Snowflake Postgresのロール¶

``snowflake_admin``ロール。¶

snowflake_admin ロール は、Snowflake Postgresインスタンスを管理するために使用される、高い権限を持つPostgresロールです。完全なPostgresスーパーユーザーでは ありません 。一部の操作は引き続き制限されており、Snowflakeによって管理されます。ただし、次のような昇格された権限を持ちます。

• Postgresロールの作成と管理。

• データベースの作成と管理。

• Snowflake Postgresインスタンスの複製の管理。

• 行レベルセキュリティ（ RLS ）ポリシーのバイパス（該当する場合）。

さらに、 snowflake_admin は、次のような監視と操作機能を付与する複数のPostgres組み込みロールのメンバーです。

• pg_signal_backend

• pg_use_reserved_connections

• pg_create_subscription

• pg_read_all_settings

• pg_read_all_stats

• pg_stat_scan_tables

• pg_monitor

• snowflake_admin_group

``application``ロール。¶

application ロールは非スーパーユーザーロールであり、デフォルトで postgres データベースでオブジェクトを作成する権限を持っています。このロールの新しい権限または所有権は、 snowflake_admin ロールによって付与される必要があります。

Snowflake Postgres管理ロールの認証情報の再生成¶

snowflake_admin および application ロールの認証情報はインスタンスの作成時に生成され、1回だけ表示されます。これらの認証情報はいつでも再生成でき、既存の認証情報は無効になります。

他のPostgresロールのパスワードの設定¶

Snowflake Postgresインスタンスは、scram-sha-256パスワード認証用に構成されています。新しいパスワードが設定されると、サーバーがscram-sha-256ハッシュを生成して保存しますが、Postgres log_statement パラメーターは none 以外の値に設定されます。 CREATE ROLE および ALTER ROLE DDL コマンドは、Postgresサーバーログに完全に記録されます。したがって、平文のパスワードがこれらのステートメントの一部としてログに記録されないようにする必要があります。

BEGIN;
SET LOCAL log_statement = 'none';
CREATE USER mynewrole PASSWORD 'mynewpassword';
COMMIT;

postgres=# CREATE ROLE mynewrole LOGIN;
CREATE ROLE

postgres=# \password mynewrole
Enter new password for user "mynewrole":
Enter it again:

postgres=# CREATE ROLE mynewrole LOGIN;
CREATE ROLE

postgres=# BEGIN;
BEGIN

postgres=# SET LOCAL log_statement = 'none';
SET

postgres=# \password mynewrole
Enter new password for user "mynewrole":
Enter it again:

postgres=# COMMIT;
COMMIT

流出したパスワード保護¶

流出したパスワード保護は、Snowflake Postgresインスタンスのロールに提供されます。メインの 流出したパスワード保護 で説明されている検出と通知の仕組み。SnowflakeがSnowflake Postgresロールの1つのパスワード流出を検出した場合：

• ロールが特別な snowflake_nologin Postgresグループロールに追加され、今後のログインを防ぎます。

• ロールの既存の接続はすべて終了します。

• 受信するメール通知には、件名に「緊急 - Snowflake Postgres ロールのパスワードがリセットされ、不正なアクセスを防ぎます」が含まれます。

このメールを受信したら、上記のようにロールのパスワードをすぐに安全に更新する必要があります。管理ロールの認証情報を再生成すると、それらは snowflake_nologin Postgresロールグループから自動的に削除されます。管理されていないロールの場合は、ロールのパスワードを更新した後、``snowflake_admin``ロールでこのPostgres SQLを実行することにより、``snowflake_nologin``グループロールから削除できます。

REVOKE snowflake_nologin FROM {rolename};