Gerenciamento de usuários¶

Tipos de usuários¶

Alguns objetos de usuário correspondem a usuários humanos, enquanto outros objetos de usuário correspondem a um serviço ou aplicativo que interage com o Snowflake de forma programática, sem interação humana. Ao criar um objeto de usuário, você especifica o tipo de usuário para diferenciar entre humanos e serviços. Essa distinção é importante porque os usuários humanos devem se inscrever na autenticação multifator (MFA), mas os serviços e aplicativos não devem, pois não há pessoas para usar um método secundário de autenticação.

A propriedade TYPE de um objeto de usuário determina o tipo de usuário. Os valores possíveis dessa propriedade TYPE são os seguintes:

PERSON:

O usuário é um usuário humano que pode interagir com o Snowflake.

NULL:

Funciona da mesma forma que o valor PERSON.

SERVICE:

O usuário é um serviço ou aplicativo que interage com o Snowflake sem interação humana.

Para melhorar a postura de segurança de casos de uso não interativos, os usuários com a propriedade TYPE definida para SERVICE têm as seguintes características:

• Eles não podem fazer login usando uma senha.

• Eles não podem fazer login usando SAML SSO.

• Eles não podem se inscrever em MFA.

• Eles não estão sujeitos à aplicação de MFA da política de autenticação.

• Eles não podem ter as seguintes propriedades:

  • FIRST_NAME

  • MIDDLE_NAME

  • LAST_NAME

  • PASSWORD

  • MUST_CHANGE_PASSWORD

  • MINS_TO_BYPASS_MFA

• Os seguintes comandos não podem ser usados:

  • ALTER USER RESET PASSWORD

  • ALTER USER SET DISABLE_MFA = TRUE

SNOWFLAKE_SERVICE:

Usuário criado por Snowflake para Snowpark Container Services. Os administradores não podem criar usuários do tipo SNOWFLAKE_SERVICE, nem alterar o tipo de um usuário existente para SNOWFLAKE_SERVICE. Para obter mais informações sobre os usuários SNOWFLAKE_SERVICE, consulte Conexão ao Snowflake de dentro de um contêiner.

LEGACY_SERVICE:

Um usuário com a propriedade TYPE definida como LEGACY_SERVICE representa uma integração não interativa. É semelhante ao SERVICE, mas permite autenticação por senha e SAML. Em um lançamento futuro, o tipo LEGACY_SERVICE será descontinuado e todos os casos de uso não interativos usarão o tipo SERVICE com um método seguro de autenticação.

Os usuários LEGACY_SERVICE têm as seguintes características:

• Eles podem fazer login usando senha ou autenticação SAML, diferentemente dos usuários SERVICE.

• Ele tem as propriedades de um usuário SERVICE, mas têm as propriedades PASSWORD e MUST_CHANGE_PASSWORD disponíveis.

• Eles têm as restrições de comando de um usuário SERVICE, mas podem usar o comando ALTER USER RESET PASSWORD.

• Eles não são afetados pela aplicação da política de autenticação multifator (MFA). Esta propriedade permite que os administradores definam políticas de autenticação no nível de conta que exigem MFA para autenticação de senha sem precisar definir uma política de autenticação em nível de usuário para impedir que os usuários LEGACY_SERVICE exijam MFA para autenticação de senha.

Funções do usuário¶

O Snowflake usa funções para controlar os objetos (warehouses virtuais, bancos de dados, tabelas, etc.) que os usuários podem acessar:

• O Snowflake fornece um conjunto de funções pré-definidas, bem como uma estrutura para definir uma hierarquia de funções personalizadas.

• Todos os usuários do Snowflake recebem automaticamente a função PUBLIC predefinida, que permite o login no Snowflake e o acesso básico ao objeto.

• Além da função PUBLIC, cada usuário pode receber funções adicionais, com uma dessas funções designada como função padrão. A função padrão de um usuário determina a função usada nas sessões do Snowflake iniciadas pelo usuário; no entanto, isso é apenas um padrão. Os usuários podem alterar as funções dentro de uma sessão a qualquer momento.

• As funções podem ser atribuídas na criação do usuário ou posteriormente.

Privilégios necessários para criar e modificar usuários¶

Os seguintes privilégios ou funções são necessários para gerenciar os usuários em sua conta:

Criação de usuários:

A função USERADMIN do sistema pode criar usuários usando SQL (CREATE USER).

Se você preferir usar uma função personalizada para essa finalidade, conceda a essa função o privilégio CREATE USER sobre a conta.

Modificação de usuários:

Somente a função com o privilégio OWNERSHIP em um usuário pode modificar a maioria das propriedades do usuário usando SQL (ALTER USER).

Criação de usuários¶

Esta seção descreve como criar um usuário em uma conta específica usando a interface de sua escolha.

Ao escolher a interface, considere que a interface da Web, independentemente de usar Classic Console ou Snowsight, exige que o usuário especifique uma senha ao criar um usuário. O comando CREATE USER e a API Python UserCollection.create não o fazem.

Desativação ou ativação de um usuário¶

A desativação de um usuário impede que ele faça login no Snowflake. É possível desativar um usuário por meio das seguintes interfaces.

Desbloqueio de um usuário¶

Se um login de usuário falhar após cinco tentativas consecutivas, o usuário é bloqueado por um tempo (atualmente 15 minutos) sem acesso a sua conta. Após o período, o sistema remove automaticamente o bloqueio e o usuário pode tentar fazer login novamente no sistema.

Para desbloquear o usuário antes do término do tempo, é possível redefinir o temporizador usando o comando ALTER USER ou a API Python UserResource.create_or_alter.

O exemplo a seguir reinicia o temporizador, para 0, o que imediatamente desbloqueia o usuário janesmith:

ALTER USER janesmith SET MINS_TO_UNLOCK= 0;

user_parameters = root.users["janesmith"].fetch()
user_parameters.mins_to_unlock = 0
root.users["janesmith"].create_or_alter(user_parameters)

Alteração dos parâmetros de sessão de um usuário¶

• Para mostrar os parâmetros de sessão de um usuário, use a seguinte sintaxe SQL:

  SHOW PARAMETERS [ LIKE '<pattern>' ] FOR USER <name>
  

  Copy

• Para alterar os parâmetros de sessão de um usuário, use a seguinte sintaxe:

  ALTER USER <name> SET <session_param> = <value>
  

  Copy

  Por exemplo, permitir que um usuário permaneça conectado ao Snowflake indefinidamente sem atingir o tempo limite:

  ALTER USER janesmith SET CLIENT_SESSION_KEEP_ALIVE = TRUE;
  

  Copy

• Para redefinir um parâmetro de sessão para um usuário para o valor padrão, use a seguinte sintaxe:

  ALTER USER <name> UNSET <session_param>
  

  Copy

Modificação de outras propriedades do usuário¶

É possível modificar todas as outras propriedades de usuário usando o comando ALTER USER ou a API Python UserResource.create_or_alter. Você pode modificar muitas das mesmas propriedades do usuário usando o Snowsight.

Por exemplo:

• Altere o sobrenome do usuário janesmith para Jones:

  SQL:

  ALTER USER janesmith SET LAST_NAME = 'Jones';
  

  Copy

  Python:

  user_parameters = root.users["janesmith"].fetch()
  user_parameters.last_name = "Jones"
  root.users["janesmith"].create_or_alter(user_parameters)
  

  Copy

  Snowsight:

  1. Faça login na Snowsight.

  2. Selecione Admin » Users & Roles.

  3. Localize o usuário que deseja desativar e selecione » Edit.

  4. Para o campo Last Name, insira Jones:

  5. Selecione Save User.

• Defina ou altere o warehouse padrão, namespace, função primária e funções secundárias do usuário janesmith:

  SQL:

  ALTER USER janesmith SET DEFAULT_WAREHOUSE = mywarehouse DEFAULT_NAMESPACE = mydatabase.myschema DEFAULT_ROLE = myrole DEFAULT_SECONDARY_ROLES = ('ALL');
  

  Copy

  Python:

  user_parameters = root.users["janesmith"].fetch()
  user_parameters.default_warehouse = "mywarehouse"
  user_parameters.default_namespace = "mydatabase.myschema"
  user_parameters.default_role = "myrole"
  user_parameters.default_secondary_roles = "ALL"
  root.users["janesmith"].create_or_alter(user_parameters)
  

  Copy

  Snowsight:

  Nota

  Você não pode definir funções secundárias padrão para um usuário usando o Snowsight.

  1. Faça login na Snowsight.

  2. Selecione Admin » Users & Roles.

  3. Localize o usuário que deseja desativar e selecione » Edit.

  4. Abra Advanced User Options e insira valores nos campos relevantes.

  5. Selecione Save User.

Visualização dos usuários¶

É possível visualizar informações sobre os usuários usando as seguintes interfaces.

DESC USER janeksmith;

my_user = root.users["janesmith"].fetch()
print(my_user.to_dict())

users = root.users.iter(like="jane%")
for user in users:
  print(user.name)

Descarte de um usuário¶

Descartar um usuário retira as credenciais do usuário do Snowflake.

Os objetos criados pelo usuário, como tabelas ou exibições, não são descartados porque pertencem à função ativa do usuário quando os objetos foram criados. Outro usuário com a mesma função ou uma função superior na hierarquia de funções pode gerenciar os objetos ou transferir a propriedade para outra função.

DROP USER janesmith;

root.users["janesmith"].drop()