Snowflake Postgres 角色¶

snowflake_admin 角色¶

snowflake_admin 角色是用于管理 Snowflake Postgres 实例的高权限 Postgres 角色。它 不是 完整的 Postgres 超级用户，部分操作仍受限制并由 Snowflake 管理。但是，它具有提升的权限，包括：

• 创建和管理 Postgres 角色。

• 创建和管理数据库。

• 管理 Snowflake Postgres 实例的复制。

• 绕过行级安全性 (RLS) 策略（如适用）。

此外，snowflake_admin 同时隶属于多个 Postgres 内置角色，这些角色赋予其监控和运维能力，包括：

• pg_signal_backend

• pg_use_reserved_connections

• pg_create_subscription

• pg_read_all_settings

• pg_read_all_stats

• pg_stat_scan_tables

• pg_monitor

• snowflake_admin_group

application 角色¶

application 角色是一个非超级用户角色，默认具有在 postgres 数据库中创建对象的权限。该角色的新权限或所有权应由 snowflake_admin 角色授予。

为 Snowflake Postgres 托管角色重新生成凭据¶

snowflake_admin 和 application 角色的凭据在创建实例时生成，且仅显示一次。您可随时重新生成这些凭据，届时现有凭据将失效。

为其他 Postgres 角色设置密码¶

Snowflake Postgres 实例默认配置为 scram-sha-256 密码身份验证。设置新密码时，服务器会生成并存储 scram-sha-256 哈希值。但若 Postgres 的 log_statement (https://www.postgresql.org/docs/current/runtime-config-logging.html#GUC-LOG-STATEMENT) 参数设置为除 none 以外的任何值，则 CREATE ROLE 和 ALTER ROLE DDL 命令将完整记录至 Postgres 服务器日志。因此，应确保明文密码不会作为这些语句的一部分记录。

BEGIN;
SET LOCAL log_statement = 'none';
CREATE USER mynewrole PASSWORD 'mynewpassword';
COMMIT;

postgres=# CREATE ROLE mynewrole LOGIN;
CREATE ROLE

postgres=# \password mynewrole
Enter new password for user "mynewrole":
Enter it again:

postgres=# CREATE ROLE mynewrole LOGIN;
CREATE ROLE

postgres=# BEGIN;
BEGIN

postgres=# SET LOCAL log_statement = 'none';
SET

postgres=# \password mynewrole
Enter new password for user "mynewrole":
Enter it again:

postgres=# COMMIT;
COMMIT

泄露密码保护¶

Leaked password protection is provided for roles on Snowflake Postgres instances. Discovery and notification work as described in our main 泄露密码保护. When Snowflake discovers a leaked password for one of your Snowflake Postgres roles:

• 该角色已添加到特殊 snowflake_nologin Postgres 组角色中，以防止将来使用它登录。

• 该角色的所有现有连接都将终止。

• 您收到的电子邮件通知的主题为“紧急 – Snowflake Postgres 角色密码重置以防止未经授权的访问”。

Should you receive this email you should immediately securely update the role's password as described above. When regenerating credentials for managed roles they are automatically removed from the snowflake_nologin Postgres role group. For non-managed roles, after updating the role's password they can be removed from the snowflake_nologin group role by running this Postgres with the snowflake_admin role:

REVOKE snowflake_nologin FROM {rolename};