Sessões do Snowflake e políticas de sessão¶

Sessões do Snowflake¶

Uma sessão começa quando um usuário se conecta ao Snowflake e se autentica com sucesso usando um cliente programático do Snowflake, a Snowsight ou a Classic Console. Uma sessão é independente da sessão de um provedor de identidade (isto é, IdP). Se a sessão Snowflake expirar mas a sessão do IdP permanecer ativa, um usuário pode entrar no Snowflake sem fornecer novamente suas credenciais de login (ou seja, autenticação silenciosa).

A sessão é mantida indefinidamente com a atividade contínua do usuário. Após um período de inatividade na sessão, conhecido como tempo limite de sessão ociosa, o usuário deve se autenticar novamente no Snowflake. O tempo limite de sessão ociosa tem um valor máximo de quatro horas e uma política de sessão pode modificar o período de tempo limite da sessão ociosa. O tempo limite de sessão ociosa se aplica aos seguinte elementos:

• Classic Console.

• Snowsight.

• SnowSQL (cliente CLI).

• Conectores e condutores com suporte.

• Clientes de terceiros que se conectam ao Snowflake usando um conector ou driver compatível.

O Snowflake recomenda reutilizar as sessões existentes quando possível e fechar a conexão com o Snowflake quando uma sessão não for mais necessária.

Políticas de sessão¶

Uma política de sessão define o tempo limite de sessão ociosa em minutos e oferece a opção de ignorar o valor padrão de tempo limite de inatividade de 4 horas.

A política de sessão pode ser definida para uma conta ou usuário com períodos de tempo limite de inatividade configuráveis para atender às exigências de conformidade. Se um usuário está associado tanto a uma conta quanto a uma política de sessão no nível de usuário, a política de sessão no nível de usuário tem precedência. Após a política da sessão ser definida por conta ou usuário, Snowflake aplica a política da sessão.

Há duas propriedades que regem o comportamento da política da sessão:

• SESSION_IDLE_TIMEOUT_MINS para clientes programáticos e do Snowflake.

• SESSION_UI_IDLE_TIMEOUT_MINS para Classic Console e Snowsight.

O período de tempo limite começa com uma autenticação bem sucedida no Snowflake. Se uma política de sessão não for definida, o Snowflake usa um valor padrão de 240 minutos (ou seja, 4 horas). O valor mínimo de tempo ocioso configurável para uma política de sessão é de 5 minutos. Quando a sessão expirar, o usuário deve autenticar-se novamente no Snowflake. No entanto, o Snowflake não impõe nenhuma configuração definida pelo Ponto de extremidade de logout personalizado.

Para obter mais informações, consulte:

• Gerenciamento de políticas de sessão.

• A exibição SESSIONS para monitorar o uso da sessão.

Como implementar uma política de sessão¶

Os seguintes passos são um guia representativo para implementar uma política de sessão.

Esses passos pressupõem uma abordagem de gerenciamento centralizado no qual uma função personalizada chamada policy_admin possui a política da sessão (ou seja, tem o privilégio OWNERSHIP da política da sessão) e é responsável por definir a política de sessão de uma conta ou usuário (ou seja, tem o privilégio APPLY SESSION POLICY sobre ACCOUNT ou o privilégio APPLY SESSION POLICY ON USER).

Siga os passos a seguir para implementar uma política de sessão.

USE ROLE USERADMIN;

CREATE ROLE policy_admin;

USE ROLE SECURITYADMIN;

GRANT USAGE ON DATABASE mydb TO ROLE policy_admin;

GRANT USAGE, CREATE SESSION POLICY ON SCHEMA mydb.policies TO ROLE policy_admin;

GRANT APPLY SESSION POLICY ON ACCOUNT TO ROLE policy_admin;

USE ROLE POLICY_ADMIN;

CREATE SESSION POLICY mydb.policies.session_policy_prod_1
  SESSION_IDLE_TIMEOUT_MINS = 60
  SESSION_UI_IDLE_TIMEOUT_MINS = 60
  COMMENT = 'Session policy for the prod_1 environment'
;

USE ROLE policy_admin;

ALTER ACCOUNT SET SESSION POLICY mydb.policies.session_policy_prod_1;

ALTER USER jsmith SET SESSION POLICY my_database.my_schema.session_policy_prod_1_jsmith;

Gerenciamento de políticas de sessão¶

Referência DDL da política de sessão¶

O Snowflake fornece os seguintes comandos DDL para gerenciar os objetos da política de sessão:

• CREATE SESSION POLICY

• ALTER SESSION POLICY

• DROP SESSION POLICY

• SHOW SESSION POLICIES

• DESCRIBE SESSION POLICY

Para definir ou remover a definição de uma política de sessão na conta, execute o comando ALTER ACCOUNT como mostrado abaixo.

ALTER ACCOUNT SET SESSION POLICY mydb.policies.session_policy_prod_1;

Copy

ALTER ACCOUNT UNSET SESSION POLICY;

Copy

Para definir ou remover a definição de uma política de sessão em nível de usuário, execute o comando ALTER USER como mostrado abaixo.

ALTER USER jsmith SET SESSION POLICY mydb.policies.session_policy_prod_1_jsmith;

Copy

ALTER USER jsmith UNSET SESSION POLICY;

Copy

Solução de problemas das políticas de sessão¶

• Se uma política de sessão for atribuída a uma conta ou a um usuário e o banco de dados ou esquema que contém a política de sessão for descartado, e depois uma nova política de sessão for atribuída à conta ou ao usuário, o usuário não estará sujeito ao(s) valor(es) de tempo de limite de sessão ociosa da nova política de sessão.

  A solução é remover a definição da política de sessão original da conta usando um comando ALTER ACCOUNT ou do usuário usando um comando ALTER USER, como mostrado neste tópico.

• A tabela a seguir resume algumas mensagens de erro que podem ocorrer com as políticas de sessão.

  Comportamento	Mensagem de erro	Ação de solução de problemas
  Não é possível criar uma política de sessão.	Não é possível executar CREATE SESSION POLICY. Esta sessão não dispõe de um banco de dados atual. Chame “USE DATABASE” ou use um nome qualificado.	Especifique um banco de dados antes de executar CREATE SESSION POLICY ou de usar o nome do objeto totalmente qualificado na instrução CREATE SESSION POLICY.
  Não é possível criar uma política de sessão.	Erro de controle de acesso SQL: privilégios insuficientes para operar no esquema “<schema_name>”.	Verifique se a função que está executando a instrução CREATE SESSION POLICY tem o privilégio CREATE SESSION POLICY no SCHEMA.
  Não é possível criar uma política de sessão.	Erro de compilação SQL: o banco de dados “<database_name>” não existe ou não está autorizado.	Verifique se o banco de dados existe e se a função que está executando a instrução CREATE SESSION POLICY tem o privilégio USAGE no esquema em que a política da sessão deve existir.
  Não é possível executar uma instrução descritiva.	Erro de compilação SQL: o esquema ‘<nome_do_esquema>’ não existe ou não é autorizado.	Verifique se a função que está executando a instrução DESC SESSION POLICY tem o privilégio OWNERSHIP na política da sessão ou o privilégio APPLY na política de sessão.
  Não é possível descartar uma política de sessão.	Erro de compilação SQL: a política de sessão “<policy_name>” não existe ou não é autorizada.	Verifique se a função que está executando a instrução DROP SESSION POLICY tem o privilégio OWNERSHIP para a política da sessão.
  Não é possível descartar uma política de sessão.	Não é possível descartar a política de sessão <policy_name> porque ela está vinculada a uma conta.	Remova a definição da política de sessão da conta com uma instrução ALTER ACCOUNT e tente executar a instrução de descarte novamente.
  Não é possível definir uma política de sessão para uma conta.	A política de sessão “<policy_name> já está vinculada à conta <account_name>.	Uma conta só pode ter uma política de sessão ativa. Determine qual política de sessão deve ser definida para a conta. . Se necessário, remova a definição da política de sessão atual da conta com um comando ALTER ACCOUNT. Em seguida, defina a outra política de sessão para a conta com outro comando ALTER ACCOUNT.
  Não é possível definir um valor de tempo limite.	Erro de compilação SQL: valor inválido “<integer>” para propriedade “session_idle_timeout_mins”.	O valor de tempo limite da sessão, em minutos, deve ser um número inteiro entre 5 e 240. . Escolha um número inteiro válido para o tempo limite da sessão e execute novamente a instrução CREATE ou ALTER SESSION POLICY.
  Não é possível atualizar uma política de sessão existente.	Erro de compilação SQL: a política de sessão “<policy_name>” não existe ou não é autorizada.	Verifique o nome da política de sessão, a sintaxe do comando ALTER SESSION POLICY e os privilégios para operar na política, no banco de dados e no esquema da sessão.