配置访问控制¶

指定其他用户作为账户管理员¶

默认情况下，每个账户都有一个被指定为账户管理员的用户（即被授予系统定义的 ACCOUNTADMIN 角色的用户）。我们建议至少指定一名其他用户作为账户管理员。这有助于确保您的账户始终拥有至少一名可以执行账户级任务的用户，特别是在您的账户管理员之一无法登录的情况下。

对于这些其他账户管理员，您可以选择创建新用户或指定现有用户，但请确保指定以下内容：

• 向用户授予 ACCOUNTADMIN 角色，但 不要 将此角色设置为默认角色。相反，指定一个较低级别的管理角色（例如 SYSADMIN）或自定义角色作为默认角色。这有助于防止账户管理员无意中使用 ACCOUNTADMIN 角色创建对象。

• 确保为每个用户指定电子邮件地址（多重身份验证所需）。

例如，将 ACCOUNTADMIN 和 SYSADMIN 角色授予名为 user2 的现有用户，并将 SYSADMIN 指定为默认角色：

GRANT ROLE ACCOUNTADMIN, SYSADMIN TO USER user2;

ALTER USER user2 SET EMAIL='user2@domain.com', DEFAULT_ROLE=SYSADMIN;

Copy

为每个账户管理员启用 MFA¶

为了确保您的 Snowflake 账户的最高安全级别，我们 强烈 建议要求任何可以修改或查看敏感数据的用户使用多重身份验证 (MFA) 进行登录。

此建议特别适用于具有 ACCOUNTADMIN 角色的用户，但也可以扩展到包括具有 SECURITYADMIN 和 SYSADMIN 角色的用户。

有关更多详细信息，请参阅 访问控制注意事项 和 MFA（多重身份验证）。

创建角色¶

只有用户管理员（即拥有 USERADMIN 系统角色或更高角色的用户）或对账户拥有 CREATE ROLE 权限的其他角色才能创建角色。

SQL:

1. 使用 CREATE ROLE 语句创建 r1 角色：

   CREATE ROLE r1
      COMMENT = 'This role has all privileges on schema_1';
   

   Copy

Snowsight:

1. 登录 Snowsight。

2. 切换到具有在账户中创建角色的权限的角色。

3. 在导航菜单中选择 Admin » Users & Roles，然后选择 Roles。

4. 选择 + Role。

   随即出现 New Role 对话框。

5. 对于 Name，请输入角色名称。例如 r1。

6. 对于 Grant to role，可选择将新角色授予现有角色，并继承现有角色的权限。

7. 可选择添加注释。

8. 选择 Create Role。

向角色授予权限¶

您可以使用 SECURITYADMIN 角色将对象权限授予角色。有关其他选项，请参阅 GRANT <privileges>。

SQL:

1. 授予 r1 角色本节前面的表中定义的权限。

   GRANT USAGE
     ON WAREHOUSE w1
     TO ROLE r1;
   
   GRANT USAGE
     ON DATABASE d1
     TO ROLE r1;
   
   GRANT USAGE
     ON SCHEMA d1.s1
     TO ROLE r1;
   
   GRANT SELECT
     ON TABLE d1.s1.t1
     TO ROLE r1;
   

   Copy

Snowsight:

1. 登录 Snowsight。

2. 选择 Data » Databases。

3. 针对特定数据库和架构，选择要向其授予权限的数据库对象。例如，名为 d1 的数据库。

4. 在 Object Details 中，找到 Privileges 部分。

5. 选择 + Privilege。

6. 选择要向其授予权限的角色。例如 r1。

7. 选择要授予角色的权限。例如 USAGE。

8. 如果希望角色能够将权限授予其他角色，请选中 Grant option 对应的复选框。

9. 选择 Grant Privileges。

对于此示例，重复上述步骤对架构 s1 授予 USAGE 权限、对表 t1 授予 SELECT 权限。

要授予对仓库 w1 的 USAGE 权限，请完成以下步骤：

1. 登录 Snowsight。

2. 选择 Admin » Warehouses。

3. 找到并选择要向其授予权限的仓库。例如 w1。

4. 在 Privileges 部分中，选择 + Privilege。

5. 选择要向其授予权限的角色。例如 r1。

6. 对于 Privileges，请选择要授予的权限。例如 USAGE。

7. 如果希望角色能够将权限授予其他角色，请选中 Grant option 对应的复选框。

8. 选择 Grant Privileges。

将角色授予用户¶

您可以使用 SECURITYADMIN 角色向用户授予角色。有关其他选项，请参阅 GRANT ROLE。

SQL:

1. 使用 GRANT ROLE 语句将 r1 角色分配给用户 smith：

   GRANT ROLE r1
      TO USER smith;
   

   Copy

2. （可选）将新的自定义角色设置为用户的默认角色。下次用户登录 Snowflake 时，默认角色将在会话中自动激活。

   只有对用户拥有 OWNERSHIP 权限的角色或更高级别的角色才能执行此命令。

   以下命令为用户 smith 设置默认角色：

   ALTER USER smith
      SET DEFAULT_ROLE = r1;
   

   Copy

Snowsight:

1. 登录 Snowsight。

2. 切换到有权向账户中的角色授予权限的角色。

3. 在导航菜单中选择 Admin » Users & Roles，然后选择 Roles。

4. 选择 Table，找到并选择您创建的角色。

5. 在 0 users have been granted R1 部分中，选择 Grant to User。

6. 对于 User to receive grant，请选择要向其授予角色的用户。例如 smith。

7. 选择 Grant。

授予角色全局权限¶

您也可以向角色授予全局权限。有关可授予角色的全局权限列表，请参阅 访问控制权限。

SQL:

使用 GRANT PRIVILEGE 命令。有关详细信息，请参阅 权限管理。

Snowsight:

1. 登录 Snowsight。

2. 切换到有权向账户中的角色授予权限的角色。

3. 在导航菜单中选择 Admin » Users & Roles，然后选择 Roles。

4. 选择 Table，找到并选择您创建的角色。

5. 在角色详细信息页面中，选择 » Manage global privileges。

6. 对于 Global privilege to grant，请选择要授予角色的权限。

7. 如果希望角色能够将权限授予其他角色，请选中 Grant option 对应的复选框。

8. 选择 Update Privileges。

将一个角色授予另一个角色¶

将角色分配给角色层次结构中的更高级别角色。在本例中，我们将在 创建自定义角色 （本主题内容）中创建的 r1 角色分配给 SYSADMIN 角色。SYSADMIN 角色继承授予 r1 角色的任何对象权限：

SQL:

GRANT ROLE r1
   TO ROLE sysadmin;

Copy

Snowsight:

1. 登录 Snowsight。

2. 在导航菜单中选择 Admin » Users & Roles，然后选择 Roles。

3. 选择 Table，找到要授予另一个角色的角色。例如 r1。

4. 在 0 roles have been granted R12 部分中，选择 Grant to Role。

5. 对于 Role to receive grant，选择 SYSADMIN。

6. 选择 Grant。

探索 Snowsight 中的角色层次结构¶

Snowsight 包括一个角色图表，显示账户中角色的层次结构。该图表按层次结构的降序排列，通过路径表示从父角色到子角色的继承。在拥有大量角色的账户中，加载图表可能需要一些时间。

要打开角色图表，请执行以下操作：

1. 登录 Snowsight。

2. 在导航菜单中，选择 Admin » Users & Roles。

查看角色图表时，可以选择一个单独的角色或用户，该角色或用户就会成为角色图表的焦点。要进行探索，您可以放大或缩小图表，并在图表中间显示重点角色或用户。

选择一个角色可查看该角色的详细信息，如创建时间、所有者角色、授予该角色的角色数、已授予该角色的角色数、向其授予该角色的用户数，以及管理该角色授予的功能。

查看角色详细信息时，可以选择 ，使图表居中显示所选角色，或打开角色详细信息页面。

注意事项¶

• 当在同一数据库的 同一对象类型 和同一数据库中的架构上定义未来授权时，架构级授权优先于数据库级授权，而数据库级授权被忽略。此行为适用于授予一个角色或不同角色的未来对象的权限。

  例如，以下语句在数据库和架构级别对同一类型的对象授予不同的权限。

  将数据库 d1 中所有未来表的 SELECT 权限授予角色 r1：

  GRANT SELECT ON FUTURE TABLES IN DATABASE d1 TO ROLE r1;
  

  Copy

  将架构 d1.s1 中所有未来表的 INSERT 和 DELETE 权限授予角色 r2。

  GRANT INSERT,DELETE ON FUTURE TABLES IN SCHEMA d1.s1 TO ROLE r2;
  

  Copy

  架构 d1.s1 中对象类型上分配给 r1 角色的未来授权将被完全忽略。在架构 d1.s1 中创建新表时，只授予 r2 角色在表上定义的未来权限。

• 数据库级未来授权适用于常规和 托管访问架构。

定义对数据库或架构对象的未来授权¶

使用带有 ON FUTURE 关键字的 GRANT <privileges> 命令授予对指定类型的未来对象的权限。

撤销对数据库或架构对象的未来授权¶

使用带有 ON FUTURE 关键字的 REVOKE <privileges> 命令撤销对未来对象的授权。

对象克隆和未来授权¶

• 克隆数据库或架构时，未来的授权将复制到其克隆中。此行为与常规对象授权保持一致；也就是说，对源对象（即数据库）的权限授予不会复制到其克隆，但对所有子对象（即数据库中的表）的权限授予将复制到克隆。

• 克隆架构中的对象时，除非在克隆操作的 CREATE <object> 语句中指定了 COPY GRANTS 选项，否则在架构中为此对象类型定义的任何未来授权都将应用于克隆的对象。在这种情况下，新对象将保留原始对象的访问权限，并且 不会 继承该类型对象的任何未来授权。

使用 Classic Console 管理未来授予¶

您还可以使用 Classic Console 定义未来授权：

对未来数据库对象的授权:

1. 选择 Databases 。

2. 选择特定数据库所在的行。安全面板打开。

3. 选择 Grant Privileges。Grant Privileges 对话框随即打开。

4. 从 Grant privileges on 下拉列表中，选择 future object_type 以定义特定对象类型的新对象的未来权限。

5. 从剩余的下拉列表中，选择您要授予指定类型的新对象的权限，以及将授予权限的角色。

6. 选择 Grant Privileges。

对未来架构对象的授权:

1. 选择 Databases » <db_name> » Schemas。

2. 选择特定架构所在的行。安全面板打开。

3. 选择 Grant Privileges。Grant Privileges 对话框随即打开。

4. 从 Grant privileges on 下拉列表中，选择 future object_type 以定义特定对象类型的新对象的未来权限。

5. 从剩余的下拉列表中，选择您要授予指定类型的新对象的权限，以及将向其授予权限的角色。

6. 选择 Grant Privileges。

要在 Snowsight 中管理未来授予，请在工作表中运行 SQL 语句。

授予对象权限¶

要向角色授予数据库对象权限，请执行以下操作：

1. 登录 Snowsight。

2. 选择 Data » Databases。

3. 针对特定数据库和架构，选择要向其授予权限的数据库对象。

4. 在 Object Details 中，找到 Privileges 部分。

5. 选择 + Privilege。

6. 选择要向其授予权限的角色。

7. 选择要授予角色的权限。

8. 如果希望角色能够将权限授予其他角色，请选择 Grant option。

9. 对要授予角色的每个对象权限重复上述步骤。

10. 选择 Grant Privileges。

撤销对象的权限¶

要撤销角色的数据库对象权限，请执行以下操作：

1. 登录 Snowsight。

2. 选择 Data » Databases。

3. 对于特定数据库和架构，请选择要撤销其权限的数据库对象。

4. 在 Object Details 中，找到 Privileges 部分。

5. 对于列出的特定角色，请选择 Edit Role 铅笔图标，当您将鼠标悬停在该行上时，该图标就会出现。

6. 在出现的对话框中，选择 x 以撤销特定角色的权限。

7. 选择 Update Privileges。

确定授予角色的权限¶

要显示对特定角色授予的权限，可以运行 SHOW GRANTS 命令或在 Snowsight 中执行以下操作：

1. 登录 Snowsight。

2. 选择 Admin » Users & Roles » Roles。

3. 选择 Table，找到要查看所授予权限的角色。

4. 选择要查看所授予权限的角色，以查看详细信息。

5. 查看该角色的 Privileges 部分。