Funções do Snowflake Postgres¶

A função snowflake_admin¶

snowflake_admin é uma função de alto privilégio do Postgres usada para administrar sua instância do Snowflake Postgres. Ele não é um superusuário completo do Postgres; algumas operações permanecem restritas e são gerenciadas pelo Snowflake. No entanto, ele tem privilégios elevados que incluem:

• Criar e gerenciar funções do Postgres.

• Criar e gerenciar bancos de dados.

• Gerenciar a replicação para sua instância do Snowflake Postgres.

• Ignorar as políticas de segurança no nível da linha (Row-Level Security, RLS), quando aplicável.

Além disso, snowflake_admin é membro de várias funções integradas do Postgres que concedem funcionalidades operacionais e de monitoramento, incluindo:

• pg_signal_backend

• pg_use_reserved_connections

• pg_create_subscription

• pg_read_all_settings

• pg_read_all_stats

• pg_stat_scan_tables

• pg_monitor

• snowflake_admin_group

A função application¶

application é uma função não superusuário que, por padrão, tem permissões para criar objetos no banco de dados postgres. Novas permissões ou propriedades para essa função devem ser concedidas pela função snowflake_admin.

Nova geração de credenciais para funções gerenciadas pelo Snowflake Postgres¶

As credenciais para as funções snowflake_admin e application são geradas quando você cria a instância e são exibidas apenas uma vez. Você pode gerar as credenciais novamente a qualquer momento, invalidando as existentes.

Definindo senhas para outras funções do Postgres¶

As instâncias do Snowflake Postgres são configuradas para autenticação com senha span-sha-256. Quando novas senhas são definidas, um hash scram-sha-256 é gerado e armazenado pelo servidor, mas quando o parâmetro log_statement do Postgres é definido como um valor diferente de none, os comandos CREATE ROLE e ALTER ROLE DDL são totalmente registrados no log do servidor Postgres. Portanto, você deve garantir que as senhas com texto não criptografado não sejam registradas como parte dessas instruções.

BEGIN;
SET LOCAL log_statement = 'none';
CREATE USER mynewrole PASSWORD 'mynewpassword';
COMMIT;

postgres=# CREATE ROLE mynewrole LOGIN;
CREATE ROLE

postgres=# \password mynewrole
Enter new password for user "mynewrole":
Enter it again:

postgres=# CREATE ROLE mynewrole LOGIN;
CREATE ROLE

postgres=# BEGIN;
BEGIN

postgres=# SET LOCAL log_statement = 'none';
SET

postgres=# \password mynewrole
Enter new password for user "mynewrole":
Enter it again:

postgres=# COMMIT;
COMMIT

Proteção contra senhas vazadas¶

Leaked password protection is provided for roles on Snowflake Postgres instances. Discovery and notification work as described in our main Proteção contra senhas vazadas. When Snowflake discovers a leaked password for one of your Snowflake Postgres roles:

• A função é adicionada à função de grupo snowflake_nologin especial do Postgres para impedir logins futuros com ela.

• Todas as conexões existentes com a função são encerradas.

• O assunto da notificação por e-mail que você recebe é «Urgent - Snowflake Postgres Role(s) Password Reset to Prevent Unauthorized Access».

Should you receive this email you should immediately securely update the role’s password as described above. When regenerating credentials for managed roles they are automatically removed from the snowflake_nologin Postgres role group. For non-managed roles, after updating the role’s password they can be removed from the snowflake_nologin group role by running this Postgres with the snowflake_admin role:

REVOKE snowflake_nologin FROM {rolename};