SNOWFLAKE データベースロール¶

ACCOUNT_USAGE スキーマ¶

ACCOUNT_USAGE スキーマには4つの SNOWFLAKE データベースロールが定義されており、それぞれに特定のビューに対する SELECT 権限が付与されています。

READER_ACCOUNT_USAGE スキーマ¶

READER_USAGE_VIEWER SNOWFLAKE データベースロールには、すべての READER_ACCOUNT_USAGE ビューに対する SELECT 権限が付与されています。リーダーアカウントはクライアントによって作成されるため、 READER_USAGE_VIEWER ロールは、リーダーアカウントの使用をモニターするために使用するロールに付与されることが期待されます。

ORGANIZATION_USAGE スキーマ¶

ORGANIZATION_USAGE_VIEWER、 ORGANIZATION_BILLING_VIEWER、 および ORGANIZATION_ACCOUNTS_VIEWER SNOWFLAKE データベースロールには、共有 SNOWFLAKE データベースで組織の使用法ビューに対する SELECT 権限が付与されます。

CORE スキーマ¶

CORE_VIEWER SNOWFLAKE データベースロールは、共有 SNOWFLAKE データベースを含むすべてのSnowflakeアカウントの PUBLIC ロールに付与されます。USAGE 権限は、 CORE スキーマ内にあるすべてのSnowflake定義の関数とバンドルに付与されます。

ALERT スキーマ¶

ALERT_VIEWER SNOWFLAKE データベースロールには、このスキーマで定義された関数に対する USAGE 権限が付与されます。

ML スキーマ¶

ML_USER SNOWFLAKE データベースロールは、共有 SNOWFLAKE データベースを含むすべてのSnowflakeアカウントで PUBLIC ロールに付与され、顧客が ML 関数 にアクセスして使用できるようにします。

MONITORING スキーマ¶

MONITORING_VIEWER データベース・ロールは、 MONITORING スキーマ内のすべてのビューに対して SELECT 権限を持ちます。

MONITORING_VIEWER データベースロールは、共有 SNOWFLAKE データベースを含むすべてのSnowflakeアカウントの PUBLIC ロールに付与されます。

CORTEX スキーマ¶

デフォルトでは、CORTEX_USERロールはPUBLICロールに付与されます。PUBLICロールはすべてのユーザーとロールに自動的に付与されるため、アカウント内のすべてのユーザーがSnowflake Cortex LLM関数を使用できるようになります。

すべてのユーザーにこの権限を与えたくない場合は、PUBLICロールのアクセス権を取り消し、特定のロールにアクセス権を与えることができます。詳細については、 Cortex LLM 必要な関数権限 をご参照ください。

SNOWFLAKE.CLASSIFICATION_ADMIN データベースロール¶

SNOWFLAKE.CLASSIFICATION_ADMIN データベースのロールにより、データエンジニアまたはスチュワードは CLASSIFICATION_PROFILE クラスのインスタンスを作成できます。分類プロファイルは、 機密データの自動分類 を実装するために使用されます。

SNOWFLAKE.COPILOT_USER データベースロール¶

SNOWFLAKE.COPILOT_USER データベースロールは、顧客が Snowflake Copilot 機能にアクセスできるようにします。初期状態では、このデータベースロールは PUBLIC ロールにのみ付与されます。PUBLIC ロールはすべてのユーザーとロールに自動的に付与されるため、アカウント内のすべてのユーザーが Snowflake Copilot 使用できるようになります。Snowflake Copilot 機能へのアクセスを制限したい場合は、 PUBLIC ロールのアクセス権を剥奪し、特定のロールにアクセス権を付与することができます。詳細については、 アクセス制御の要件 をご参照ください。

SNOWFLAKE データベースロールの使用¶

管理者は GRANT DATABASE ROLE を使用して SNOWFLAKE データベースロールを別のロールに割り当て、それをユーザーに付与できます。これにより、ユーザーは SNOWFLAKE データベース内にあるビューの特定のサブセットにアクセスできるようになります。

次の例では、 SNOWFLAKE データベースオブジェクトのメタデータを表示するために使用できるロールが作成され、次を実行します。

1. カスタムロールを作成します。

2. カスタムロールに OBJECT_VIEWER ロールを付与します。

3. ユーザーにカスタムロールを付与します。

カスタムロールを作成して付与するには、次を実行します。

1. オブジェクトメタデータへのアクセス権を付与するために使用される CREATE ROLE を使用して、 CAN_VIEWMD ロールを作成します。

   ロールを作成できるのは、USERADMIN システムロール以上のユーザーか、アカウントの CREATE ROLE 権限を持つ別のロールのみです。

   CREATE ROLE CAN_VIEWMD COMMENT = 'This role can view metadata per SNOWFLAKE database role definitions';
   

   Copy

2. CAN_VIEWMD ロールに OBJECT_VIEWER ロールを付与します。

   OWNERSHIP ロールを持つユーザーのみが SNOWFLAKE データベースロールを付与できます。詳細については、 GRANT DATABASE ROLE をご参照ください。

   GRANT DATABASE ROLE OBJECT_VIEWER TO ROLE CAN_VIEWMD;
   

   Copy

3. ユーザー smith にロール CAN_VIEWMD ロールを割り当てます。

   SECURITYADMIN ロールを持つユーザーのみがユーザーにロールを付与できます。その他のオプションについては、 GRANT ROLE をご参照ください。

   GRANT ROLE CAN_VIEWMD TO USER smith;
   

   Copy