Snowflake中READ_ROLE未显式授权却能访问SAMPLE_DB的原因及排查方法

导致READ_ROLE能访问SAMPLE_DB的可能原因 #

• PUBLIC角色权限继承：Snowflake中所有用户默认关联PUBLIC角色，若SAMPLE_DB被授予了PUBLIC角色的访问权限（如USAGE），那么READ_ROLE作为用户启用的角色，会继承PUBLIC的权限，即使READ_ROLE本身没有显式权限。
• 对象所有权权限：如果READ_ROLE是SAMPLE_DB（或其下对象）的所有者，所有者会自动拥有该对象的全部权限，这类权限不会出现在GRANTS_TO_ROLES或show grants的授予记录中。
• Account Usage视图延迟：snowflake.account_usage.GRANTS_TO_ROLES属于延迟同步的视图，数据更新可能滞后1-2小时，若近期刚配置过权限，可能还未同步到该视图中。

查看角色可访问所有对象的方法 #

• 实时查询INFORMATION_SCHEMA权限视图：该视图数据实时更新，可直接查询目标数据库的权限情况：

-- 查询READ_ROLE和PUBLIC在SAMPLE_DB的权限
SELECT *
FROM SAMPLE_DB.INFORMATION_SCHEMA.DATABASE_PRIVILEGES
WHERE GRANTEE IN ('READ_ROLE', 'PUBLIC');

• 查看所有有效权限：切换到READ_ROLE后，使用以下语句查看该角色的全部有效权限：

USE ROLE READ_ROLE;
-- 查看角色的直接授予权限
SHOW GRANTS TO ROLE READ_ROLE;
-- 查看PUBLIC角色的权限（检查继承情况）
SHOW GRANTS TO ROLE PUBLIC;
-- 查看当前角色对特定对象的有效权限
SELECT *
FROM TABLE(INFORMATION_SCHEMA.EFFECTIVE_PRIVILEGES())
WHERE OBJECT_TYPE = 'DATABASE' AND OBJECT_NAME = 'SAMPLE_DB';

• 直接验证对象访问权限：切换角色后尝试访问对象，结合DESCRIBE命令确认权限：

USE ROLE READ_ROLE;
DESCRIBE DATABASE SAMPLE_DB;
-- 尝试查询数据库下的表
SELECT * FROM SAMPLE_DB.PUBLIC.SAMPLE_TABLE LIMIT 10;

内容的提问来源于stack exchange，提问作者curry_b