Snowflake权限设置咨询：如何让用户仅可授予自身已拥有的角色？

可行性说明 #

完全可以实现该需求。Snowflake支持通过WITH GRANT OPTION参数，让用户获得将已授予自身的角色传递给其他用户的权限，且不会额外赋予CREATE ROLE等角色管理类权限。

具体SQL操作 #

1. 管理员执行授权（需具备管理员权限） #

为User A授予Role A时添加权限传递选项：

GRANT ROLE Role_A TO USER User_A WITH GRANT OPTION;

此操作会让User A在拥有Role A权限的基础上，获得将该角色授予其他用户的能力。

2. User A执行角色授予操作 #

完成上述配置后，User A可直接将Role A授予其他用户（例如User B）：

GRANT ROLE Role_A TO USER User_B;

权限边界说明 #

• User A仅能授予自身拥有且带有GRANT OPTION的Role A，无法创建新角色或操作其他未授权的角色。
• 该配置不会扩展User A原有的CREATE USER权限之外的管理能力，完全匹配需求。

内容的提问来源于stack exchange，提问作者小谷昂平