Snowflake Postgresのロール¶

``snowflake_admin``ロール。¶

snowflake_admin ロール は、Snowflake Postgresインスタンスを管理するために使用される、高い権限を持つPostgresロールです。完全なPostgresスーパーユーザーでは ありません 。一部の操作は引き続き制限されており、Snowflakeによって管理されます。ただし、次のような昇格された権限を持ちます。

• Postgresロールの作成と管理。

• データベースの作成と管理。

• Snowflake Postgresインスタンスの複製の管理。

• 行レベルセキュリティ（ RLS ）ポリシーのバイパス（該当する場合）。

さらに、 snowflake_admin は、次のような監視と操作機能を付与する複数のPostgres組み込みロールのメンバーです。

• pg_signal_backend

• pg_use_reserved_connections

• pg_create_subscription

• pg_read_all_settings

• pg_read_all_stats

• pg_stat_scan_tables

• pg_monitor

• snowflake_admin_group

``application``ロール。¶

application ロールは非スーパーユーザーロールであり、デフォルトで postgres データベースでオブジェクトを作成する権限を持っています。このロールの新しい権限または所有権は、 snowflake_admin ロールによって付与される必要があります。

Snowflake Postgres管理ロールの認証情報の再生成¶

snowflake_admin および application ロールの認証情報はインスタンスの作成時に生成され、1回だけ表示されます。これらの認証情報はいつでも再生成でき、既存の認証情報は無効になります。

他のPostgresロールのパスワードの設定¶

Snowflake Postgresインスタンスは、scram-sha-256パスワード認証用に構成されています。新しいパスワードが設定されると、scram-sha-256ハッシュが生成され、サーバーによって保存されますが、Postgres log_statement パラメーターは none 以外の値に設定されます。 CREATE ROLE および ALTER ROLE DDL コマンドは、Postgresサーバーログに完全に記録されます。したがって、平文のパスワードがこれらのステートメントの一部としてログに記録されないようにする必要があります。

BEGIN;
SET LOCAL log_statement = 'none';
CREATE USER mynewrole PASSWORD 'mynewpassword';
COMMIT;

postgres=# CREATE ROLE mynewrole LOGIN;
CREATE ROLE

postgres=# \password mynewrole
Enter new password for user "mynewrole":
Enter it again:

postgres=# CREATE ROLE mynewrole LOGIN;
CREATE ROLE

postgres=# BEGIN;
BEGIN

postgres=# SET LOCAL log_statement = 'none';
SET

postgres=# \password mynewrole
Enter new password for user "mynewrole":
Enter it again:

postgres=# COMMIT;
COMMIT

流出したパスワード保護¶

Leaked password protection is provided for roles on Snowflake Postgres instances. Discovery and notification work as described in our main 流出したパスワード保護. When Snowflake discovers a leaked password for one of your Snowflake Postgres roles:

• ロールが特別な snowflake_nologin Postgresグループロールに追加され、今後のログインを防ぎます。

• ロールの既存の接続はすべて終了します。

• 受信するメール通知には、件名に「緊急 - Snowflake Postgres ロールのパスワードがリセットされ、不正なアクセスを防ぎます」が含まれます。

Should you receive this email you should immediately securely update the role's password as described above. When regenerating credentials for managed roles they are automatically removed from the snowflake_nologin Postgres role group. For non-managed roles, after updating the role's password they can be removed from the snowflake_nologin group role by running this Postgres with the snowflake_admin role:

REVOKE snowflake_nologin FROM {rolename};