Snowflake存储过程调用Secondary Roles报错，求解决跨库查询权限问题

1. 调整存储过程的权限执行模式 #

存储过程默认使用所有者权限（OWNER'S RIGHTS），执行时会以存储过程创建者的角色运行，而非调用者的角色。如果你的Admin是调用者角色，自然无法生效。改成**调用者权限（CALLER'S RIGHTS）**模式，让存储过程使用调用者的角色执行：

CREATE OR REPLACE PROCEDURE xxx()
RETURNS VARCHAR
LANGUAGE PYTHON
RUNTIME_VERSION = '3.10'
PACKAGES = ('snowflake-snowpark-python')
CALLER'S RIGHTS -- 关键：启用调用者权限
HANDLER = 'main'
AS
$$
def main(session: snowpark.Session): 
    session.use_secondary_roles('all')
    # 此处添加跨库查询逻辑
    return "执行成功"
$$;

2. 确保执行角色拥有USE SECONDARY ROLES权限 #

即使是Admin角色，也需要确认是否被授予了该账户级权限：

• 检查权限：

  SHOW GRANTS TO ROLE ADMIN;
  

• 若未授予，执行授权：

  GRANT USE SECONDARY ROLES ON ACCOUNT TO ROLE ADMIN;
  

3. 替换'ALL'为具体二级角色（替代方案） #

使用'ALL'需要对所有二级角色的操作权限，可能触发权限限制。可以直接指定需要的二级角色，缩小权限范围：

def main(session: snowpark.Session): 
    # 替换为实际需要的二级角色列表
    session.use_secondary_roles(['跨库查询所需角色1', '跨库查询所需角色2'])
    # 跨库查询逻辑

4. 验证二级角色的跨库访问权限 #

确保指定的二级角色本身拥有目标库、模式、表的访问权限：

-- 授予库使用权限
GRANT USAGE ON DATABASE 目标数据库名 TO ROLE 二级角色名;
-- 授予模式使用权限
GRANT USAGE ON SCHEMA 目标数据库名.目标模式名 TO ROLE 二级角色名;
-- 授予表查询权限
GRANT SELECT ON TABLE 目标数据库名.目标模式名.目标表名 TO ROLE 二级角色名;

内容的提问来源于stack exchange，提问作者Karolina