Snowflake 会话和会话策略¶

Snowflake 会话¶

当用户连接到 Snowflake 并使用 Snowflake 编程客户端、Snowsight 或 Classic Console 成功进行身份验证时，会话开始。会话独立于身份提供商（即 IdP）会话。如果 Snowflake 会话过期但 IdP 会话保持活动状态，用户无需再次输入登录凭据即可登录 Snowflake（即静默身份验证）。

会话随着用户的持续活动而无限期地维持。会话长时间不处于活动状态（空闲会话超时）后，用户必须再次向 Snowflake 进行身份验证。空闲会话超时的最大值为四小时，会话策略可以修改空闲会话超时时间。空闲会话超时适用于以下情况：

• Classic Console。

• Snowsight。

• SnowSQL（CLI 客户端）。

• 支持的 连接器和驱动程序。

• 使用支持的连接器或驱动程序连接到 Snowflake 的第三方客户端。

Snowflake 建议尽可能重用现有会话，并在不再需要会话时关闭与 Snowflake 的连接。

会话策略¶

会话策略定义了 空闲 会话超时时间（以分钟为单位），并提供替换默认空闲超时值 4 小时的选项。

可以为账户或用户设置会话策略，并具有可配置的空闲超时时间，以满足合规性要求。如果用户同时与账户和用户级会话策略关联，则用户级会话策略优先。在账户或用户上设置会话策略后，Snowflake 会强制执行会话策略。

有两个属性治理会话策略行为：

• SESSION_IDLE_TIMEOUT_MINS 适用于程序化客户端和 Snowflake 客户端。

• SESSION_UI_IDLE_TIMEOUT_MINS 适用于 Classic Console 和 Snowsight。

超时时间从成功对 Snowflake 进行身份验证开始。如果未设置会话策略，Snowflake 将使用默认值 240 分钟（即 4 小时）。会话策略的最小可配置空闲超时值为 5 分钟。当会话过期时，用户必须再次向 Snowflake 进行身份验证。但是，Snowflake 不强制执行 自定义注销端点 的任何设置。

有关更多信息，请参阅 管理会话策略。

实施会话策略¶

以下步骤是实施会话策略的代表性指南。

这些步骤假设采用集中管理方法，其中名为 policy_admin 的自定义角色拥有会话策略（即具有会话策略的 OWNERSHIP 权限），并负责在账户或用户上设置会话策略（即具有 APPLY SESSION POLICY on ACCOUNT 权限或 APPLY SESSION POLICY ON USER 权限）。

请按照以下步骤实施会话策略。

USE ROLE USERADMIN;

CREATE ROLE policy_admin;

USE ROLE SECURITYADMIN;

GRANT USAGE ON DATABASE mydb TO ROLE policy_admin;

GRANT USAGE, CREATE SESSION POLICY ON SCHEMA mydb.policies TO ROLE policy_admin;

GRANT APPLY SESSION POLICY ON ACCOUNT TO ROLE policy_admin;

USE ROLE POLICY_ADMIN;

CREATE SESSION POLICY mydb.policies.session_policy_prod_1
  SESSION_IDLE_TIMEOUT_MINS = 60
  SESSION_UI_IDLE_TIMEOUT_MINS = 60
  COMMENT = 'Session policy for the prod_1 environment'
;

USE ROLE policy_admin;

ALTER ACCOUNT SET SESSION POLICY mydb.policies.session_policy_prod_1;

ALTER USER jsmith SET SESSION POLICY my_database.my_schema.session_policy_prod_1_jsmith;

管理会话策略¶

会话策略 DDL 参考¶

Snowflake 提供以下 DDL 命令来管理会话策略对象：

• CREATE SESSION POLICY

• ALTER SESSION POLICY

• DROP SESSION POLICY

• SHOW SESSION POLICIES

• DESCRIBE SESSION POLICY

要设置或取消设置账户的会话策略，请执行 ALTER ACCOUNT 命令，如下所示。

ALTER ACCOUNT SET SESSION POLICY mydb.policies.session_policy_prod_1;

Copy

ALTER ACCOUNT UNSET SESSION POLICY;

Copy

要设置或取消设置用户级别会话策略，请执行 ALTER USER 命令，如下所示。

ALTER USER jsmith SET SESSION POLICY mydb.policies.session_policy_prod_1_jsmith;

Copy

ALTER USER jsmith UNSET SESSION POLICY;

Copy

会话策略故障排除¶

• 如果将会话策略分配给账户或用户，并且将包含该会话策略的数据库或架构删除，然后将新的会话策略分配给该账户或用户，则该用户将不会被保留到新会话策略中的空闲会话超时值。

  解决方法是使用 ALTER ACCOUNT 命令从账户取消设置原始会话策略，或使用 ALTER USER 命令从用户取消设置原始会话策略，如 本主题内容 所示。

• 下表总结了会话策略可能出现的一些错误消息。

  行为	错误消息	故障排除操作
  无法创建会话策略。	无法执行 CREATE SESSION POLICY。该会话没有当前数据库。调用“USE DATABASE”，或使用限定名称。	在执行 CREATE SESSION POLICY 之前指定数据库，或在 CREATE SESSION POLICY 语句中使用完全限定的对象名称。
  无法创建会话策略。	SQL 访问控制错误：没有足够的权限来操作架构“<schema_name>”	验证执行 CREATE SESSION POLICY 语句的角色是否具有针对 SCHEMA 的 CREATE SESSION POLICY 权限。
  无法创建会话策略。	SQL 编译错误：数据库“<database_name>”不存在或未授权。	验证数据库是否存在，以及执行 CREATE SESSION POLICY 语句的角色对会话策略应存在的架构具有 USAGE 权限。
  无法执行描述语句。	SQL 编译错误：架构“<schema_name>”不存在或未授权。	验证执行 DESC SESSION POLICY 语句的角色是否具有会话策略的 OWNERSHIP 权限 或 会话策略的 APPLY 权限。
  无法弃用会话策略。	SQL 编译错误：会话策略“<policy_name>”不存在或未授权。	验证执行 DROP SESSION POLICY 语句的角色是否具有会话策略的 OWNERSHIP 权限。
  无法弃用会话策略。	会话策略 <policy_name> 无法弃用，因为它已附加到账户。	使用 ALTER ACCOUNT 语句从账户取消设置会话策略，然后再次尝试弃用语句。
  无法在账户上设置会话策略。	会话策略“<policy_name>”已附加到账户 <account_name>。	一个账户只能有一个处于活动状态的会话策略。确定应为账户设置哪个会话策略。. 如有必要，请使用 ALTER ACCOUNT 从账户取消设置当前会话策略；然后使用另一个 ALTER ACCOUNT 命令在该账户上设置其他会话策略。
  无法设置超时值。	SQL 编译错误：属性“session_idle_timeout_mins”的值“<integer>”无效	会话超时值（以分钟为单位）必须是 5 到 240 之间的整数，包含两者。. 为会话超时选择一个有效的整数，然后再次执行 CREATE 或 ALTER SESSION POLICY 语句。
  无法更新现有会话策略。	SQL 编译错误：会话策略“<policy_name>”不存在或未授权。	验证会话策略的名称、 ALTER SESSION POLICY 命令的语法以及对会话策略、数据库和架构进行操作的权限。