アプリの所有者権限と呼び出し元権限の使用¶

アプリのオーナー権・呼び出し元制限権について¶

Snowflake Native App 内では、実行可能ファイルは所有者の権限または制限された呼び出し側の権限で実行されます。 Snowflake Native App Framework では、以下のタイプの実行可能ファイルがサポートされています：

• アプリが所有するストアドプロシージャ

• コンテナー搭載アプリで利用可能なサービス

所有者の権限:

所有者権限を使用する実行ファイルは、その実行ファイルの所有者に与えられた権限で実行されます。デフォルトでは、アプリ内の実行可能ファイルには所有者の権限が使用されます。アプリでは、実行ファイルのオーナーはアプリ自身です。

例えば、 CREATE PROCEDURE コマンドは、デフォルトで所有者の権限を使用するストアドプロシージャを作成します。コンシューマーは、アプリケーションロールを使用してアクセスが許可されている場合、ストアドプロシージャを呼び出すことができます。アプリにタスクを実行する権限があれば、ストアドプロシージャはそのオペレーションを実行できます。

所有者権限に関する情報については、 呼び出し元権限と所有者権限のストアドプロシージャについて をご参照ください。

呼び出し元の権限:

呼び出し元権限を使用する実行可能ファイルは、呼び出し元に与えられた権限で実行されます。しかし、セキュリティ上の理由から、 Snowflake Native App Framework は呼び出し元権限を持つ実行ファイルをサポートしていません。

制限された呼び出し元権限:

制限付き呼び出し元権限は、呼び出し元権限で実行ファイルを実行することを許可しますが、 実行ファイルがどの呼び出し元権限で実行されるかを制限します。呼び出し元権限が制限されている場合、コンシューマーアカウントの管理者が GRANT CALLER コマンドを使用して明示的に許可しない限り、アプリが所有する実行ファイルを特定の権限で実行することはできません。

簡潔に説明するために、制限された呼び出し元権限で実行される実行可能ファイルは、 RCR 実行可能ファイルとしても知られています。

制限された呼び出し元権限に関する一般的な情報については、 制限された呼び出し元権限 をご参照ください。

アプリのアクセス要件の決定¶

Snowflake Native App Framework は、プロバイダーはアプリが管理するデータや実行ファイルへのアクセス構成に柔軟性を持たせることができます。以下のテーブルは、アプリのアクセス要件に応じてどのメカニズムを使用するかのガイドラインです。

マニフェストに restricted_callers_rights プロパティを追加します。¶

プロバイダーとして、 RCR 実行ファイルをアプリに含める場合、Snowflake では次の例のようにマニフェストファイルに restricted_callers_rights を追加することを推奨しています：

restricted_callers_rights:
  enabled: true
  description: This app includes stored procedure that uses restricted caller's rights.

restricted_callers_rights は必須ではありませんが、これが存在し、 enabled が true, Snowsight にセットされている場合、アプリのリストに Restricted caller's rights というセクションが含まれます。

制限された呼び出し元権限を使用するプロシージャまたはサービスの構成¶

制限された呼び出し元権限を使用するストアドプロシージャを作成するには、次の例に示すように EXECUTE AS RESTRICTED CALLER 句を使用します：

CREATE OR REPLACE PROCEDURE CORE.HELLO()
RETURNS STRING
LANGUAGE SQL
EXECUTE AS RESTRICTED CALLER
AS
BEGIN
  RETURN 'Hello Snowflake!';
END;

詳細については、 CREATE PROCEDURE をご参照ください。

アプリでの呼び出し元権限制限サービスの利用¶

制限された呼び出し元権限を使用するサービスの構成に関する詳細情報については、 呼び出し元権限を使用したコンテナー内部からのSnowflakeへの接続 をご参照ください。

アプリでは、 Snowpark Container Services サービスは、アプリの権限（所有者の権限）またはサービスの呼び出し元の権限（制限された呼び出し元の権限）で実行できます。ただし、サービスオーナーロールはサービスユーザーロールではなくアプリです。呼び出し元グラントを付与する場合、コンシューマーは、次の例に示すように、 TO APPLICATION 句を使用してアプリを指定します。

GRANT CALLER USAGE ON DATABASE consumer_db TO APPLICATION hello_snowflake_app;

この例では、 consumer_db データベースへのアクセスに呼び出し側のロールを使用するために、呼び出し側の権限を制限してサービスを実行することができます。

アプリ内の制限された呼び出し元権限の制限¶

アプリ内で制限された呼び出し元権限を使用する場合、以下の制限が適用されます。

アプリ内の制限された呼び出し元権限プロシージャからの請求関数の呼び出し¶

SYSTEM$CREATE_BILLING_EVENT や SYSTEM$CREATE_BILLING_EVENTS のような請求関数を RCR 実行ファイルから呼び出すことはできません。アプリ内の実行可能ファイル（RCR）からこれらの関数を呼び出すには、所有者の権限プロシージャにこれらの関数を含め、制限された呼び出し元の権限プロシージャからプロシージャを呼び出します。

知的財産権の保護と呼び出し元の権限制限¶

所有者権限のストアドプロシージャを含むアプリは、アプリの内部実装に関する情報を冗長化します。詳細については、 プロバイダーの知的財産を保護する をご参照ください。

呼び出し元の権限が制限されたストアドプロシージャでは、アプリの内部情報も再編集されます。特に以下のコマンド、表示、関数では、情報の多くが編集されています。

• DESCRIBE PROCEDURE コマンド

• Information Schemaの PROCEDURES ビュー

• Account Information Schemaの PROCEDURES ビュー

• GET_DDL 関数

しかし、所有者権限を持つストアドプロシージャとは異なり、制限された呼び出し元権限を使用するプロシージャは、クエリ履歴とクエリプロファイルからの情報を再編集しません。

制限された呼び出し元権限を使用するアプリの開発¶

一般に、 MANAGE CALLER GRANTS 権限を付与されたロールのみが、実行ファイルに呼び出し元権限を付与することができます。しかし、 Snowflake Native App の開発ライフサイクルの間、プロバイダーはアプリを頻繁に作成したり削除したりする必要があるかもしれません。 Snowflake Native App Framework は、 開発モードのアプリ の呼び出し元グラントを作成するためのメカニズムを提供します。

プロバイダーは、 MANAGE CALLER GRANTS を使用せずにロールを使用して、アプリに発信者権限を付与することができます。ただし、そのためには以下のすべてが必要です：

• アプリは 開発モード で作成する必要があります。

• 現在のロールは、ロール階層内のアプリ所有者ロールを持っています。

• アプリ所有者ロールは、付与される呼び出し元グラントのスーパーセットを持っています。

  注釈

  ALL CALLER PRIVILEGES 権限は、どのような発信者権限セットの上位セットです。

スーパーセットの要件は、 INHERITED CALLER を通して、通常、特定のコンテナーの下にある特定のタイプの現在および将来のすべてのオブジェクトを対象とする補助金では満たすことができません。詳細については、 GRANT CALLER をご参照ください。

この要件を満たすには、付与される呼び出し元グラントは、アプリ所有者ロールに付与される呼び出し元グラントによって明示的にカバーされなければなりません。

GRANT ALL INHERITED CALLER PRIVILEGES
  ON ALL DATABASES IN ACCOUNT
  TO ROLE app_dev_role;