組織ユーザー¶

始めましょう¶

組織ユーザーを1つ以上のアカウントに登録する基本的なワークフローは以下の通りです。

1. 組織アカウントのグローバル組織管理者として:

   1. 複数の通常アカウントのユーザーにしたい人ごとに、 組織ユーザーを作成します。

   2. ユーザーを論理的にグループ化した 組織ユーザーグループを作成します。

   3. 組織ユーザーを組織ユーザーグループに追加します。

   4. 通常のアカウントのアカウント管理者が 組織ユーザーグループを利用できるようにします。

2. 通常のアカウントの管理者として:

   1. アカウントに 組織のユーザーグループをインポートします。

   2. 競合のチェックと解決。

このワークフローのエンドツーエンドの例については、 拡張例 を参照してください。

組織ユーザーの作成¶

組織管理者は、ログイン名や電子メールなどのユーザーオブジェクトの基本的なプロパティを持つ組織ユーザーを作成します。メールだけが必要ですが、これらの基本的なプロパティは、ユーザーをインポートした後に通常のアカウントでセットすることはできません。これらの基本特性のリストについては、 CREATE ORGANIZATION USER を参照してください。

例として、次のコマンドで組織ユーザーを作成します。

USE ROLE GLOBALORGADMIN;

CREATE ORGANIZATION USER asmith
   EMAIL = 'asmith@example.com'
   LOGIN_NAME = 'asmith@example.com';

組織ユーザーグループ¶

組織ユーザーグループ は、組織ユーザーの論理的なグループです。組織管理者は、これらの組織ユーザーグループを作成し、各グループに属するべき組織ユーザーを追加します。アカウント管理者が組織ユーザーグループをアカウントにインポートすると、グループ内のすべての組織ユーザーが、通常のアカウントのユーザーオブジェクトになります。組織ユーザーは、複数の組織ユーザーグループのメンバーになることができます。

アカウント管理者が組織ユーザーグループを通常のアカウントにインポートすると、Snowflakeは同じ名前のアクセス制御 ロール を作成します。例えば、組織のユーザーグループの名前が data_stewards である場合、そのグループを通常のアカウントにインポートすると、 data_stewards という名前のロールが作成されます。組織のユーザーグループからインポートされた各ユーザーには、このロールが付与されます。

通常アカウントの管理者は、組織のユーザーグループからインポートされた各ユーザーに付与されたロールへの権限付与や取り消しを行うことで、アクセス制御を細かく調整することができます。また、アカウント固有のロールを新しいロールに付与したり、新しいロールをアカウント固有のロールに付与することもできます。

同じ組織のユーザーグループを複数の通常アカウントにインポートして、組織全体で一貫したロールを実装できます。各レギュラーアカウントはアカウント固有の権限をロールに割り当てることができますが、命名は統一されます。あるいは、アカウントごとに別の組織ユーザーグループを作成し、特定のアカウントで必要な組織ユーザーを適切な組織ユーザーグループに追加することもできます。

管理者が同じ組織ユーザーを含む複数の組織ユーザーグループをインポートする場合、ローカルユーザーは 1 つだけ作成され、このユーザーにはすべての組織ユーザーグループのロールが付与されます。

通常のアカウントのアカウント管理者のために組織ユーザーグループを準備する組織管理者のタスクは、3つのステップからなります。

1. 組織ユーザーグループの作成。

2. グループへの組織ユーザーの追加。

3. グループの可視性をセットして、どの一般アカウントがアクセスできるかを指定します。

CREATE ORGANIZATION USER GROUP data_engineers_group;

ALTER ORGANIZATION USER GROUP data_engineers_group
   ADD ORGANIZATION USERS asmith, sjohnson;

ALTER ORGANIZATION USER GROUP data_engineers_group
   SET VISIBILITY = ACCOUNTS qa_env;

通常のアカウントでユーザーをインポート¶

組織管理者が組織ユーザーグループを作成した後、一般アカウントの管理者は、 ALTER ACCOUNT コマンドを実行して組織ユーザーグループを追加することで、組織ユーザーをインポートすることができます。これらの管理者が組織ユーザーグループをインポートできるのは、組織管理者が グループの可視性をセットして、通常のアカウントがアクセスできる場合のみです。

既定の設定では、 ACCOUNTADMIN ロールを持つユーザーだけが、組織のユーザーグループを通常のアカウントにインポートできます。他のユーザーに組織グループのインポートを許可するには、 IMPORT ORGANIZATION USER GROUPS 権限を付与します。

組織ユーザーグループを通常のアカウントにインポートする構文は以下のとおりです。

ALTER ACCOUNT ADD ORGANIZATION USER GROUP <group_name>

組織ユーザーグループをインポートしてユーザーを追加する例については、 拡張例 を参照してください。

ユーザーインポート後の競合の解決¶

通常のアカウントで組織ユーザーをインポートするアカウント管理者は、コンフリクトを手動でチェックする必要があります。このようなコンフリクトは、ユーザーのプロパティまたは組織のユーザーグループの名前の間で発生する可能性があります。

SELECT SYSTEM$LINK_ORGANIZATION_USER_GROUP('marketing_team');

SHOW ORGANIZATION USERS IN ORGANIZATION USER GROUP marketing_team;
SELECT * FROM TABLE(RESULT_SCAN(LAST_QUERY_ID())) WHERE "is_imported" = 'false';

SELECT SYSTEM$LINK_ORGANIZATION_USER('jloeb', 'jloebsmith');

USE ROLE ACCOUNTADMIN;
ALTER USER joe SET LOGIN_NAME = joe_login_renamed;

インポートしたユーザーの変更¶

通常のアカウントの管理者は、 ALTER USER コマンドを使用して、インポート後のユーザー オブジェクトのプロパティのサブセットを変更することができます。管理者は、組織アカウントで組織ユーザーにセットできるプロパティ を除く すべてのプロパティを変更できます。組織アカウントでのみセットできるプロパティのリストについては、 CREATE ORGANIZATION USER を参照してください。

組織ユーザーとグループの削除¶

組織ユーザーおよび組織ユーザーグループは、 1つのアカウントから削除する ことができます。または、 組織アカウントでドロップする ことにより、すべてのアカウントから削除することができます。

ALTER ACCOUNT REMOVE ORGANIZATION USER GROUP data_stewards;

組織ユーザーと組織ユーザーグループのリンク解除¶

組織ユーザーが通常のアカウントに正常にインポートされると、ローカルユーザーオブジェクトが組織ユーザーにリンクされます。アカウントにユーザーオブジェクトを保持したいが、組織ユーザーとの関連付けは不要と判断した場合、 SYSTEM$UNLINK_ORGANIZATION_USER 関数を使用して、組織ユーザーからローカルユーザーのリンクを解除することができます。ユーザーのプロパティはすべて保持され、今後はローカルユーザーとして管理できます。

同様に、 SYSTEM$UNLINK_ORGANIZATION_USER_GROUP 関数を使用して、組織のユーザーグループを追加して作成されたロールのリンクを解除することができます。これにより、ロールに関するすべての内容は変わりませんが、組織のユーザーグループからのリンクが解除されます。

拡張例¶

組織管理者のワークフロー

1. 組織管理者として、組織アカウントにサインインします。

2. データスチュワードである2人の組織ユーザーを作成します。

   USE ROLE GLOBALORGADMIN;
   
   CREATE ORGANIZATION USER joe_kelley
   EMAIL = 'jkelley@example.com'
   LOGIN_NAME = 'jkelley@example.com';
   
   CREATE ORGANIZATION USER grace_vivian
   EMAIL = 'gvivian@example.com'
   LOGIN_NAME = 'gvivian@example.com';
   

   Copy

3. データスチュワードの論理的なグループを表す組織ユーザーグループを作成します。

   CREATE ORGANIZATION USER GROUP data_stewards_group;
   

   Copy

4. 組織ユーザーを新しい組織ユーザーグループに追加します。

   ALTER ORGANIZATION USER GROUP data_stewards_group
      ADD ORGANIZATION USERS joe_kelley, grace_vivian;
   

   Copy

5. 組織ユーザーグループをインポートするために、すべての通常のアカウントを許可します。

   ALTER ORGANIZATION USER GROUP data_stewards_group
      SET VISIBILITY = ALL;
   

   Copy

アカウント管理者のワークフロー

1. アカウント管理者として、組織ユーザーをインポートする通常のアカウントにサインインします。

2. アカウントにインポートできる組織ユーザーグループのリスト。

   USE ROLE ACCOUNTADMIN;
   
   SHOW ORGANIZATION USER GROUPS;
   

   Copy

3. 組織のユーザーグループをアカウントにインポートします。

   ALTER ACCOUNT
     ADD ORGANIZATION USER GROUP data_stewards_group;
   

   Copy

4. 組織のユーザーグループと既存のロールの競合をチェックします。

   SHOW ORGANIZATION USER GROUPS;
   

   Copy

   is_imported 列の値が「TRUE」であることを確認してください。これはコンフリクトがなかったことを示します。

5. アカウントに追加されたユーザーをリストアップし、競合をチェックします。

   SHOW ORGANIZATION USERS IN ORGANIZATION USER GROUP data_stewards_group;
   

   Copy

   すべての組織ユーザーの is_imported 列の値が TRUE であることを確認してください。

関連する関数¶

組織ユーザーおよび組織ユーザーグループの操作に役立つ関数のリストについては、 組織ユーザーおよび組織ユーザーグループの関数 を参照してください。