Object Tagging¶

对象和列的标签配额¶

每个标签的字符串值最长可为 256 个字符，并可以为标签指定 允许的值。

以下说明适用于表和视图以外的所有对象：

Snowflake 允许在单个对象上设置最多 50 个 唯一 标签。在 CREATE <object> 或 ALTER <object> 语句中，可以在一条语句中指定的标签数量上限是 100 个。

对于表和视图（包括这些表和视图中的列），唯一标签的数量上限略有不同。

指定标签值¶

ALLOWED_VALUES 标签属性允许指定在 对象 上设置标签时，可分配给标签的可能字符串值。单个标签的最大可能字符串值数量为 300 个。

在创建标签或将标签替换为 CREATE TAG 语句时，或在修改现有标签键时， ALTER TAG 可以指定这些值。请注意， ALTER TAG 语句支持为标签添加允许的值 并 删除现有值。

若要确定标签允许的值列表，请调用 GET_DDL 函数或 SYSTEM$GET_TAG_ALLOWED_VALUES 函数。

例如：

创建一个名为 'finance' 的标签，该标签仅允许两个值，即 'engineering' 和 cost_center ：

create tag cost_center
    allowed_values 'finance', 'engineering';

Copy

验证允许的值：

select get_ddl('tag', 'cost_center')

+------------------------------------------------------------------------------+
| GET_DDL('tag', 'cost_center')                                                |
|------------------------------------------------------------------------------|
| create or replace tag cost_center allowed_values = 'finance', 'engineering'; |
+------------------------------------------------------------------------------+

Copy

修改名为 cost_center 的标签，将 'marketing' 添加为允许的字符串值：

alter tag cost_center
    add allowed_values 'marketing';

Copy

修改名为 cost_center 的标签，以将 'engineering' 从允许的字符串中删除：

alter tag cost_center
    drop allowed_values 'engineering';

Copy

若要获取给定标签允许的字符串值列表，请调用 GET_DDL 函数或 SYSTEM$GET_TAG_ALLOWED_VALUES 函数。例如，假设 cost_center 标签存储在名为 governance 的数据中和名为 tags 的架构中。

select system$get_tag_allowed_values('governance.tags.cost_center');

+--------------------------------------------------------------+
| SYSTEM$GET_TAG_ALLOWED_VALUES('GOVERNANCE.TAGS.COST_CENTER') |
|--------------------------------------------------------------|
| ["finance","marketing"]                                      |
+--------------------------------------------------------------+

Copy

标签沿袭¶

标签基于 Snowflake 安全对象层次结构继承。Snowflake 建议，在定义标签键时尽可能贴近 Snowflake 环境中的 安全对象 层次结构。

标签继承意味着，如果将标签应用于表，则此标签也会应用于该表中的列。这种行为方式称为标签沿袭。

给定对象上继承的标签可以覆盖。例如，如果某个表列继承了名为 cost_center 的标签，其字符串值为 sales，则可以使用更具体的标签字符串值（如 sales_na）更新该标签，以指定北美销售成本中心。此外，还可以为表列应用新标签。使用 ALTER TABLE ...ALTER COLUMN 语句更新列上的标签字符串值，并在列上设置一个或多个额外的标签。

定义标签键并将标签分配给 Snowflake 对象后，使用指定的表函数监控标签、标签引用和标签沿袭，或是查询视图，如 使用 SQL 监控标签 （本主题内容）所示。

优势¶

使用方便:

只需定义一次标签，即可按需将其应用于任意多个不同的对象。

标签沿袭:

由于标签是继承的，因此将标签应用于安全对象层次结构中较高级别的对象时，此标签会应用于所有子对象。例如，如果在一个表上设置了标签，则该表中的所有列都会继承该标签。

通过复制实现一致的分配:

功能支持的区域

此功能在中华人民共和国不可用。

Snowflake 会将主数据库中的标签及其分配情况复制到辅助数据库。

有关更多信息，请参阅 复制 （本主题内容）。

敏感数据跟踪和资源使用情况:

标签可简化敏感数据（例如 PII、密钥）的识别，并且能够提高 Snowflake 资源使用情况的可见性。借助位于同一系统中的数据和元数据，分析师可以根据标签定义（例如 cost_center、department）快速确定哪些资源消耗的 Snowflake credit最多。

集中管理或分散管理:

标签支持不同的管理方法，以促进遵守内部和外部监管要求。

在集中方法中， tag_admin 自定义角色会创建标签，并将其应用于 Snowflake 对象。

在分散方法中，各团队将标签应用于 Snowflake 对象， tag_admin 自定义角色创建标签以确保标签命名的一致性。

注意事项¶

未来授权:

不支持对标签进行 未来授权。

为解决此问题，请将 APPLY TAG 权限授予自定义角色，以允许该角色将标签应用于另一个对象。

Snowflake Native App:

当版本化架构中存在标签时，创建设置脚本时要小心。有关详细信息，请参阅 版本架构注意事项。

受支持对象¶

下表基于 Snowflake 安全对象层次结构，列出了标签支持的对象，包括列在内。

除非下表中另有说明，否则可以使用 CREATE <object> 语句或 ALTER <object> 语句在对象上设置标签。

可以使用 CREATE TABLE、CREATE VIEW、ALTER TABLE ...MODIFY COLUMN 或 ALTER VIEW 语句在列上设置标签。

Object Tagging 和掩码策略¶

有关详细信息，请参阅 基于标签的掩码策略。

请注意，直接分配给列的掩码策略优先于基于标签的掩码策略。

CREATE TABLE 语句¶

使用 CREATE TABLE ...LIKE，分配给源表的标签将会分配给目标表。

动态表¶

您可以使用行访问策略、掩码策略和标签来创建动态表。有关更多信息，请参阅：

• CREATE DYNAMIC TABLE

• 增量刷新的其他限制

复制¶

标签及其分配可以从源账户复制到目标账户。

从源账户进行初始复制后，无法在目标账户中修改标签分配。例如，不允许在辅助（即复制的）数据库上设置标签。要在目标账户中修改标签分配，请在源账户中修改这些分配，然后将它们复制到目标账户。

对于 数据库复制，如果满足以下任一条件，则复制操作会失败：

• 主数据库位于 Enterprise（或更高版本）的账户中，包含标签在内，但批准复制的一个或多个账户的版本较低。

• 主数据库中包含的对象可对其他数据库中的标签进行 悬空引用。

若要避免出现悬空引用错误，请使用 复制或故障转移组 来复制数据库和账户级对象。确保复制组包括：

• 在 ALLOWED_DATABASES 属性中包含标签的数据库。

• 在 OBJECT_TYPES 属性中具有标签的其他账户级对象，例如 ROLES、WAREHOUSES。

  有关详细信息，请参阅 CREATE REPLICATION GROUP 和 CREATE FAILOVER GROUP。

克隆¶

• 源对象（例如表）中的标签关联保存在克隆的对象中。

• 对于数据库或架构：

  也会克隆存储在该数据库或架构中的标签。

  克隆数据库或架构时，也会克隆保留在该架构或数据库中的标签。

  如果表或视图存在于源架构/数据库中，并且引用了同一架构或数据库中的标签，则克隆的表或视图将映射到相应的克隆标签（在目标架构/数据库中），而不是源架构或数据库中的标签。

数据共享¶

• 在共享视图和标签存在于不同数据库中时，将对于包含标签的数据库的 REFERENCE_USAGE 权限授予共享。有关详细信息，请参阅 共享来自多个数据库的数据。

• 在数据共享使用者账户中：

  • 执行 SHOW TAGS 返回共享标签，前提是执行 SHOW TAGS 命令的角色具有包含共享标签的架构的 USAGE 权限。

    如果提供商将标签的 READ 权限授予共享或共享数据库角色，则使用者可以查看共享标签的标签分配。有关详细信息，请参阅 共享标签参考。

  • 如果将来自数据共享提供商账户的标签分配给共享表，则数据共享使用者无法调用 SYSTEM$GET_TAG 函数或 TAG_REFERENCES Information Schema 表函数来查看标签分配。

发现标签¶

Snowflake 支持通过以下选项来列出标签，并确定给定标签键的标签字符串值。

• 确定账户中的标签：

  在共享 SNOWFLAKE 数据库的 Account Usage 架构中使用 TAGS 视图。此视图可视为 Snowflake 账户中所有标签的 目录，提供有关当前和已删除标签的信息。例如：

  SELECT * FROM SNOWFLAKE.ACCOUNT_USAGE.TAGS
  ORDER BY TAG_NAME;
  

  Copy

• 确定给定标签的值：

  使用 SYSTEM$GET_TAG 系统函数，返回分配给指定标签的标签值以及 Snowflake 对象或列。

  SELECT SYSTEM$GET_TAG('cost_center', 'my_table', 'table');
  

  Copy

确定分配¶

Snowflake 支持不同的选项来确定标签分配，具体取决于查询需要针对的是账户还是特定数据库，以及是否需要标签沿袭。

• 具有沿袭的账户级别查询：

  使用 Account Usage 表函数 TAG_REFERENCES_WITH_LINEAGE，确定具有给定标签键和标签值并且也包括标签沿袭的所有对象：

  SELECT *
  FROM TABLE(
    snowflake.account_usage.tag_references_with_lineage(
      'my_db.my_schema.cost_center'
    )
  );
  

  Copy

• 无沿袭的账户级别查询：

  使用 Account Usage TAG_REFERENCES 视图，确定具有给定标签键和标签值但 不 包括标签沿袭的所有对象：

  SELECT * FROM snowflake.account_usage.tag_references
  ORDER BY TAG_NAME, DOMAIN, OBJECT_ID;
  

  Copy

• 具有沿袭的数据库级别查询：

  每个 Snowflake 数据库都包含一个 Snowflake Information Schema。使用 Information Schema 表函数 TAG_REFERENCES，确定具有给定标签并且在给定数据库中也包括标签沿袭的所有对象：

  SELECT *
  FROM TABLE(
    my_db.INFORMATION_SCHEMA.TAG_REFERENCES(
      'my_table',
      'table'
    )
  );
  

  Copy

• 对表或视图中每一列上的所有标签进行的数据库级别查询，有沿袭：

  使用 Information Schema 表函数 TAG_REFERENCES_ALL_COLUMNS，获取在给定表或视图中的每一列上设置的所有标签。

  请注意，TABLE 域 必须 用于包含列的所有对象，即使对象名称是视图（即视图、物化视图）。

  SELECT *
  FROM TABLE(
    INFORMATION_SCHEMA.TAG_REFERENCES_ALL_COLUMNS(
      'my_table',
      'table'
    )
  );
  

  Copy

访问 Snowsight 中的治理区域¶

要访问 Governance 区域，Snowflake 账户必须是 Enterprise Edition 或更高版本。此外，您必须执行以下任一操作：

• 使用 ACCOUNTADMIN 角色。

• 使用已 直接 授予 GOVERNANCE_VIEWER 和 OBJECT_VIEWER 数据库角色的账户角色。

  您 必须 使用获授这些数据库角色的账户角色。目前，Snowsight 不评估角色层次结构和有权访问表、视图、数据访问策略和标签的用户定义数据库角色。

  要确定是否向账户角色授予了这两个数据库角色，请使用 SHOW GRANTS 命令：

  SHOW GRANTS LIKE '%VIEWER%' TO ROLE data_engineer;
  

  Copy

  |-------------------------------+-----------+---------------+-----------------------------+------------+-----------------+--------------+------------|
  | created_on                    | privilege | granted_on    | name                        | granted_to | grantee_name    | grant_option | granted_by |
  |-------------------------------+-----------+---------------+-----------------------------+------------+-----------------+--------------+------------|
  | 2024-01-24 17:12:26.984 +0000 | USAGE     | DATABASE_ROLE | SNOWFLAKE.GOVERNANCE_VIEWER | ROLE       | DATA_ENGINEER   | false        |            |
  | 2024-01-24 17:12:47.967 +0000 | USAGE     | DATABASE_ROLE | SNOWFLAKE.OBJECT_VIEWER     | ROLE       | DATA_ENGINEER   | false        |            |
  |-------------------------------+-----------+---------------+-----------------------------+------------+-----------------+--------------+------------|
  

  
  

  如果您的账户角色未被授予这两个数据库角色或其中之一，请使用 GRANT DATABASE ROLE 命令并再次运行 SHOW GRANTS 命令以确认授予角色：

  USE ROLE ACCOUNTADMIN;
  GRANT DATABASE ROLE SNOWFLAKE.GOVERNANCE_VIEWER TO ROLE data_engineer;
  GRANT DATABASE ROLE SNOWFLAKE.OBJECT_VIEWER TO ROLE data_engineer;
  SHOW GRANTS LIKE '%VIEWER%' TO ROLE data_engineer;
  

  Copy

  有关这些数据库角色的详细信息，请参阅 SNOWFLAKE 数据库角色。

仪表板¶

作为数据管理员，您可以使用 Dashboard 界面通过以下方式监控标签和策略使用情况。

• 覆盖率：根据表、视图或列是否具有策略或标签来指定计数和百分比。

• 流行度：列出并统计最常用的策略和标签。

覆盖范围和流行程度提供了有关数据保护和标记程度的快照。

当您选择计数、百分比、策略名称或标签名称时， Tagged Objects 界面打开。Tagged Objects 界面会根据您在 Dashboard 中的选择自动更新筛选器。

监控信息是在多个 Account Usage 视图上运行复杂且查询密集型操作的替代方案或补充。

这些视图可能包括但不限于 COLUMNS、POLICY_REFERENCES、TABLES、TAG_REFERENCES，以及 VIEWS 视图。

标记对象¶

作为数据管理员，您可以使用此表将 Dashboard 中的覆盖范围和流行程度快速关联到特定表、视图或列的列表。您还可以手动筛选表结果，如下所示。

• 选择 Tables 或者 Columns。

• 对于标签，可以使用标签、不使用标签或按特定标签进行筛选。

• 对于策略，可以使用策略、不使用策略或按特定策略进行筛选。

在表中选择一行时，系统将打开 Data » Databases 中的 Table Details 或 Columns 选项卡。您可以根据需要编辑标签和策略分配。

标签权限¶

Snowflake 支持以下权限，以便确定用户是否可以创建、设置和拥有标签。

请注意，对架构中的对象进行操作还需要对父数据库和架构具有 USAGE 权限。

标签 DDL 参考¶

Snowflake 支持通过以下 DDL 创建和管理标签：

• CREATE TAG

• ALTER TAG

• ALTER <object> （用于在 Snowflake 对象上设置标签）

• SHOW TAGS

• DROP TAG

• UNDROP TAG

请注意，Snowflake 不支持对标签对象进行的 描述 操作。

DDL 命令、操作和权限总结¶

下表总结了标签权限和 DDL 操作之间的关系。

Snowflake 支持在对象上创建和设置标签的不同权限。

1. 对于 tag_admin 自定义角色在 所有 对象/列上创建和设置标签的集中式标签管理方法，需要以下权限：

   use role securityadmin;
   grant create tag on schema <db_name.schema_name> to role tag_admin;
   grant apply tag on account to role tag_admin;
   

   Copy

2. 在混合管理方法中，单个角色具有 CREATE TAG 权限，以确保标签的命名一致，并且各个团队或角色具有特定标签的 APPLY 权限。

   例如，可以向自定义角色 finance_role 授予在角色拥有的表和视图上设置标签 cost_center 的权限（即该角色具有表或视图的 OWNERSHIP 权限）：

   use role securityadmin;
   grant create tag on schema <db_name.schema_name> to role tag_admin;
   grant apply on tag cost_center to role finance_role;
   

   Copy