Snowflake Postgres 角色¶

snowflake_admin 角色¶

snowflake_admin 角色是用于管理 Snowflake Postgres 实例的高权限 Postgres 角色。它 不是 完整的 Postgres 超级用户，部分操作仍受限制并由 Snowflake 管理。但是，它具有提升的权限，包括：

• 创建和管理 Postgres 角色。

• 创建和管理数据库。

• 管理 Snowflake Postgres 实例的复制。

• 绕过行级安全性 (RLS) 策略（如适用）。

此外，snowflake_admin 同时隶属于多个 Postgres 内置角色，这些角色赋予其监控和运维能力，包括：

• pg_signal_backend

• pg_use_reserved_connections

• pg_create_subscription

• pg_read_all_settings

• pg_read_all_stats

• pg_stat_scan_tables

• pg_monitor

• snowflake_admin_group

application 角色¶

application 角色是一个非超级用户角色，默认具有在 postgres 数据库中创建对象的权限。该角色的新权限或所有权应由 snowflake_admin 角色授予。

为 Snowflake Postgres 托管角色重新生成凭据¶

snowflake_admin 和 application 角色的凭据在创建实例时生成，且仅显示一次。您可随时重新生成这些凭据，届时现有凭据将失效。

为其他 Postgres 角色设置密码¶

Snowflake Postgres 实例默认配置为 scram-sha-256 密码身份验证。设置新密码时，服务器会生成并存储 scram-sha-256 哈希值；但当 Postgres 的 log_statement (https://www.postgresql.org/docs/current/runtime-config-logging.html#GUC-LOG-STATEMENT) 参数被设置为除 none 之外的任意值时，CREATE ROLE 和 ALTER ROLE DDL 命令将被完整记录到 Postgres 服务器日志中。因此，应确保明文密码不会作为这些语句的一部分记录。

BEGIN;
SET LOCAL log_statement = 'none';
CREATE USER mynewrole PASSWORD 'mynewpassword';
COMMIT;

postgres=# CREATE ROLE mynewrole LOGIN;
CREATE ROLE

postgres=# \password mynewrole
Enter new password for user "mynewrole":
Enter it again:

postgres=# CREATE ROLE mynewrole LOGIN;
CREATE ROLE

postgres=# BEGIN;
BEGIN

postgres=# SET LOCAL log_statement = 'none';
SET

postgres=# \password mynewrole
Enter new password for user "mynewrole":
Enter it again:

postgres=# COMMIT;
COMMIT

泄露密码保护¶

为 Snowflake Postgres 实例上的角色提供密码泄露保护。检测与通知机制遵循主:doc:/user-guide/leaked-password-protection 的描述。当 Snowflake 发现您的某个 Snowflake Postgres 角色的密码泄露时：

• 该角色已添加到特殊 snowflake_nologin Postgres 组角色中，以防止将来使用它登录。

• 该角色的所有现有连接都将终止。

• 您收到的电子邮件通知的主题为“紧急 – Snowflake Postgres 角色密码重置以防止未经授权的访问”。

如果您收到此电子邮件，应立即按照上述说明安全地更新角色的密码。为托管角色重新生成凭据时，它们会自动从 snowflake_nologin Postgres 角色组中移除。对于非托管角色，在更新角色密码后，可以将其从 snowflake_nologin 组角色中移除，方法是使用 snowflake_admin 角色运行此 Postgres SQL：

REVOKE snowflake_nologin FROM {rolename};