Snowflake共享数据库细粒度访问控制实现方案咨询

完全可以实现共享数据库内的模式、表/视图级细粒度权限控制，不需要为每个对象单独创建独立共享，核心实现方案分为两类，可根据你的权限范围灵活选择：

方案1：提供方侧配置（从源头控制共享范围，推荐对外共享场景使用） #

你可以在单个共享中只授权需要开放的对象，未授权的对象在消费者侧完全不可见，操作流程如下：

• 提供方创建共享后，仅授予共享指定对象的访问权限即可，无需开放整个数据库的所有内容，示例命令：

  -- 1. 创建共享
  CREATE SHARE cross_account_share;
  -- 2. 仅授予共享数据库的USAGE权限（必须，否则无法访问库下对象）
  GRANT USAGE ON DATABASE shared_db TO SHARE cross_account_share;
  -- 3. 按需授予指定模式的USAGE权限，未授权的模式消费者侧不可见
  GRANT USAGE ON SCHEMA shared_db.schema_1 TO SHARE cross_account_share;
  -- 4. 按需授予指定表/视图的SELECT权限，也可以授权模式下所有表
  GRANT SELECT ON ALL TABLES IN SCHEMA shared_db.schema_1 TO SHARE cross_account_share;
  GRANT SELECT ON TABLE shared_db.schema_2.target_table TO SHARE cross_account_share;
  -- 5. 把消费者账号添加到共享中即可
  ALTER SHARE cross_account_share ADD ACCOUNT = <消费者账号标识符>;
  

• 如果需要给同一个共享的不同消费者分配不同的可见数据范围，可以叠加行访问策略、列级安全策略，在提供方侧根据消费者账号ID、角色信息过滤数据，不需要拆分多个共享。

方案2：消费者侧二次封装（无需提供方配合，适合内部账号权限拆分场景） #

如果提供方已经把完整数据库共享给你，你作为消费者可以自行在账号内做权限拆分，不需要跟提供方协商修改共享配置，操作流程如下：

• 首先使用账号管理员角色，将共享库的IMPORTED PRIVILEGES权限仅授予专属的管理角色，不要开放给普通业务角色：

  GRANT IMPORTED PRIVILEGES ON DATABASE imported_shared_db TO ROLE share_admin;
  

• 用share_admin角色创建内部业务库和安全视图，映射共享库中需要开放的对象，再把视图的访问权限授予对应业务角色：

  -- 1. 创建内部业务库存储映射对象，业务角色仅能访问这个库的内容
  CREATE DATABASE internal_business_db;
  CREATE SCHEMA internal_business_db.business_schema;
  -- 2. 创建视图映射共享库的指定对象，可自行过滤行、列，和普通视图用法完全一致
  CREATE VIEW internal_business_db.business_schema.target_view AS
  SELECT col1, col2, col3 FROM imported_shared_db.source_schema.source_table;
  -- 3. 给业务角色授予视图访问权限，业务角色不需要共享库的任何直接权限
  GRANT USAGE ON DATABASE internal_business_db TO ROLE business_role_1;
  GRANT USAGE ON SCHEMA internal_business_db.business_schema TO ROLE business_role_1;
  GRANT SELECT ON internal_business_db.business_schema.target_view TO ROLE business_role_1;
  

  这种方式下普通业务角色完全看不到共享库的其他未授权对象，权限控制能力和常规数据库完全一致。

场景选型建议 #

针对你提到的10个模式给不同角色分配权限的场景：

• 如果是对外给第三方客户共享数据，优先选方案1，从源头控制开放范围，避免数据泄露风险
• 如果是内部不同业务团队的权限拆分，优先选方案2，不需要调整提供方配置，权限调整更灵活
• 仅当不同消费者的共享内容需要独立生命周期管控、权限差异极大时，才需要拆分为多个独立共享。

内容的提问来源于stack exchange，提问作者Marco Roy