Snowflakeセッションおよびセッションポリシー¶

Snowflakeセッション¶

セッションは、ユーザーがSnowflakeに接続し、Snowflakeプログラムクライアント、 Snowsight、または Classic Console を使用して正常に認証されたときに開始されます。セッションは、IDプロバイダー（つまり IdP）セッションから独立しています。Snowflakeセッションの有効期限が切れても、 IdP セッションがアクティブなままの場合、ユーザーは認証情報を再度入力せずにSnowflakeにログインできます（つまり、サイレント認証）。

セッションは、ユーザーの継続的なアクティビティにより、無期限に維持されます。 アイドルセッションタイムアウト と呼ばれる、セッションで非アクティブな期間の後では、ユーザーはSnowflakeに対して再度認証する必要があります。アイドルセッションタイムアウトの最大値は4時間で、セッションポリシーによってアイドルセッションタイムアウト期間を変更できます。アイドルセッションタイムアウトは、以下に適用されます。

• Classic Console。

• Snowsight。

• SnowSQL （CLI クライアント）。

• サポートされている コネクタとドライバー。

• サポートされているコネクタまたはドライバーを使用してSnowflakeに接続する、サードパーティクライアント。

Snowflakeは、可能であれば既存のセッションを再利用し、セッションが不要になったときにSnowflakeへの接続を閉じることをお勧めします。

セッションポリシー¶

セッションポリシーは、 アイドル セッションタイムアウト期間を分単位で定義し、デフォルトのアイドルタイムアウト値である4時間を上書きするオプションを提供します。

セッションポリシーは、コンプライアンス要件に対応するために、構成可能なアイドルタイムアウト期間を持つアカウントまたはユーザーに設定できます。ユーザーがアカウントとユーザーレベルのセッションポリシーの両方に関連付けられている場合は、ユーザーレベルのセッションポリシーが優先されます。アカウントまたはユーザーにセッションポリシーが設定されると、Snowflakeはセッションポリシーを適用します。

セッションポリシーの動作を管理するプロパティは2つあります。

• プログラムクライアントおよびSnowflakeクライアント用 SESSION_IDLE_TIMEOUT_MINS。

• SESSION_UI_IDLE_TIMEOUT_MINS および Classic Console の Snowsight。

タイムアウト期間は、Snowflakeへの認証が成功すると始まります。セッションポリシーが設定されていない場合、Snowflakeはデフォルト値の 240 分（つまり4時間）を使用します。セッションポリシーの設定可能な最小アイドルタイムアウト値は 5 分です。セッションが期限切れになった場合、ユーザーはSnowflakeに対して再度認証する必要があります。ただし、Snowflakeは、 カスタムログアウトエンドポイント で定義された設定を強制しません。

詳細については、次をご参照ください。

• セッションポリシーの管理。

• セッションの使用状況をモニターするための SESSIONS ビュー。

セッションポリシーの実装¶

次のステップは、セッションポリシーを実装するための代表的なガイドです。

これらのステップは、 policy_admin という名前のカスタムロールがセッションポリシーを所有し（つまり、セッションポリシーに対する OWNERSHIP 権限を持っている）、アカウントまたはユーザーにセッションポリシーを設定する責任がある（つまり、 ACCOUNT 権限または APPLY SESSION POLICY ON USER 権限の APPLY SESSION POLICY）ことを前提としています。

次のステップに従って、セッションポリシーを実装します。

USE ROLE USERADMIN;

CREATE ROLE policy_admin;

USE ROLE SECURITYADMIN;

GRANT USAGE ON DATABASE mydb TO ROLE policy_admin;

GRANT USAGE, CREATE SESSION POLICY ON SCHEMA mydb.policies TO ROLE policy_admin;

GRANT APPLY SESSION POLICY ON ACCOUNT TO ROLE policy_admin;

USE ROLE POLICY_ADMIN;

CREATE SESSION POLICY mydb.policies.session_policy_prod_1
  SESSION_IDLE_TIMEOUT_MINS = 60
  SESSION_UI_IDLE_TIMEOUT_MINS = 60
  COMMENT = 'Session policy for the prod_1 environment'
;

USE ROLE policy_admin;

ALTER ACCOUNT SET SESSION POLICY mydb.policies.session_policy_prod_1;

ALTER USER jsmith SET SESSION POLICY my_database.my_schema.session_policy_prod_1_jsmith;

セッションポリシーの管理¶

セッションポリシー DDL 参照¶

Snowflakeは、セッションポリシーオブジェクトを管理するために次の DDL コマンドを提供します。

• CREATE SESSION POLICY

• ALTER SESSION POLICY

• DROP SESSION POLICY

• SHOW SESSION POLICIES

• DESCRIBE SESSION POLICY

アカウントのセッションポリシーを設定または設定解除するには、以下に示すように ALTER ACCOUNT コマンドを実行します。

ALTER ACCOUNT SET SESSION POLICY mydb.policies.session_policy_prod_1;

Copy

ALTER ACCOUNT UNSET SESSION POLICY;

Copy

ユーザーレベルのセッションポリシーを設定または設定解除するには、以下に示すように ALTER USER コマンドを実行します。

ALTER USER jsmith SET SESSION POLICY mydb.policies.session_policy_prod_1_jsmith;

Copy

ALTER USER jsmith UNSET SESSION POLICY;

Copy

セッションポリシーのトラブルシューティング¶

• セッションポリシーがアカウントまたはユーザーに割り当てられ、セッションポリシーを含むデータベースまたはスキーマがドロップされた後、新しいセッションポリシーがアカウントまたはユーザーに割り当てられた場合、ユーザーは、新しいセッションポリシーのアイドルセッションタイムアウト値に保持されません。

  回避策は、 このトピック内 で示されているように、 ALTER ACCOUNT コマンドを使用してアカウントから、または ALTER USER コマンドを使用してユーザーから元のセッションポリシーの設定を解除することです。

• 次のテーブルは、セッションポリシーで発生する可能性のあるいくつかのエラーメッセージをまとめたものです。

  動作	エラーメッセージ	トラブルシューティングアクション
  セッションポリシーを作成できません。	CREATE SESSION POLICY を実行できません。このセッションには現在のデータベースがありません。「USE DATABASE」を呼び出すか、修飾名を使用します。	CREATE SESSION POLICY を実行する前にデータベースを指定するか、 CREATE SESSION POLICY ステートメントで完全修飾オブジェクト名を使用します。
  セッションポリシーを作成できません。	SQL アクセス制御エラー: スキーマ「<スキーマ名>」を操作するには権限が不十分です	CREATE SESSION POLICY ステートメントを実行するロールに SCHEMA 権限の CREATE SESSION POLICY があることを確認します。
  セッションポリシーを作成できません。	SQL コンパイルエラー: データベース「<データベース名>」が存在しないか、権限がありません。	データベースが存在すること、および CREATE SESSION POLICY ステートメントを実行するロールが、セッションポリシーの存在する必要があるスキーマに対する USAGE 権限を持っていることを確認します。
  説明ステートメントを実行できません。	SQL コンパイルエラー: スキーマ「<スキーマ名>」が存在しないか、許可されていません。	DESC SESSION POLICY ステートメントを実行するロールが、セッションポリシーに対する OWNERSHIP 権限、 または セッションポリシーに対する APPLY 権限を持っていることを確認します。
  セッションポリシーをドロップできません。	SQL コンパイルエラー: マスキングポリシー「<ポリシー名>」が存在しないか、権限がありません。	DROP SESSION POLICY ステートメントを実行するロールが、セッションポリシーに対する OWNERSHIP 権限を持っていることを確認します。
  セッションポリシーをドロップできません。	セッションポリシー <ポリシー名> はアカウントに関連付けられているため、ドロップできません。	ALTER ACCOUNT ステートメントを使用してアカウントからセッションポリシーの設定を解除し、ドロップステートメントを再試行してください。
  アカウントにセッションポリシーを設定できません。	セッションポリシー「<ポリシー名>」は、すでにアカウント <アカウント名> に添付されています。	アカウントは、アクティブなセッションポリシーを1つだけ持つことができます。アカウントに設定するセッションポリシーを決定します。 . 必要に応じて、 ALTER ACCOUNT コマンドを使用してアカウントから現在のセッションポリシーを設定解除します。次に、別の ALTER ACCOUNT コマンドを使用して、アカウントに他のセッションポリシーを設定します。
  タイムアウト値を設定できません。	SQL コンパイルエラー: プロパティ「session_idle_timeout_mins」の値「<整数>」が無効です	セッションタイムアウト値（分単位）は、 5 から 240 までの整数である必要があります。 . セッションタイムアウトに有効な整数を選択し、 CREATE または ALTER SESSION POLICY ステートメントを再実行します。
  既存のセッションポリシーを更新できません。	SQL コンパイルエラー: マスキングポリシー「<ポリシー名>」が存在しないか、権限がありません。	セッションポリシーの名前、ALTER SESSION POLICY コマンドの構文、およびセッションポリシー、データベース、およびスキーマを操作するための権限を確認します。