Как мне вернуть и вычесть роль hiearchy моего пробного аккаунта? - PullRequest
Новая
       2

Как мне вернуть и вычесть роль hiearchy моего пробного аккаунта?

0 голосов
/ 23 января 2020

Извиняюсь за новый вопрос, но у меня возникают проблемы с пониманием лучших практик для понимания рекомендуемой роли, настроенной для моей учетной записи. Я проверяю то, что я создал, чтобы отработать инженера и исправить его на новом складе.

Итак, вот такая ситуация:

  1. Я предоставил все разрешения на все хранилища для изменения и использования системному администратору.
  2. При запуске таблиц и ./snowsql параллельно я использовал ACCOUNTADMIN для всех сессий в снегу sql.

Когда я использую Sysadmin для изменения таблиц, которые копировали данные, размещенные на складе, иногда у меня есть разрешения и в других случаях нет.

Я просматривал историю аккаунтов с ролью ACCOUNTADMIN, чтобы просмотреть все гранты с рекомендованным запросом из приведенной ниже документации: 

select *
from table(information_schema.query_history())
order by start_time;

Затем я отфильтровал по базе данных и query_id, чтобы включить Грант 

select *
from table(information_schema.query_history())
where database_name = 'temp_db'
and query_id like '%grant%'
order by start_time;

Я сделал это, чтобы увидеть, есть ли какие-либо различия в грантах, которые я сделал между базами данных на складе. Я только создал два склада, чтобы было легко увидеть.

В дальнейшем Accountadmin используется для создания ролей, хранилищ и баз данных.

Чтобы избежать необходимости проводить аудит при переключении между ролями, я хочу настроить будущие гранты на Sysadmin для указания c баз данных в хранилище для модификации и использования, как мне это сделать?

1 Ответ

2 голосов
/ 23 января 2020

Разрешения на склады, базу данных и все другие объекты являются отдельными вещами. Предоставление разрешения хранилищу позволяет этой роли использовать или изменять хранилище, но это никак не связано с созданием, обновлением и т. Д. c. другие объекты, такие как базы данных, схемы, таблицы и представления. Кроме того, только роль, принадлежащая таблице, может удалить или изменить таблицу. Итак, вы можете проверить владение таблицами между SYSADMIN и ACCOUNTADMIN. В качестве наилучшей практики ACCOUNTADMIN не должен владеть ничем.

Чтобы получить полное изложение RBA C в Snowflake, потребовалось бы немного больше информации. Если вы боретесь с этим, вы можете обратиться в Профессиональные службы в Snowflake и попросить их прийти и сделать обзор (QuickStart или пакет безопасности), чтобы помочь вам разобраться.

...