보안 데이터베이스 오브젝트 공유하기¶

데이터베이스 역할 생성¶

CREATE DATABASE ROLE 을 사용하여 새 데이터베이스 역할을 만들거나 기존 데이터베이스 역할을 대체합니다.

예를 들어 정규화된 식별자를 사용하여 d1.r1 및 d1.r2 데이터베이스 역할을 만듭니다.

CREATE DATABASE ROLE d1.r1;

CREATE DATABASE ROLE d1.r2;

또는 세션에서 원하는 데이터베이스를 현재 데이터베이스로 설정한 다음, 데이터베이스 역할을 만듭니다.

USE DATABASE d1;

CREATE DATABASE ROLE r1;

CREATE DATABASE ROLE r2;

데이터베이스 역할에 오브젝트에 대한 권한 부여¶

GRANT <권한> 를 사용하여 단일 데이터베이스와 그 데이터베이스의 오브젝트 하위 세트에 대한 권한을 각 데이터베이스 역할에 부여합니다. 데이터베이스 역할이 액세스를 허용해야 하는 오브젝트에 대한 권한만 부여합니다.

데이터베이스 역할의 정규화된 이름을 지정하거나 세션에서 데이터베이스를 활성 데이터베이스로 설정한 다음, 상대적 이름을 지정합니다.

이러한 지침에서 확장된 예를 계속하면 다음 권한이 데이터베이스 역할에 부여됩니다.

다음 SQL 문을 실행하면 d1.r1 데이터베이스 역할에 권한이 부여됩니다.

GRANT USAGE ON SCHEMA d1.s1 TO DATABASE ROLE d1.r1;
GRANT SELECT ON VIEW d1.s1.v1 TO DATABASE ROLE d1.r1;

다음 SQL 문을 실행하면 d1.r2 데이터베이스 역할에 권한이 부여됩니다.

GRANT USAGE ON SCHEMA d1.s1 TO DATABASE ROLE d1.r2;
GRANT SELECT ON VIEW d1.s1.v2 TO DATABASE ROLE d1.r2;

상위 데이터베이스에 USAGE 권한을 부여할 필요는 없습니다. 이 권한은 데이터베이스 역할이 생성될 때 암시적으로 부여됩니다.

데이터베이스 역할에 부여된 모든 권한을 보려면 정규화된 식별자를 사용하여 SHOW GRANTS TO DATABASE ROLE을 실행하십시오.

SHOW GRANTS TO DATABASE ROLE d1.r1;
SHOW GRANTS TO DATABASE ROLE d1.r2;

또는 세션에서 원하는 데이터베이스를 현재 데이터베이스로 설정한 다음, 아래 명령을 실행합니다.

USE DATABASE d1;

SHOW GRANTS TO DATABASE ROLE r1;
SHOW GRANTS TO DATABASE ROLE r2;

공유 생성¶

CREATE SHARE 를 사용하여 공유 만들기 공유는 프로세스의 이 단계에서 빈 컨테이너입니다.

예를 들어 share1 이라는 새 공유를 만듭니다.

CREATE SHARE share1;

공유에 USAGE 권한을 부여하여 데이터베이스 추가¶

현재, 데이터베이스를 공유에 포함하려면 데이터베이스에 대한 USAGE 권한을 부여해야 합니다.

예를 들어 공유 share1 에 d1 데이터베이스에 대한 USAGE 권한을 부여합니다.

GRANT USAGE ON DATABASE d1 TO SHARE share1;

데이터베이스 역할을 공유에 부여하여 오브젝트 추가¶

GRANT DATABASE ROLE … TO SHARE 를 사용하여 공유에 데이터베이스 역할을 부여하여 공유에 데이터베이스와 데이터베이스 오브젝트를 추가합니다.

예를 들어 공유 share1 에 d1.r1 및 d1.r2 데이터베이스 역할을 부여합니다.

GRANT DATABASE ROLE d1.r1 TO SHARE share1;
GRANT DATABASE ROLE d1.r2 TO SHARE share1;

하나 이상의 데이터 컨슈머 계정과 데이터베이스 오브젝트 공유¶

공유 ALTER SHARE … ADD ACCOUNTS 를 수정하고 데이터베이스 오브젝트를 공유하려는 데이터베이스 컨슈머 계정을 추가합니다.

다음 예에서는 조직 org1 의 consumer1 및 consumer2 계정을 공유 share1 에 추가합니다.

ALTER SHARE share1 ADD ACCOUNTS = org1.consumer1,org1.consumer2;

데이터베이스 역할 관리하기¶

이 섹션에서는 공유에 부여된 데이터베이스 역할을 관리하는 지침을 제공합니다.

ALTER DATABASE ROLE d1.r1 RENAME TO d1.r3;

ALTER DATABASE ROLE d1.r1 RENAME TO d2.r1;

DROP DATABASE ROLE d1.r2;

공유 생성¶

CREATE SHARE 를 사용하여 공유를 생성합니다. 이 단계에서 공유는 단순히 오브젝트 및 계정의 추가를 대기하는 컨테이너입니다.

권한을 부여하여 공유에 오브젝트 추가¶

GRANT <권한> … TO SHARE 를 사용하여 공유에 다음 오브젝트 권한을 부여합니다.

• 공유할 데이터베이스에 대한 USAGE 권한.

• 공유할 오브젝트가 포함된 각 데이터베이스 스키마에 대한 USAGE 권한.

• 각 공유 스키마에서 특정 오브젝트를 공유하기 위한 SELECT 권한:

  • 테이블

  • 외부 테이블

  • 보안 뷰

  • 보안 구체화된 뷰

  • 보안 UDFs

선택 사항으로 SHOW GRANTS 를 사용하여 공유에 대한 오브젝트 권한을 확인할 수 있습니다.

공유에 계정을 1개 이상 추가¶

ALTER SHARE 를 사용하여 공유에 1개 이상의 계정을 추가합니다. 공유에 추가된 계정을 확인하려면 SHOW GRANTS 를 사용합니다.

이제 지정된 계정에서 공유를 사용할 수 있습니다. 이러한 데이터 공급자 작업과 다른 데이터 공급자 작업의 수행을 위한 자세한 지침은 공유 생성 및 구성하기 섹션을 참조하십시오.

예¶

다음 예에서는 위에서 설명한 전체 공급자 프로세스를 보여줍니다.

이 예에서 가정한 사항은 다음과 같습니다.

• 이름이 aggregates_eula 인 스키마와 이름이 aggregate_1 인 테이블이 포함된 이름이 sales_db 인 데이터베이스.

• 데이터베이스, 스키마 및 테이블은 이름이 xy12345 및 yz23456 인 계정 2개와 공유됩니다.

USE ROLE accountadmin;

CREATE SHARE sales_s;

GRANT USAGE ON DATABASE sales_db TO SHARE sales_s;
GRANT USAGE ON SCHEMA sales_db.aggregates_eula TO SHARE sales_s;
GRANT SELECT ON TABLE sales_db.aggregates_eula.aggregate_1 TO SHARE sales_s;

SHOW GRANTS TO SHARE sales_s;

ALTER SHARE sales_s ADD ACCOUNTS=xy12345, yz23456;

SHOW GRANTS OF SHARE sales_s;

Copy