SNOWFLAKE データベースロール¶

ACCOUNT_USAGE スキーマ¶

ACCOUNT_USAGE スキーマには4つの SNOWFLAKE データベースロールが定義されており、それぞれに特定のビューに対する SELECT 権限が付与されています。

READER_ACCOUNT_USAGE スキーマ¶

READER_USAGE_VIEWER SNOWFLAKE データベースロールには、すべての READER_ACCOUNT_USAGE ビューに対する SELECT 権限が付与されています。リーダーアカウントはクライアントによって作成されるため、 READER_USAGE_VIEWER ロールは、リーダーアカウントの使用をモニターするために使用するロールに付与されることが期待されます。

ORGANIZATION_USAGE スキーマ¶

ORGANIZATION_USAGE_VIEWER、 ORGANIZATION_BILLING_VIEWER、 および ORGANIZATION_ACCOUNTS_VIEWER SNOWFLAKE データベースロールには、共有 SNOWFLAKE データベースで組織の使用法ビューに対する SELECT 権限が付与されます。

CORE スキーマ¶

CORE_VIEWER SNOWFLAKE データベースロールは、共有 SNOWFLAKE データベースを含むすべてのSnowflakeアカウントの PUBLIC ロールに付与されます。USAGE 権限は、 CORE スキーマ内にあるすべてのSnowflake定義の関数とバンドルに付与されます。

ALERT スキーマ¶

ALERT_VIEWER SNOWFLAKE データベースロールには、このスキーマで定義された関数に対する USAGE 権限が付与されます。

ML スキーマ¶

ML_USER SNOWFLAKE データベースロールは、共有 PUBLIC データベースを含むすべてのSnowflakeアカウントで SNOWFLAKE ロールに付与され、顧客が ML 関数 にアクセスして使用できるようにします。これらの関数を呼び出すため、ユーザーには ML スキーマに対する USAGE 権限も必要です。

MONITORING スキーマ¶

MONITORING_VIEWER データベース・ロールは、 MONITORING スキーマ内のすべてのビューに対して SELECT 権限を持ちます。

MONITORING_VIEWER データベースロールは、共有 SNOWFLAKE データベースを含むすべてのSnowflakeアカウントの PUBLIC ロールに付与されます。

SNOWFLAKE.CLASSIFICATION_ADMIN データベースロール¶

SNOWFLAKE.CLASSIFICATION_ADMIN データベースのロールにより、データエンジニアまたはスチュワードは CLASSIFICATION_PROFILE クラスのインスタンスを作成できます。分類プロファイルは、 機密データの自動分類 を実装するために使用されます。

SNOWFLAKE.CORTEX_AGENT_USER database role¶

You can use the SNOWFLAKE.CORTEX_AGENT_USER database role to grant your users access to Snowflake Cortex Agents API without granting access to other Cortex features. Using the Cortex Agents API requires either the SNOWFLAKE.CORTEX_USER database role or the SNOWFLAKE.CORTEX_AGENT_USER database role.

By default, the SNOWFLAKE.CORTEX_USER database role is granted to the PUBLIC role. For fine-grained access control, revoke access from the PUBLIC role and grant access to the SNOWFLAKE.CORTEX_AGENT_USER database role. For more information, see エージェントへのアクセスを設定する.

SNOWFLAKE.CORTEX_EMBED_USER データベースロール¶

The SNOWFLAKE.CORTEX_EMBED_USER database role is used to grant customers access to Snowflake Cortex embedding functions AI_EMBED, SNOWFLAKE.CORTEX.EMBED_768, and SNOWFLAKE.CORTEX_EMBED_TEXT_1024 without granting access to other Cortex features. Calling these embedding functions requires either the SNOWFLAKE.CORTEX_USER database role or the SNOWFLAKE.CORTEX_EMBED_USER database role. This role is not granted to any roles by default.

デフォルトでは、このロールはどのロールにも付与されていません。ユーザーに埋め込み関数へのアクセス権を持たせたい場合は、このデータベースロールを適切なロールに付与します。詳細は、 Cortex LLM 関数で必要な権限 をご参照ください。

SNOWFLAKE.CORTEX_USER データベースロール¶

この SNOWFLAKE.CORTEX_USER データベースロールは、顧客にSnowflake Cortexの機能へのアクセス権を付与するために使用されます。デフォルトでは、このロールは PUBLIC ロールに付与されます。PUBLIC ロールはすべてのユーザーとロールに自動的に付与されるため、これにより、アカウント内のすべてのユーザーがSnowflake Cortex LLM 関数を使用できるようになります。

すべてのユーザーにこの権限を与えたくない場合は、PUBLIC ロールからアクセス権を取り消し、特定のロールにアクセス権を付与することができます。詳細については、 Cortex LLM 必要な関数権限 をご参照ください。

SNOWFLAKE.COPILOT_USER データベースロール¶

SNOWFLAKE.COPILOT_USER データベースロールは、顧客が Snowflake Copilot 機能にアクセスできるようにします。初期状態では、このデータベースロールは PUBLIC ロールにのみ付与されます。PUBLIC ロールはすべてのユーザーとロールに自動的に付与されるため、アカウント内のすべてのユーザーが Snowflake Copilot 使用できるようになります。Snowflake Copilot 機能へのアクセスを制限したい場合は、PUBLIC ロールからアクセス権を取り消し、特定のロールにアクセス権を付与することができます。詳細については、 アクセス制御の要件 をご参照ください。

SNOWFLAKE データベースロールの使用¶

管理者は GRANT DATABASE ROLE を使用して SNOWFLAKE データベースロールを別のロールに割り当て、それをユーザーに付与できます。これにより、ユーザーは SNOWFLAKE データベース内にあるビューの特定のサブセットにアクセスできるようになります。

次の例では、SNOWFLAKE データベースオブジェクトのメタデータを表示するために使用できるロールが作成され、次を実行します。

1. カスタムロールを作成します。

2. カスタムロールに OBJECT_VIEWER ロールを付与します。

3. ユーザーにカスタムロールを付与します。

カスタムロールを作成して付与するには、次を実行します。

1. オブジェクトメタデータへのアクセス権を付与するために使用される CREATE ROLE を使用して、 CAN_VIEWMD ロールを作成します。

   ロールを作成できるのは、USERADMIN システムロール以上のユーザーか、アカウントの CREATE ROLE 権限を持つ別のロールのみです。

   CREATE ROLE CAN_VIEWMD COMMENT = 'This role can view metadata per SNOWFLAKE database role definitions';
   

   Copy

2. CAN_VIEWMD ロールに OBJECT_VIEWER ロールを付与します。

   OWNERSHIP ロールを持つユーザーのみが SNOWFLAKE データベースロールを付与できます。詳細については、 GRANT DATABASE ROLE をご参照ください。

   GRANT DATABASE ROLE OBJECT_VIEWER TO ROLE CAN_VIEWMD;
   

   Copy

3. ユーザー smith にロール CAN_VIEWMD ロールを割り当てます。

   SECURITYADMIN ロールを持つユーザーのみがユーザーにロールを付与できます。その他のオプションについては、 GRANT ROLE をご参照ください。

   GRANT ROLE CAN_VIEWMD TO USER smith;
   

   Copy