升级Pulumi Snowflake至GrantPrivilegesToAccountRole遇参数配置错误

问题排查与解决步骤 #

• 校验Stage全名格式
  Snowflake要求Stage的全名必须是DATABASE.SCHEMA.STAGE_NAME格式，而stage.fully_qualified_name可能返回带引号或格式不符的字符串。先导出该值确认：

  pulumi.export("stage_full_name", stage.fully_qualified_name)
  

  执行pulumi preview查看输出，若格式错误，手动拼接正确名称：

  object_name = f"{stage.database_name}.{stage.schema_name}.{stage.name}"
  

• 确认对象类型大小写
  Snowflake对object_type的大小写敏感，必须严格使用大写的STAGE，检查代码中是否存在拼写或大小写错误。

• 验证权限合法性
  Stage支持的权限仅包括USAGE、READ、WRITE，确保privileges数组中没有包含Stage不支持的权限类型。

• 修复依赖解析问题
  即便设置了depends_on=[stage]，Pulumi的依赖解析仍可能存在延迟。改用apply()方法延迟获取Stage名称，确保Stage资源已创建完成：

  stage_grant = pulumi_snowflake.GrantPrivilegesToAccountRole(
      resource_name="account-admin-grant-account-role",
      account_role_name=role,
      on_schema_object=stage.name.apply(lambda name: {
          "object_name": f"{stage.database_name}.{stage.schema_name}.{name}",
          "object_type": "STAGE",
      }),
      privileges=["USAGE"],
      opts=pulumi.ResourceOptions(parent=self),
  )
  

• 查看底层SQL语句
  启用调试日志查看生成的Snowflake SQL，直接定位语法错误：

  pulumi preview --logtostderr -v=9 2>&1 | grep "GRANT"
  

  将生成的SQL在Snowflake控制台执行，获取具体错误提示（如数据库/ Schema不存在、角色权限不足等）。

• 匹配Provider版本
  不同版本的pulumi-snowflake Provider可能存在参数差异，确保使用的版本与官方文档匹配，尝试升级到最新稳定版：

  pulumi plugin rm resource snowflake
  pulumi plugin install resource snowflake <latest-version>
  

内容的提问来源于stack exchange，提问作者Kopurlso