作成する必要があります。

• バージョン管理されたスキーマでビューを作成すると、 Snowflake Native App の各バージョンにそのバージョンのビューの定義だけが含まれるようになります。これはアップグレードのシナリオにおいて重要です。

共有オブジェクトをコンシューマーに公開するには、セットアップスクリプトに以下のコマンドを含める必要があります。

• アプリケーションパッケージのバージョン管理されたスキーマ内にビューをインストールする。

• アプリケーションロールを使用して、これらのビューへのアクセス権をコンシューマー付与する。

次の例では、アプリケーションロールを使用して、アプリケーションパッケージのセットアップスクリプト内で共有オブジェクトへのアクセス権を付与する方法を説明します。

CREATE APPLICATION ROLE app_user;

CREATE OR ALTER VERSIONED SCHEMA inst_schema;
GRANT USAGE ON SCHEMA inst_schema
  TO APPLICATION ROLE app_user;

CREATE VIEW IF NOT EXISTS inst_schema.shared_view
  AS SELECT c1, c2, c3, c4
  FROM shared_schema.shared_table;

GRANT SELECT ON VIEW inst_schema.shared_view
  TO APPLICATION ROLE app_user;

この例では、ビューは shared_schema.shared_view のコンテンツにアクセスし、アプリケーションパッケージと共有します。

プロキシビューのポリシーを定義する¶

Snowflakeは、セットアップスクリプト内でプロキシビューを作成し、それらを保護するポリシーを定義することを推奨します。プロキシビューを保護するポリシーを定義して、 Snowflake Native App をインストールした後にポリシーの定義を変更できないようにします。また、プロキシビューにポリシーを定義すると、アップグレード中に実行中のコードが、バージョン作成時に適用されたポリシーを引き続き使用できるようになります。

外部テーブルと Apache Iceberg™ テーブルのサポート¶

Snowflake Native App Framework により、プロバイダーは 外部テーブル および Apache Iceberg™ テーブル をコンシューマーと共有することができます。これらのタイプのテーブルを共有する方法は、プロバイダーがセットアップスクリプトにビューを追加し、これらのビューの権限をアプリケーションロールに付与するという点で、通常のテーブルに似ています。

外部テーブルまたはIcebergテーブルを共有する場合、以下の制限および要件が適用されます。

• 外部およびIcebergテーブルと、それらにアクセスするビューは、アプリでは読み取り専用です。

• Cross-Cloud Auto-Fulfillment は、外部テーブルまたは Iceberg テーブルを共有する アプリでは非対応です。

• コンシューマーは、アプリが外部テーブルまたはIcebergテーブルを使用できるようにする前に、プロバイダーアカウントでアプリが外部テーブルまたはIcebergテーブルを使用できるようにする必要があります。

共有オブジェクトに対する権限を取り消したり、共有オブジェクトをドロップしたりする場合は注意する¶

アプリケーションパッケージ内の共有オブジェクトから権限を取り消す場合や、共有オブジェクトを削除する場合は注意してください。 Snowflake Native App のインストールされたバージョンが引き続きそれらのオブジェクトにアクセスする必要がある場合、 Snowflake Native App は不安定になったり失敗したりする可能性があります。

共有オブジェクトに対する権限を取り消したりドロップしたりする¶

アプリケーションパッケージから共有オブジェクトに対する権限を取り消したり、共有オブジェクトをドロップしたりする場合には注意が必要です。インストールされたバージョンの Snowflake Native App がまだそれらのオブジェクトにアクセスする必要がある場合は、 Snowflake Native App が不安定になったり失敗したりする可能性があります。