Marcação de objetos¶

Cotas de tags para objetos e colunas¶

O valor de cadeia de caracteres para cada tag pode ser de até 256 caracteres, com a opção de especificar valores permitidos para uma tag.

A descrição a seguir se aplica a todos os objetos que não são tabelas e exibições:

O Snowflake permite um número máximo de 50 tags únicas que podem ser definidas para um único objeto. Em uma instrução CREATE <objeto> ou ALTER <objeto>, 100 é o número máximo de tags que pode ser especificado em uma única instrução.

O número máximo de tags únicas é ligeiramente diferente para tabelas e exibições, incluindo as colunas nessas tabelas e exibições.

Especificação de valores da tag¶

A propriedade de tag ALLOWED_VALUES permite especificar os possíveis valores de cadeia de caracteres que podem ser atribuídos à tag quando a tag é definida em um objeto. O número máximo de valores de cadeia de caracteres possíveis para uma única tag é 300.

Você pode especificar estes valores ao criar ou substituir uma tag por uma instrução CREATE TAG, ou ao modificar uma chave de tag existente com uma instrução ALTER TAG. Observe que a instrução ALTER TAG suporta a adição de valores permitidos para uma tag e o descarte dos valores existentes para uma tag.

Para determinar a lista de valores permitidos para uma tag, chame a função GET_DDL ou a função SYSTEM$GET_TAG_ALLOWED_VALUES.

Por exemplo:

Crie uma tag chamada cost_center com 'finance' e 'engineering' como os dois únicos valores de cadeia de caracteres permitidos:

create tag cost_center
    allowed_values 'finance', 'engineering';

Copy

Verifique os valores permitidos:

select get_ddl('tag', 'cost_center')

+------------------------------------------------------------------------------+
| GET_DDL('tag', 'cost_center')                                                |
|------------------------------------------------------------------------------|
| create or replace tag cost_center allowed_values = 'finance', 'engineering'; |
+------------------------------------------------------------------------------+

Copy

Modifique a tag chamada cost_center para adicionar 'marketing' como um valor de cadeia de caracteres permitido:

alter tag cost_center
    add allowed_values 'marketing';

Copy

Modifique a tag chamada cost_center para descartar 'engineering' como um valor de cadeia de caracteres permitido:

alter tag cost_center
    drop allowed_values 'engineering';

Copy

Para obter a lista de valores de cadeia de caracteres permitidos para uma determinada tag, chame a função GET_DDL ou a função SYSTEM$GET_TAG_ALLOWED_VALUES. Por exemplo, considerando que a tag cost_center esteja armazenada em um banco de dados chamado governance e um esquema chamado tags:

select system$get_tag_allowed_values('governance.tags.cost_center');

+--------------------------------------------------------------+
| SYSTEM$GET_TAG_ALLOWED_VALUES('GOVERNANCE.TAGS.COST_CENTER') |
|--------------------------------------------------------------|
| ["finance","marketing"]                                      |
+--------------------------------------------------------------+

Copy

Linhagem de tags¶

Uma tag é herdada com base na hierarquia de objetos protegíveis do Snowflake. O Snowflake recomenda definir as chaves de tag da forma mais próxima possível da hierarquia de objetos protegíveis em seu ambiente Snowflake.

Herdar tags significa que, se uma tag for aplicada a uma tabela, a tag também se aplica às colunas dessa tabela. Este comportamento é chamado de linhagem de tags.

É possível substituir uma tag herdada em um determinado objeto. Por exemplo, se uma coluna de tabela herdar a tag chamada cost_center com um valor de cadeia de caracteres chamado sales, a tag pode ser atualizada com um valor de cadeia de caracteres de tag mais específico, como sales_na, para especificar o centro de custo de vendas da América do Norte. Além disso, uma nova tag pode ser aplicada à coluna da tabela. Use uma instrução ALTER TABLE … ALTER COLUMN para atualizar o valor da cadeia de caracteres de tag na coluna e para definir uma ou mais tags adicionais em uma coluna.

Após definir as chaves de tags e atribuir tags aos objetos Snowflake, monitore as tags, referências de tags e linhagem de tags usando as funções de tabela especificadas ou consulte as exibições como mostrado em Monitoramento de tags com SQL (neste tópico).

Benefícios¶

Facilidade de uso:

Defina uma tag uma vez e aplique-a a tantos objetos diferentes quanto quiser.

Linhagem de tags:

Como as tags são herdadas, aplicar a tag a objetos superiores na hierarquia de objetos protegíveis faz com que a tag seja aplicada a todos os objetos filhos. Por exemplo, se uma tag for definida em uma tabela, ela será herdada por todas as colunas dessa tabela.

Atribuição consistente com replicação:

O Snowflake replica tags e suas atribuições dentro do banco de dados primário para o banco de dados secundário.

Para obter mais informações, consulte Replicação (neste tópico).

Rastreamento de dados confidenciais e uso de recursos:

Tags simplificam a identificação de dados confidenciais (por exemplo, PII, Segredo) e trazem visibilidade ao uso dos recursos do Snowflake. Com dados e metadados no mesmo sistema, os analistas podem determinar rapidamente quais recursos consomem mais créditos de Snowflake com base na definição da tag (por exemplo, cost_center, department).

Gerenciamento centralizado ou descentralizado:

As tags suportam diferentes abordagens de gerenciamento para facilitar a conformidade com requisitos regulamentares internos e externos.

Em uma abordagem centralizada, a função personalizada tag_admin cria e aplica tags a objetos Snowflake.

Em uma abordagem descentralizada, equipes individuais aplicam tags a objetos Snowflake, e a função personalizada tag_admin cria tags para garantir uma nomeação consistente das tags.

Considerações¶

Concessões futuras:

Não há suporte para futuras concessões de privilégios em tags.

Como alternativa, conceda o privilégio APPLYTAG a uma função personalizada para permitir que essa função aplique tags a outro objeto.

Snowflake Native App:

Tenha cuidado ao criar o script de configuração quando existirem tags em um esquema com versão. Para obter detalhes, consulte considerações sobre esquema com versão.

Objetos com suporte¶

A tabela a seguir lista os objetos com suporte para tags, incluindo colunas, com base na hierarquia de objetos protegíveis do Snowflake.

Uma tag pode ser definida em um objeto com uma instrução CREATE <objeto> ou uma instrução ALTER <objeto>, a menos que especificado de outra forma na tabela abaixo.

Uma tag pode ser definida em uma coluna usando uma instrução CREATE TABLE, CREATE VIEW, ALTER TABLE … MODIFY COLUMN ou ALTER VIEW.

Políticas de mascaramento e marcação de objetos¶

Para obter mais detalhes, consulte Políticas de mascaramento baseadas em tags.

Note que uma política de mascaramento diretamente atribuída a uma coluna tem precedência sobre uma política de mascaramento baseada em tags.

Instruções CREATE TABLE¶

Com CREATE TABLE … LIKE, as tags atribuídas à tabela de origem são atribuídas à tabela de destino.

Replicação¶

As tags e suas atribuições podem ser replicadas de uma conta de origem para uma conta de destino.

As atribuições de tags não podem ser modificadas na conta de destino após a replicação inicial a partir da conta de origem. Por exemplo, não é permitido colocar uma tag em um banco de dados secundário (por exemplo, replicado). Para modificar as atribuições de tags na conta de destino, modifique-as na conta de origem e replique-as na conta de destino.

Para replicação de banco de dados, a operação de replicação falha se uma das seguintes condições for verdadeira:

• O banco de dados primário está em uma conta Enterprise (ou superior) e contém uma tag, mas uma ou mais das contas aprovadas para replicação estão em edições anteriores.

• Um objeto contido no banco de dados primário tem uma referência pendente a uma tag em um banco de dados diferente.

Para evitar um erro de referência pendente, replique o banco de dados e os objetos em nível de conta usando um grupo de replicação ou failover. Certifique-se de que o grupo de replicação inclua:

• O banco de dados que contém as tags na propriedade ALLOWED_DATABASES.

• Outros objetos de nível de conta que tenham uma tag na propriedade OBJECT_TYPES (por exemplo ROLES, WAREHOUSES).

  Para obter mais detalhes, consulte CREATE REPLICATION GROUP e CREATE FAILOVER GROUP.

Clonagem¶

• Associações de tags no objeto de origem (por exemplo, tabela) são mantidas nos objetos clonados.

• Para um banco de dados ou esquema:

  As tags armazenadas no banco de dados ou esquema também são clonadas.

  Quando um banco de dados ou esquema é clonado, as tags contidas no esquema ou banco de dados também são clonadas.

  Se existir uma tabela ou exibição no esquema de origem/banco de dados e houver referências a tags no mesmo esquema ou banco de dados, a tabela ou exibição clonada será mapeada para a tag clonada correspondente (no esquema/banco de dados de destino) em vez da tag no esquema ou banco de dados de origem.

Data Sharing¶

• Quando a exibição compartilhada e a tag existem em diferentes bancos de dados, conceda o privilégio REFERENCE_USAGE sobre o banco de dados que contém a tag para o compartilhamento. Para obter mais detalhes, consulte Compartilhamento de dados a partir de diversos bancos de dados.

• Na conta do consumidor do compartilhamento de dados:

  • A execução do comando SHOW TAGS retorna a tag compartilhada, desde que a função que executa o comando SHOW TAGS tenha o privilégio USAGE sobre o esquema que contém a tag compartilhada.

    Se o provedor conceder o privilégio READ na tag ao compartilhamento ou a uma função de banco de dados compartilhada, o consumidor poderá visualizar as atribuições de tag para a tag compartilhada. Para obter detalhes, consulte referências de tags compartilhadas.

  • Se uma tag da conta do provedor do compartilhamento de dados for atribuída a uma tabela compartilhada, o consumidor do compartilhamento de dados não poderá chamar a função SYSTEM$GET_TAG ou a função de tabela Information Schema TAG_REFERENCES para exibir a atribuição de tag.

Descobrir tags¶

O Snowflake suporta as seguintes opções para listar tags e identificar o valor da cadeia de caracteres para uma determinada chave de tag.

• Identifique as tags em sua conta:

  Use a exibição TAGS no esquema Account Usage do banco de dados SNOWFLAKE compartilhado. Esta exibição pode ser pensada como um catálogo para todas as tags em sua conta Snowflake que fornece informações sobre tags atuais e excluídas. Por exemplo:

  SELECT * FROM SNOWFLAKE.ACCOUNT_USAGE.TAGS
  ORDER BY TAG_NAME;
  

  Copy

• Identificar um valor para uma determinada tag:

  Use a função do sistema SYSTEM$GET_TAG para retornar o valor de tag atribuído à tag especificada, e o objeto ou coluna do Snowflake.

  SELECT SYSTEM$GET_TAG('cost_center', 'my_table', 'table');
  

  Copy

Identificar atribuições¶

O Snowflake suporta diferentes opções para identificar atribuições de tags, dependendo se a consulta precisa ser direcionada à conta ou a um banco de dados específico, e se a linhagem de tags é necessária.

• Consulta em nível de conta com linhagem:

  Use a função de tabela de Account Usage TAG_REFERENCES_WITH_LINEAGE para determinar todos os objetos que têm uma determinada chave de tag e valor de tag que também incluem a linhagem de tags:

  SELECT *
  FROM TABLE(
    snowflake.account_usage.tag_references_with_lineage(
      'my_db.my_schema.cost_center'
    )
  );
  

  Copy

• Consulta em nível de conta sem linhagem:

  Use a exibição de Account Usage TAG_REFERENCES para determinar todos os objetos que têm uma determinada chave de tag e valor de tag, mas não incluem a linhagem de tag:

  SELECT * FROM snowflake.account_usage.tag_references
  ORDER BY TAG_NAME, DOMAIN, OBJECT_ID;
  

  Copy

• Consulta em nível de banco de dados, com linhagem:

  Todo banco de dados do Snowflake inclui um Snowflake Information Schema. Use a função de tabela do Information Schema TAG_REFERENCES para determinar todos os objetos que têm uma determinada tag que também inclui a linhagem da tag em um determinado banco de dados:

  SELECT *
  FROM TABLE(
    my_db.INFORMATION_SCHEMA.TAG_REFERENCES(
      'my_table',
      'table'
    )
  );
  

  Copy

• Consulta em nível de banco de dados para todas as tags em cada coluna de uma tabela ou exibição, com a linhagem:

  Use a função de tabela do Information Schema TAG_REFERENCES_ALL_COLUMNS para obter todas as tags que estão definidas em cada coluna de uma determinada tabela ou exibição.

  Observe que o domínio TABLE precisa ser usado para todos os objetos que contêm colunas, mesmo que o nome do objeto seja uma exibição (ou seja, exibição, exibição materializada).

  SELECT *
  FROM TABLE(
    INFORMATION_SCHEMA.TAG_REFERENCES_ALL_COLUMNS(
      'my_table',
      'table'
    )
  );
  

  Copy

Acesso à área de governança no Snowsight¶

Para acessar a área Governance, sua conta Snowflake deve ser Enterprise Edition ou superior. Além disso, você deve executar um dos seguintes procedimentos:

• Use a função ACCOUNTADMIN.

• Use uma função de conta receba diretamente as funções de banco de dados GOVERNANCE_VIEWER e OBJECT_VIEWER.

  Você deve usar uma função de conta com essas concessões de função de banco de dados. Atualmente, Snowsight não avalia hierarquias de funções e funções de banco de dados definidas pelo usuário com acesso a tabelas, exibições, políticas de acesso a dados e tags.

  Para determinar se a função da sua conta tem essas duas funções de banco de dados, use um comando SHOW GRANTS:

  SHOW GRANTS LIKE '%VIEWER%' TO ROLE data_engineer;
  

  Copy

  |-------------------------------+-----------+---------------+-----------------------------+------------+-----------------+--------------+------------|
  | created_on                    | privilege | granted_on    | name                        | granted_to | grantee_name    | grant_option | granted_by |
  |-------------------------------+-----------+---------------+-----------------------------+------------+-----------------+--------------+------------|
  | 2024-01-24 17:12:26.984 +0000 | USAGE     | DATABASE_ROLE | SNOWFLAKE.GOVERNANCE_VIEWER | ROLE       | DATA_ENGINEER   | false        |            |
  | 2024-01-24 17:12:47.967 +0000 | USAGE     | DATABASE_ROLE | SNOWFLAKE.OBJECT_VIEWER     | ROLE       | DATA_ENGINEER   | false        |            |
  |-------------------------------+-----------+---------------+-----------------------------+------------+-----------------+--------------+------------|
  

  
  

  Se a função da sua conta não receber uma ou ambas as funções de banco de dados, use o comando GRANT DATABASE ROLE e execute o comando SHOW GRANTS novamente para confirmar as concessões:

  USE ROLE ACCOUNTADMIN;
  GRANT DATABASE ROLE SNOWFLAKE.GOVERNANCE_VIEWER TO ROLE data_engineer;
  GRANT DATABASE ROLE SNOWFLAKE.OBJECT_VIEWER TO ROLE data_engineer;
  SHOW GRANTS LIKE '%VIEWER%' TO ROLE data_engineer;
  

  Copy

  Para obter detalhes sobre essas funções de banco de dados, consulte Funções de banco de dados SNOWFLAKE.

Painel¶

Como administrador de dados, você pode usar a interface do Dashboard para monitorar o uso de tags e políticas das seguintes maneiras.

• Cobertura: especifica a contagem e a porcentagem com base no fato de uma tabela, exibição ou coluna ter uma política ou tag.

• Prevalência: lista e conta as políticas e tags usadas com mais frequência.

A cobertura e a prevalência fornecem um instantâneo de quão bem os dados estão protegidos e marcados com tag.

Quando você seleciona um número de contagem, porcentagem, nome de política ou nome de tag, a interface Tagged Objects é aberta. A interface Tagged Objects atualiza os filtros automaticamente com base em sua seleção em Dashboard.

As informações de monitoramento são uma alternativa ou um complemento à execução de operações complexas e de consulta intensa em várias exibições do Account Usage.

Essas exibições podem incluir, sem limitação, as exibições COLUMNS, POLICY_REFERENCES, TABLES, TAG_REFERENCES e VIEWS.

Objetos marcados¶

Como administrador de dados, você pode usar essa tabela para associar rapidamente a cobertura e a prevalência no Dashboard a uma lista de tabelas, exibições ou colunas específicas. Você também pode filtrar os resultados da tabela manualmente da seguinte forma.

• Escolha Tables ou Columns.

• Para as tags, você pode filtrar com tags, sem tags ou por uma tag específica.

• Para políticas, você pode filtrar com políticas, sem políticas ou por uma política específica.

Quando você seleciona uma linha na tabela, a guia Table Details ou Columns em Data » Databases é aberta. Você pode editar as atribuições de tags e políticas conforme necessário.

Privilégios de tags¶

O Snowflake permite os seguintes privilégios para determinar se os usuários podem criar, definir e possuir tags.

Observe que operar em qualquer objeto de um esquema também requer o privilégio USAGE no banco de dados e esquema principais.

Referência DDL de tags¶

O Snowflake oferece suporte ao seguinte DDL para criar e gerenciar tags:

• CREATE TAG

• ALTER TAG

• ALTER <objeto> (para definir uma tag em um objeto Snowflake)

• SHOW TAGS

• DROP TAG

• UNDROP TAG

Note que o Snowflake não oferece suporte à operação describe para o objeto de tag.

Resumo de comandos DDL, operações e privilégios¶

A tabela a seguir resume a relação entre privilégios de tags e operações DDL.

O Snowflake aceita diferentes permissões para criar e definir uma tag para um objeto.

1. Para uma abordagem centralizada de gerenciamento de tags na qual a função personalizada tag_admin cria e define tags em todos os objetos/colunas, as seguintes permissões são necessárias:

   use role securityadmin;
   grant create tag on schema <db_name.schema_name> to role tag_admin;
   grant apply tag on account to role tag_admin;
   

   Copy

2. Em uma abordagem híbrida de gerenciamento, uma única função tem o privilégio CREATE TAG para assegurar que as tags sejam nomeadas de forma consistente e que equipes ou funções individuais tenham o privilégio APPLY para uma tag específica.

   Por exemplo, a função personalizada finance_role pode receber a permissão para definir a tag cost_center em tabelas e exibições que a função possui (ou seja, a função tem o privilégio OWNERSHIP sobre a tabela ou exibição):

   use role securityadmin;
   grant create tag on schema <db_name.schema_name> to role tag_admin;
   grant apply on tag cost_center to role finance_role;
   

   Copy