DBeaver通过Azure AD SSO连接Redshift结果稀疏数据缺失问题

• AWS Redshift 列级权限（CLP）鉴权逻辑静默变更：约一周前AWS全区域推送了CLP鉴权规则调整，调整前用户持有表级SELECT权限即可访问全表所有列，调整后只要表上存在任意列级权限配置（不管是给哪个角色/用户配置的），所有未对当前登录用户显式授权的列，都会对非超级用户返回NULL而非抛出权限拒绝错误；该逻辑优先适配varchar类型字段，因此表现为大量varchar列空值，超级用户（主账号）不受该规则影响。
• Redshift ODBC驱动版本兼容bug：1.4.50、1.4.51、1.4.52三个版本的官方ODBC驱动存在UTF-8编码解析缺陷，通过IAM/SSO认证建立连接时，长度超过32字节的varchar字段会被静默解析为NULL。ODBC数据源连通性测试、DBeaver连接检测仅完成连接握手、拉取系统表短元数据字段，不会触达业务表的长varchar字段，因此测试环节完全正常，只有实际查询业务数据时才会暴露问题。
• Azure AD联邦角色临时凭证权限截断：如果SSO配置了登录后自动映射Redshift自定义角色，近期IAM联邦会话的权限校验逻辑更新后，若角色关联的权限策略中存在列级访问限制配置，未被列入允许列表的列同样会返回NULL而非报权限错误。

1. 优先校验权限配置
   • 用SSO账号连接Redshift，执行SELECT current_user, current_role; 拿到当前会话实际绑定的数据库用户名、角色名，不要直接使用配置文档里记录的映射值，避免角色自动切换导致的判断偏差。
   • 用主账号登录执行以下SQL，替换占位符为实际拿到的用户名/角色、目标表名，查询缺失权限的列：

     SELECT a.attname AS column_name, format_type(a.atttypid, a.atttypmod) AS data_type
     FROM pg_catalog.pg_class c
     JOIN pg_catalog.pg_attribute a ON c.oid = a.attrelid
     WHERE c.relname = '替换为你的目标表名'
       AND a.attnum > 0
       AND NOT a.attisdropped
       AND has_column_privilege('替换为查到的SSO用户名/角色名', a.attrelid, a.attnum, 'SELECT') = false;
     

   • 如果查询返回的列和你看到返回NULL的varchar列完全匹配，执行授权语句补全权限即可，示例：

     -- 给指定角色授权目标表全列查询权限
     GRANT SELECT ON ALL COLUMNS OF TABLE 替换为目标表名 TO 替换为SSO绑定的角色名;
     

2. 校验ODBC驱动版本
   • 打开本地ODBC数据源管理器，找到当前使用的Redshift DSN，查看绑定的驱动版本号，如果版本落在1.4.50-1.4.52区间，直接升级到1.4.56及以上稳定版本，或回退到1.4.47稳定版即可修复编码解析问题；升级完成后重启DBeaver重新建立连接。
3. 校验联邦IAM角色策略
   • 登录AWS IAM控制台，找到Azure AD SSO对接使用的Redshift访问角色，检查角色关联的权限策略，如果存在redshift:Columns字段的限制条件，要么补全需要访问的所有varchar列到允许列表，要么移除该列级限制条件恢复全列访问。

必须断开现有SSO连接、重新发起认证建立新会话，旧会话缓存的权限凭证、驱动连接上下文不会自动更新，会持续返回NULL值。

内容的提问来源于stack exchange，提问作者user3430639