ユーザー管理¶

ユーザーのタイプ¶

人間のユーザーに該当するユーザーオブジェクトと、サービスやアプリケーションに該当するユーザーオブジェクトがあります。後者はプログラム的にSnowflakeと通信を行い、人間による介入を必要としません。ユーザーオブジェクトを作成する際、人間とサービスを区別するためにユーザーのタイプを指定します。この区別は重要になります。人間のユーザーは、 多要素認証（MFA） に登録する必要がありますが、サービスやアプリケーションには必要ありません。サービスやアプリケーションにはセカンダリの認証方法を使用する人間がいないためです。

ユーザーオブジェクトの TYPE プロパティでユーザーのタイプを決定します。この TYPE プロパティで使用できる値は以下の通りです。

PERSON:

Snowflakeとやり取りを行う人間のユーザーを指します。

NULL:

関数は同じ PERSON です。

SERVICE:

人間を介さずにSnowflakeと通信を行うサービスやアプリケーションを指します。

非インタラクティブなユースケースのセキュリティ態勢を改善するために、 TYPE プロパティが SERVICE に設定されたユーザーは、以下の特徴を持ちます。

• パスワードを使ってログインすることはできません。

• SAML SSO を使ってログインすることはできません。

• に登録する MFA ことはできません。

• これらは認証ポリシー（MFA）施行の実施対象ではありません。

• また、以下の特性を持つことはできません。

  • FIRST_NAME

  • MIDDLE_NAME

  • LAST_NAME

  • PASSWORD

  • MUST_CHANGE_PASSWORD

  • MINS_TO_BYPASS_MFA

• 以下のコマンドは使用できません。

  • ALTER USER RESET PASSWORD

  • ALTER USER SET DISABLE_MFA = TRUE

SNOWFLAKE_SERVICE:

Snowflakeによって Snowpark Container Services 用に作成されるユーザーです。管理者はSNOWFLAKE_SERVICEタイプのユーザーを作成したり、既存のユーザーのタイプをSNOWFLAKE_SERVICEに変更したりすることはできません。SNOWFLAKE_SERVICEユーザーに関する詳細は、 コンテナー内部からのSnowflakeへの接続 をご覧ください。

LEGACY_SERVICE:

TYPE プロパティが LEGACY_SERVICE にセットされているユーザーは、非インタラクティブ統合を表しています。SERVICE と似ていますが、パスワードとSAMLの認証を許可します。将来的なリリースでは、LEGACY_SERVICEタイプは廃止になる予定です。廃止になった時点で、すべての非インタラクティブなユースケースがSERVICEタイプと安全な認証方法を使用するようになります。

LEGACY_SERVICE ユーザーには次のような特徴があります。

• これらのユーザーは、 SERVICE ユーザーとは異なり、パスワードまたは SAML 認証を使ってログインすることができます。

• SERVICE ユーザーのプロパティを持ちますが、 PASSWORD と MUST_CHANGE_PASSWORD のプロパティを持っています。

• これらのユーザーは、 SERVICE ユーザーのコマンドの制限がありますが、 ALTER USER RESET PASSWORD コマンドを使うことができます。

• これらは、認証ポリシーによる多要素認証（MFA）の実施には影響を受けません。このプロパティを使用すると、管理者は、 LEGACY_SERVICE ユーザーがパスワード認証に MFA を必要としないようにユーザーレベルの認証ポリシーを設定する必要なく、パスワード認証に MFA を必要とするアカウントレベルの認証ポリシーを設定できます。

ユーザーのロール¶

Snowflakeはロールを使用して、ユーザーがアクセスできるオブジェクト（仮想ウェアハウス、データベース、テーブルなど）を制御します。

• Snowflakeは、一連の事前定義されたロールと、カスタムロールの階層を定義するためのフレームワークを提供します。

• すべてのSnowflakeユーザーには、事前に定義された PUBLIC ロールが自動的に割り当てられ、Snowflakeへのログインと基本的なオブジェクトアクセスが可能になります。

• PUBLIC のロールに加えて、各ユーザーに追加のロールを割り当てることができ、これらのロールの1つを 既定のロール として指定できます。ユーザーの既定のロールにより、ユーザーが開始したSnowflakeセッションで使用されるロールが決まります。ただし、これはデフォルトにすぎません。ユーザーは、セッション内のロールをいつでも変更できます。

• ロールは、ユーザー作成時またはその後に割り当てることができます。

ユーザーの作成と変更に必要な権限¶

アカウントのユーザーを管理するには、次のロールまたは権限が必要です。

ユーザーの作成:

USERADMIN システムロールは、 SQL（CREATE USER）を使用してユーザーを作成できます。

この目的でカスタムロールを使用する場合は、アカウントの CREATE USER 権限をこのロールに付与してください。

ユーザーの変更:

ユーザーに対して OWNERSHIP 権限を持つロールのみが、 SQL （ALTER USER）を使用して、ほとんどのユーザープロパティを変更することができます。

ユーザーの作成¶

このセクションでは、各種のインターフェイスを使用して特定のアカウントにユーザーを作成する方法について説明します。

インターフェイス、例えばウェブインターフェイスを選択する場合、 Classic Console または Snowsight のどちらを使用する場合でも、ユーザーを作成する際にパスワードを指定する必要があります。CREATE USER コマンドと UserCollection.create Python API ではできません。

ユーザーの無効化/有効化¶

ユーザーを無効にすると、ユーザーはSnowflakeにログインできなくなります。ユーザーを無効にするには、以下のインターフェイスを使用します。

ユーザーのロック解除¶

ユーザーログインが5回連続して失敗した場合、ユーザーは一定期間（現在は15分）アカウントからロックアウトされます。一定の時間が経過すると、システムは自動的にロックを解除し、ユーザーは再度ログインを試みることができます。

時間が経過する前にユーザーのロックを解除するには、 ALTER USER コマンドまたは UserResource.create_or_alter Python API を使ってタイマーをリセットします。

次の例では、タイマーを0にリセットし、ユーザー janesmith をすぐにロック解除します。

ALTER USER janesmith SET MINS_TO_UNLOCK= 0;

user_parameters = root.users["janesmith"].fetch()
user_parameters.mins_to_unlock = 0
root.users["janesmith"].create_or_alter(user_parameters)

ユーザーのセッションパラメーターの変更¶

• ユーザーのセッションパラメーターを表示するには、次の SQL 構文を使用します。

  SHOW PARAMETERS [ LIKE '<pattern>' ] FOR USER <name>
  

  Copy

• ユーザーのセッションパラメーターを変更するには、次の構文を使用します。

  ALTER USER <name> SET <session_param> = <value>
  

  Copy

  たとえば、ユーザーがタイムアウトせずに無期限にSnowflakeに接続したままにできるようにします。

  ALTER USER janesmith SET CLIENT_SESSION_KEEP_ALIVE = TRUE;
  

  Copy

• ユーザーのセッションパラメーターをデフォルト値にリセットするには、次の構文を使用します。

  ALTER USER <name> UNSET <session_param>
  

  Copy

他のユーザープロパティの変更¶

その他のすべてのユーザープロパティは、 ALTER USER コマンドまたは UserResource.create_or_alter Python API を使用して変更できます。Snowsight を使用して、同じユーザープロパティの多くを変更できます。

例:

• ユーザー janesmith の姓を Jones に変更します。

  SQL:

  ALTER USER janesmith SET LAST_NAME = 'Jones';
  

  Copy

  Python:

  user_parameters = root.users["janesmith"].fetch()
  user_parameters.last_name = "Jones"
  root.users["janesmith"].create_or_alter(user_parameters)
  

  Copy

  Snowsight:

  1. Snowsight にサインインします。

  2. ナビゲーションメニューで Governance & security » Users & roles を選択します。

  3. 編集するユーザーを探し、 » Edit を選択します。

  4. Last Name フィールドには、 Jones を入力します。

  5. Save User を選択します。

• ユーザー janesmith のデフォルトのウェアハウス、名前空間、プライマリロール、およびセカンダリロールを設定または変更します。

  SQL:

  ALTER USER janesmith SET DEFAULT_WAREHOUSE = mywarehouse DEFAULT_NAMESPACE = mydatabase.myschema DEFAULT_ROLE = myrole DEFAULT_SECONDARY_ROLES = ('ALL');
  

  Copy

  Python:

  user_parameters = root.users["janesmith"].fetch()
  user_parameters.default_warehouse = "mywarehouse"
  user_parameters.default_namespace = "mydatabase.myschema"
  user_parameters.default_role = "myrole"
  user_parameters.default_secondary_roles = "ALL"
  root.users["janesmith"].create_or_alter(user_parameters)
  

  Copy

  Snowsight:

  注釈

  Snowsight を使用してユーザーに既定のセカンダリロールを設定することはできません。

  1. Snowsight にサインインします。

  2. ナビゲーションメニューで Governance & security » Users & roles を選択します。

  3. 編集するユーザーを探し、 » Edit を選択します。

  4. Advanced User Options を開き、関連するフィールドに値を入力します。

  5. Save User を選択します。

ユーザーの表示¶

以下のインターフェイスを使用して、ユーザーの情報を表示できます。

DESC USER janeksmith;

my_user = root.users["janesmith"].fetch()
print(my_user.to_dict())

users = root.users.iter(like="jane%")
for user in users:
  print(user.name)

ユーザーのドロップ¶

ユーザーをドロップすると、Snowflakeからユーザー認証情報が削除されます。

テーブルやビューなど、ユーザーが作成したオブジェクトは、オブジェクトが作成された時点でユーザーのアクティブロールが所有しているため、削除されません。ロール階層 で同じロールまたはそれ以上のロールを割り当てられた別のユーザーは、オブジェクトを管理したり、所有権を別のロールに移したりできます。

DROP USER janesmith;

root.users["janesmith"].drop()