Snowflake中如何创建可跨所有数据库和schema访问的masking policy？

问题根因 #

你遇到的报错本质是两个核心原因：

1. 应用掩码策略时未使用完整三级限定名，数据库默认会在当前会话所处的数据库、schema下查找策略，自然找不到其他库下创建的策略
2. 应用策略的角色缺少对应策略所在库、schema的使用权限，以及策略本身的应用权限

修复步骤 #

1. 权限配置 #

假设你将通用掩码策略统一创建在GLOBAL_POLICY_DB.COMMON库和schema下，策略名为GENERAL_MASK_POLICY，首先给需要应用策略的角色授予对应权限：

• 授予策略所在库的使用权限：
  GRANT USAGE ON DATABASE GLOBAL_POLICY_DB TO ROLE <需要应用策略的角色名>;
• 授予策略所在schema的使用权限：
  GRANT USAGE ON SCHEMA GLOBAL_POLICY_DB.COMMON TO ROLE <需要应用策略的角色名>;
• 授予策略的应用权限：
  GRANT APPLY ON MASKING POLICY GLOBAL_POLICY_DB.COMMON.GENERAL_MASK_POLICY TO ROLE <需要应用策略的角色名>;

2. 应用策略时使用完整限定名 #

当你在其他数据库、schema下给表字段应用策略时，必须指定策略的完整三级名称，不要只用策略名：

错误写法（默认查找当前库schema下的策略，触发报错）
ALTER TABLE PROD_DB.USER_SCHEMA.USER_INFO MODIFY COLUMN PHONE SET MASKING POLICY GENERAL_MASK_POLICY;

正确写法（指定完整路径找到全局统一创建的策略）
ALTER TABLE PROD_DB.USER_SCHEMA.USER_INFO MODIFY COLUMN PHONE SET MASKING POLICY GLOBAL_POLICY_DB.COMMON.GENERAL_MASK_POLICY;

按照上述配置后，你只需要在一个固定位置创建一次掩码策略，就可以跨全账号所有库、schema应用，不需要重复创建。

内容的提问来源于stack exchange，提问作者Kyle