Funções do Snowflake Postgres¶

A função snowflake_admin¶

snowflake_admin é uma função de alto privilégio do Postgres usada para administrar sua instância do Snowflake Postgres. Ele não é um superusuário completo do Postgres; algumas operações permanecem restritas e são gerenciadas pelo Snowflake. No entanto, ele tem privilégios elevados que incluem:

• Criar e gerenciar funções do Postgres.

• Criar e gerenciar bancos de dados.

• Gerenciar a replicação para sua instância do Snowflake Postgres.

• Ignorar as políticas de segurança no nível da linha (Row-Level Security, RLS), quando aplicável.

Além disso, snowflake_admin é membro de várias funções integradas do Postgres que concedem funcionalidades operacionais e de monitoramento, incluindo:

• pg_signal_backend

• pg_use_reserved_connections

• pg_create_subscription

• pg_read_all_settings

• pg_read_all_stats

• pg_stat_scan_tables

• pg_monitor

• snowflake_admin_group

A função application¶

application é uma função não superusuário que, por padrão, tem permissões para criar objetos no banco de dados postgres. Novas permissões ou propriedades para essa função devem ser concedidas pela função snowflake_admin.

Nova geração de credenciais para funções gerenciadas pelo Snowflake Postgres¶

As credenciais para as funções snowflake_admin e application são geradas quando você cria a instância e são exibidas apenas uma vez. Você pode gerar as credenciais novamente a qualquer momento, invalidando as existentes.

Definindo senhas para outras funções do Postgres¶

As instâncias do Snowflake Postgres são configuradas para autenticação com senha span-sha-256. Quando novas senhas são definidas, o servidor gera e armazena um hash scram-sha-256, mas quando o parâmetro log_statement do Postgres é definido como um valor diferente de none, os comandos CREATE ROLE e ALTER ROLE DDL são totalmente registrados no log do servidor Postgres. Portanto, você deve garantir que as senhas com texto não criptografado não sejam registradas como parte dessas instruções.

BEGIN;
SET LOCAL log_statement = 'none';
CREATE USER mynewrole PASSWORD 'mynewpassword';
COMMIT;

postgres=# CREATE ROLE mynewrole LOGIN;
CREATE ROLE

postgres=# \password mynewrole
Enter new password for user "mynewrole":
Enter it again:

postgres=# CREATE ROLE mynewrole LOGIN;
CREATE ROLE

postgres=# BEGIN;
BEGIN

postgres=# SET LOCAL log_statement = 'none';
SET

postgres=# \password mynewrole
Enter new password for user "mynewrole":
Enter it again:

postgres=# COMMIT;
COMMIT

Proteção contra senhas vazadas¶

A proteção contra senhas vazadas é fornecida para funções em instâncias do Snowflake Postgres. A descoberta e a notificação funcionam conforme descrito em nossa Proteção contra senhas vazadas principal. Quando o Snowflake descobre uma senha vazada em uma de suas funções do Snowflake Postgres:

• A função é adicionada à função de grupo snowflake_nologin especial do Postgres para impedir logins futuros com ela.

• Todas as conexões existentes com a função são encerradas.

• O assunto da notificação por e-mail que você recebe é «Urgent - Snowflake Postgres Role(s) Password Reset to Prevent Unauthorized Access».

Se você receber esse e-mail, deverá atualizar a senha da função imediatamente e de forma segura, conforme descrito acima. Ao gerar de novo as credenciais das funções gerenciadas, elas são automaticamente removidas do grupo de funções snowflake_nologin do Postgres. Para funções não gerenciadas, após a atualização da senha da função, elas poderão ser removidas da função do grupo snowflake_nologin executando este Postgres SQL com a função snowflake_admin:

REVOKE snowflake_nologin FROM {rolename};