拥有Schema所有权的开发者角色无法撤销动态表创建权限问题

问题背景 #

给开发者授予dev.foo Schema的所有权权限，允许他们创建视图/表做开发工作，但发现他们能创建dynamic table、tasks这类会额外增加成本的对象。执行撤销语句后仍无效：

revoke create dynamic table on schema dev.foo from role developer_role;

根本原因是Snowflake中Schema的所有权权限优先级远高于单独的对象创建权限——Schema所有者默认拥有该Schema下所有对象的创建权限，单独撤销某类对象的权限不会生效。

解决方案 #

方案1：拆分权限，不直接授予Schema所有权（推荐）

放弃直接给developer_role授予Schema所有权，转而授予精细的必要权限：

-- 先收回原所有权
revoke ownership on schema dev.foo from role developer_role;

-- 授予基础使用权限
grant usage on schema dev.foo to role developer_role;
-- 授予创建表、视图的权限
grant create table on schema dev.foo to role developer_role;
grant create view on schema dev.foo to role developer_role;

这样开发者只能创建开发所需的表和视图，无法创建dynamic table、task等高成本对象，从根源避免权限溢出。

方案2：保留所有权时的间接管控（仅用于特殊场景）

如果必须保留开发者的Schema所有权，可通过以下方式间接限制：

• 资源监控：配置Resource Monitor，设定dev.foo Schema下dynamic table、task的执行成本阈值，超出后自动暂停，控制成本风险；
• 角色层级限制：创建一个受限的父角色，仅授予必要的对象创建权限，将developer_role设为该角色的子角色，通过角色继承限制权限范围。

关键注意点 #

• Snowflake的Schema所有权意味着对该Schema的完全控制权，任何单独的REVOKE语句都无法覆盖所有者的默认权限；
• 迁移权限时必须先收回原所有权，再授予拆分后的精细权限，避免权限叠加导致管控失效。

内容的提问来源于stack exchange，提问作者mad_