アプリの所有者権限と呼び出し元権限の使用¶

アプリのオーナー権・呼び出し元制限権について¶

アプリのコンテキストでは、次のタイプの実行可能ファイルがサポートされています。

• アプリが所有するストアドプロシージャ

• コンテナー搭載アプリで利用可能なサービス

これらのタイプの実行可能ファイルはそれぞれ、所有者の権限または制限された呼び出し元権限のいずれかを使用するように構成できます。

所有者の権限:

デフォルトでは、アプリ内の実行可能ファイルは所有者の権限を使用します。つまり、実行可能ファイルの所有者（アプリ自体）に付与された権限で実行されます。

たとえば、所有者の権限は、実行可能ファイルがプロバイダーアカウントのデータにアクセスし、そのデータをコンシューマーに提示することを許可します。ただし、コンシューマーがデータに直接アクセスすることは許可されません。

たとえば、CREATE PROCEDURE コマンドは、デフォルトで所有者の権限を使用するストアドプロシージャを作成します 。コンシューマーは、アプリケーションロールを使用してアクセス権を付与されている場合、ストアドプロシージャを呼び出すことができます。アプリが操作を実行する権限を持っている場合、ストアドプロシージャはその操作を実行できます。

所有者の権限に関する一般情報については、呼び出し元権限と所有者権限のストアドプロシージャについて をご参照ください。

制限された呼び出し元権限:

制限付き呼び出し元権限は、呼び出し元権限で実行ファイルを実行することを許可しますが、 実行ファイルがどの呼び出し元権限で実行されるかを制限します。呼び出し元権限が制限されている場合、コンシューマーアカウントの管理者が GRANT CALLER コマンドを使用して明示的に許可しない限り、アプリが所有する実行ファイルを特定の権限で実行することはできません。

注釈

アプリの実行可能ファイルが安全であることを保証するため、Snowflake Native Apps は無制限の呼び出し元権限をサポートしていません。

制限された呼び出し元権限に関する一般的な情報については、 制限された呼び出し元権限 をご参照ください。

アプリのアクセス要件の決定¶

Snowflake Native Apps は、アプリが管理するデータや実行可能ファイルへのアクセスを構成する際、プロバイダーに柔軟性をもたらします。次のテーブルは、アプリのアクセス要件に応じてどのメカニズムを使用するかのガイドラインを提供しています。

マニフェストに restricted_callers_rights プロパティを追加します。¶

プロバイダーとして、制限された呼び出し元権限を使用するようにアプリ内の実行可能ファイルを構成する場合、Snowflakeでは、次の例で示すように restricted_callers_rights をマニフェストファイルに追加することを推奨します。

restricted_callers_rights:
  enabled: true
  description: This app includes stored procedure that uses restricted caller's rights.

restricted_callers_rights は必須ではありませんが、これが存在し、 enabled が true, Snowsight にセットされている場合、アプリのリストに Restricted caller's rights というセクションが含まれます。

制限された呼び出し元権限を使用するプロシージャまたはサービスの構成¶

制限された呼び出し元権限を使用するストアドプロシージャを作成するには、次の例に示すように、アプリが実行可能ファイルを作成するときに EXECUTE AS RESTRICTED CALLER 句を使用します。

CREATE OR REPLACE PROCEDURE CORE.HELLO()
RETURNS STRING
LANGUAGE SQL
EXECUTE AS RESTRICTED CALLER
AS
BEGIN
  RETURN 'Hello Snowflake!';
END;

詳細については、 CREATE PROCEDURE をご参照ください。

コンテナを使用するアプリにおける制限された呼び出し元権限サービスの使用¶

制限された呼び出し元権限を使用するサービスの構成に関する詳細情報については、 呼び出し元権限を使用したコンテナー内部からのSnowflakeへの接続 をご参照ください。

コンテナを使用するアプリでは、Snowpark Container Services サービスは、アプリの権限（所有者の権限）またはサービスの呼び出し元の権限（制限された呼び出し元権限）で実行できます。ただし、service _user_ roleではなく、 service _owner_ roleがアプリです。呼び出し元グラントを付与する場合、コンシューマーは次の例に示すように、TO APPLICATION 句を使用してアプリを指定します。

GRANT CALLER USAGE ON DATABASE consumer_db TO APPLICATION hello_snowflake_app;

この例では、 consumer_db データベースへのアクセスに呼び出し側のロールを使用するために、呼び出し側の権限を制限してサービスを実行することができます。

アプリ内の制限された呼び出し元権限の制限¶

アプリ内で制限された呼び出し元権限を使用する場合、以下の制限が適用されます。

アプリ内の制限された呼び出し元権限プロシージャからの請求関数の呼び出し¶

SYSTEM$CREATE_BILLING_EVENT や SYSTEM$CREATE_BILLING_EVENTS のような請求関数を RCR 実行ファイルから呼び出すことはできません。アプリ内の実行可能ファイル（RCR）からこれらの関数を呼び出すには、所有者の権限プロシージャにこれらの関数を含め、制限された呼び出し元の権限プロシージャからプロシージャを呼び出します。

知的財産権の保護と呼び出し元の権限制限¶

所有者権限のストアドプロシージャを含むアプリは、アプリの内部実装に関する情報を冗長化します。詳細については、 プロバイダーの知的財産を保護する をご参照ください。

制限された呼び出し元権限を持つストアドプロシージャでは、アプリに関する内部情報もマスキングされます。特にこれは、次のコマンド、ビュー、および関数に適用され、多くの情報がマスキングされます。

• DESCRIBE PROCEDURE コマンド

• Information Schemaの PROCEDURES ビュー

• Account Information Schemaの PROCEDURES ビュー

• GET_DDL 関数

しかし、所有者権限を持つストアドプロシージャとは異なり、制限された呼び出し元権限を使用するプロシージャは、クエリ履歴とクエリプロファイルからの情報を再編集しません。

制限された呼び出し元権限を使用するアプリの開発¶

一般に、MANAGE CALLER GRANTS 権限が付与されたロールのみが、実行可能ファイルに呼び出し元グラントを付与することができます。ただし、Snowflake Native App の開発ライフサイクル中は、プロバイダーがアプリを頻繁に作成してドロップしなければならないことがあります。Snowflake Native Apps は、:ref:` 開発モードのアプリ <label-native_apps_dev_mode>` の呼び出し元グラントを作成するためのメカニズムを提供します。

プロバイダーは、 MANAGE CALLER GRANTS を使用せずにロールを使用して、アプリに発信者権限を付与することができます。ただし、そのためには以下のすべてが必要です：

• アプリは 開発モード で作成する必要があります。

• 現在のロールは、ロール階層内のアプリ所有者ロールを持っています。

• アプリ所有者ロールは、付与される呼び出し元グラントのスーパーセットを持っています。

  注釈

  ALL CALLER PRIVILEGES 権限は、どのような発信者権限セットの上位セットです。

スーパーセットの要件は、 INHERITED CALLER を通して、通常、特定のコンテナーの下にある特定のタイプの現在および将来のすべてのオブジェクトを対象とする補助金では満たすことができません。詳細については、 GRANT CALLER をご参照ください。

この要件を満たすには、付与される呼び出し元グラントは、アプリ所有者ロールに付与される呼び出し元グラントによって明示的にカバーされなければなりません。

GRANT ALL INHERITED CALLER PRIVILEGES
  ON ALL DATABASES IN ACCOUNT
  TO ROLE app_dev_role;