Snowflake Data Clean Rooms：管理员任务¶

管理 Clean Room 用户¶

使用应用程序角色管理对 UI 和 API 的访问权限。不同的角色授予对 API 和 UI 的访问权限。

还必须为用户分配默认仓库并授予其使用权限。

USE ROLE ACCOUNTADMIN;
CREATE ROLE dcr_access;

-- Choose your privileges:
GRANT APPLICATION ROLE SAMOOHA_BY_SNOWFLAKE.MANAGE_CLEANROOMS TO ROLE dcr_access;
GRANT APPLICATION ROLE SAMOOHA_BY_SNOWFLAKE.MANAGE_DCR_COLLABORATORS TO ROLE dcr_access;
GRANT APPLICATION ROLE SAMOOHA_BY_SNOWFLAKE.MANAGE_DCR_PROFILE_AND_FEATURES TO ROLE dcr_access;
GRANT APPLICATION ROLE SAMOOHA_BY_SNOWFLAKE.MANAGE_DCR_CONNECTORS TO ROLE dcr_access;

GRANT USAGE ON WAREHOUSE <your_warehouse> TO ROLE dcr_access;
ALTER USER <some_user> SET DEFAULT_WAREHOUSE  =  <your_warehouse>;
GRANT ROLE dcr_access to USER <some_user>;

USE ROLE ACCOUNTADMIN;
GRANT ROLE SAMOOHA_APP_ROLE TO USER <user_name>;

USE ROLE ACCOUNTADMIN;
REVOKE ROLE SAMOOHA_APP_ROLE FROM USER <user_name>;

SHOW GRANTS OF ROLE <run_role_name>;

管理 Clean Room 协作者¶

协作者 是指被 Clean Room 创建者邀请联接 Clean Room 的用户。

使用 Clean Room UI 时，创建者可以邀请列表中的协作者。此列表由具有 MANAGE_DCR_COLLABORATORS 角色的人员管理。

Clean Room API 用户不受预定义列表的限制，可以通过 Snowflake 账户定位器添加任何 Clean Room 协作者。

如果 Snowflake 协作者的账户所在区域与您的 Snowflake 账户不同，则您的账户管理员必须先 启用 Cross-Cloud Auto-Fulfillment，然后您才能将其添加为协作者。

如果您想邀请没有 Snowflake 账户的协作者，则必须先为他们 创建一个 Clean Room 管理的账户。

添加仓库选项¶

任何具有 SAMOOHA_APP_ROLE 角色使用和操作权限的仓库都可以用于运行分析。要添加可以被 Clean Room 用户用于执行分析的仓库，请创建一个仓库，然后将其权限授予 SAMOOHA_APP_ROLE。

例如，要添加一个可以用于运行分析的仓库 my_big_warehouse，请通过工作表执行以下命令：

USE ROLE ACCOUNTADMIN;

CREATE WAREHOUSE my_big_warehouse WITH WAREHOUSE_SIZE = X5LARGE;
GRANT USAGE, OPERATE ON WAREHOUSE my_big_warehouse TO ROLE SAMOOHA_APP_ROLE;

监控 Web 应用程序活动¶

管理员可以监控 Snowflake 账户中的查询历史记录，以跟踪用户在 Web 应用程序中执行的操作。您可以识别与 Web 应用程序中的活动对应的查询历史记录条目，因为 user_name 的值是 配置 Snowflake 账户 时创建的服务用户的名称。

您可以使用 user_email 查询标签来识别哪个 Clean Room 用户执行了操作。

要访问 Clean Room 环境的查询历史记录，请根据是要使用 SQL 还是 Snowsight 来执行以下过程之一：

Snowsight:

1. 以具有 ACCOUNTADMIN 角色的用户身份登录与您的 Clean Room 环境关联的 Snowflake 账户。

2. 选择 Monitoring » Query History。

3. 使用 User 筛选器选择与 Clean Room 环境关联的服务账户用户。

SQL:

• 对共享的 SNOWFLAKE 数据库的 ACCOUNT_USAGE 架构中的 QUERY_HISTORY 视图 执行查询。

  例如，如果要跟踪用户 joe@example.com 的 Web 应用程序活动，请执行以下代码：

  SELECT *,
    TRY_PARSE_JSON(query_tag) AS query_tag_details
    FROM snowflake.account_usage.query_history
    WHERE query_tag_details IS NOT NULL
      AND query_tag_details:request_type = 'DCR'
      AND query_tag_details:user_email = 'joe@example.com';
  

  Copy

监控由提供商运行的分析¶

提供者运行的分析是指提供者创建并共享 Clean Room 的过程，在使用者链接他们的数据后，在 Clean Room 中进行分析。这些分析在使用者的账户中运行，而不是在提供者的账户中。本节描述了使用者如何在 Clean Room 中跟踪由提供者分析执行的查询。

Snowflake Data Clean Rooms 为每个执行的查询分配一个查询标签，以进行提供者运行的分析。该查询标签的形式为 cleanroom_UUID_provider_account_locator。消费者可以通过在其账户的查询历史中搜索查询标签，检索与提供商运行的分析相关的所有查询。

要检索查询，首先获取 Clean Room 的 UUID，然后搜索查询标签。在以下代码中，将 cleanroom_name 和 provider_account_locator 替换为适当的值。

-- Retrieve clean room UUID
SELECT cleanroom_id FROM samooha_by_snowflake_local_db.public.cleanroom_record
  WHERE cleanroom_name = '<cleanroom_name>';

-- Retrieve queries with provider-run query tag
SELECT * FROM snowflake.account_usage.query_history
  WHERE query_tag = cleanroom_id || '<provider_account_locator>;

您还可以使用 Snowsight，在使用 SQL 检索 Clean Room UUID 后，通过适当的查询标签过滤查询历史。

自定义可用连接器¶

您可以使用连接器将 Clean Room 环境与生态系统合作伙伴集成到一起。作为提供商的 Clean Room 管理员，您可以自定义 Clean Room 环境，以限制哪些连接器作为 Clean Room 用户的选项出现。例如，如果您有一个首选的激活合作伙伴，您可以配置 Clean Room 环境，使得当使用者在 Clean Room 中激活分析结果时，该合作伙伴是唯一的选择。

要在 Clean Room 中控制可用的连接器，您需要 MANAGE_DCR_CONNECTORS 角色。

1. 登录 Web 应用程序。

2. 在左侧导航栏中，选择 Admin » Profile & Features。

3. 可选：要自定义激活连接器，请执行以下步骤：

   1. 在 Activation 磁贴中，选择 Edit。

   2. 选择您想要显示的激活选项，然后选择 Save。

4. 可选：要自定义身份和数据提供程序连接器，请按照以下步骤操作：

   1. 在 Identity & Data Provider 磁贴中，选择 Edit。

   2. 选择您想要显示的身份选项，然后选择 Save。

给 Clean Room 标明品牌¶

您可以为 Clean Room 环境配置简介，以便创建的每个 Clean Room 都带有您的徽标和公司名称。要为您的公司定义徽标和名称，您需要 MANAGE_DCR_PROFILE_AND_FEATURES 角色。

1. 登录 Web 应用程序。

2. 在左侧导航栏中，选择 Admin » Profile & Features。

3. 在 Company profile 部分中，执行以下操作：

   1. 上传公司的徽标，格式为 JPG 或 PNG。这个标志将出现在创建的每个 Clean Room 上。

   2. 编辑 Company Name，定义您希望在环境中创建的 Clean Room 上显示的名称。

启用单点登录 (SSO)¶

要使用 Snowflake 身份验证启用单点登录 (SSO)，请联系 Snowflake 支持部门。

允许密钥对身份验证¶

Clean Room 环境用于与 Snowflake 账户通信的服务账户用户使用 密钥对身份验证 进行身份验证。如果 Snowflake 账户使用 身份验证策略 来控制用户的身份验证方式，则控制服务账户用户的身份验证策略必须允许密钥对身份验证。

要允许密钥对身份验证，请移除所有身份验证策略，或者通过 AUTHENTICATION_METHODS = ALL 或 AUTHENTICATION_METHODS = KEYPAIR 添加身份验证策略。如果 Snowflake 账户具有不允许密钥对身份验证的账户级身份验证策略，则需要创建具有相应参数的新身份验证策略，然后将该策略分配给在安装过程中创建的服务账户用户。

您可以通过运行以下命令来检查您的身份验证策略：

SHOW AUTHENTICATION POLICIES;

空结果表表示没有策略，这意味着允许密钥对身份验证。

在 Clean Room UI 中启用或禁用激活¶

使用 Clean Room UI 时的激活由 Clean Room 管理员全局控制。Clean Room API 中的激活由提供商在 Clean Room 级别上控制。

本节介绍如何在使用 Clean Room UI 时启用或禁用激活。要了解如何在使用 API 时启用激活，请阅读 激活说明。

使用 Clean Room UI 时，您的 Clean Room 账户中默认启用提供商和使用者激活。第三方激活必须手动启用。

以下是为账户中的 UI 用户启用或禁用激活的方法：

1. 以 DCR 管理员身份 登录到 Web 应用程序中的 Data Room 环境。

2. 选择 Admin » Profile & Features。

3. 在 Activation 部分中，选择 Edit。

   • 要管理 使用者激活，请执行以下操作：选中或清除 Collaborator Account 旁的复选框。

   • 要管理 提供商激活，请执行以下操作：选中或清除您自己的账户名称旁的复选框。

   • 要管理 第三方激活，请执行以下操作：选中或清除要启用或禁用的第三方激活目标旁的复选框。第三方激活可通过连接器启用，并且仅在 Clean Room UI 中可用。请参阅可用的第三方连接器列表。

Learn how to implement activation in a clean room.

配置网络策略¶

如果 Snowflake 账户使用 网络策略 来控制网络流量，您必须明确允许来自 Web 应用程序与 Snowflake 账户通信时所用 IP 地址的流量。

在下表中找到您的云提供商账户区域，并配置您的账户网络策略以允许在该行中列出所有 IP 地址：

查看此环境的服务账户的详细信息¶

Web 应用程序使用服务账户与 Snowflake 进行通信。此服务账户是由账户管理员在为此账户安装 Clean Room 环境时创建的。

您不能修改有关服务账户用户的详细信息。

要查看有关此 Clean Room 环境的服务账户的详细信息，您需要 MANAGE_DCR_PROFILE_AND_FEATURES 角色。

1. /INCLUDE/cleanrooms/text/text-sign-in-page.txt

2. 导航到 Admin > Snowflake Admin。

3. 在 Snowflake Admin 页面中您可以看到服务用户名和服务用户电子邮件等信息。