单个Snowflake账户下不同企业团队可否实现双向数据交互？

可行性结论 #

单个Snowflake主账户完全可以实现你描述的需求，不需要合作方单独部署Snowflake账户，所有用户、权限都由你方统一管控，完全满足双向数据交互的要求。

核心配置逻辑 #

• 资源隔离：为每个合作方创建独立的专属数据库/Schema，作为对方上传原始数据的专属空间，对方仅能在该空间内创建表、写入数据，完全无法访问你方内部业务数据以及其他合作方的资源，数据隔离性完全符合企业安全要求
• 身份与权限管控：你方在主账户内为合作方人员创建独立用户，绑定专属角色，权限严格按需分配，用户的启用、禁用、权限调整全由你方控制，也可以对接SSO系统实现合作方人员免密登录，降低账号管理成本
• 双向权限配置：
  • 给合作方角色开放你方加工完成的增强数据所在Schema/表的SELECT权限，对方可直接查询、导出结果
  • 给你方内部数据加工角色开放合作方上传原始数据所在Schema的SELECT权限，拿到数据后可直接进行加工处理，完全不需要额外的传输环节
• 资源隔离可选方案：可以为合作方创建独立的虚拟仓库（Warehouse），对方的读写、查询操作独立消耗计算资源，不会对内部业务产生影响，资源消耗也可以单独统计核算

配置参考代码 #

-- 1. 创建合作方专属角色
CREATE ROLE PARTNER_A_ROLE;

-- 2. 创建合作方专属存储资源
CREATE DATABASE PARTNER_A_RAW;
CREATE SCHEMA PARTNER_A_RAW.UPLOAD_ZONE;

-- 3. 开放合作方自有资源的读写权限
GRANT USAGE ON DATABASE PARTNER_A_RAW TO ROLE PARTNER_A_ROLE;
GRANT USAGE ON SCHEMA PARTNER_A_RAW.UPLOAD_ZONE TO ROLE PARTNER_A_ROLE;
GRANT CREATE TABLE ON SCHEMA PARTNER_A_RAW.UPLOAD_ZONE TO ROLE PARTNER_A_ROLE;
GRANT INSERT, SELECT, ALTER ON ALL TABLES IN SCHEMA PARTNER_A_RAW.UPLOAD_ZONE TO ROLE PARTNER_A_ROLE;
GRANT INSERT, SELECT, ALTER ON FUTURE TABLES IN SCHEMA PARTNER_A_RAW.UPLOAD_ZONE TO ROLE PARTNER_A_ROLE;

-- 4. 开放你方加工后的数据查询权限给合作方
GRANT USAGE ON DATABASE INTERNAL_PROCESSED_DB TO ROLE PARTNER_A_ROLE;
GRANT USAGE ON SCHEMA INTERNAL_PROCESSED_DB.PARTNER_A_DELIVERY TO ROLE PARTNER_A_ROLE;
GRANT SELECT ON ALL TABLES IN SCHEMA INTERNAL_PROCESSED_DB.PARTNER_A_DELIVERY TO ROLE PARTNER_A_ROLE;

-- 5. 创建合作方用户并绑定角色
CREATE USER partner_a_operator PASSWORD='自定义密码' DEFAULT_ROLE=PARTNER_A_ROLE DEFAULT_WAREHOUSE=PARTNER_A_COMPUTE_WH;
GRANT ROLE PARTNER_A_ROLE TO USER partner_a_operator;

落地实践说明 #

该方案是Snowflake生态中跨企业数据协作的标准落地方式，已有大量企业在供应商数据对接、上下游业务数据交互场景中使用，相比传统的FTP、邮件传输方式，数据写入后实时可用，不存在传输延迟、版本错乱、数据泄露的问题，实施成本极低。

注意事项 #

• 权限配置遵循最小够用原则，不要开放超出业务需求的权限，定期审计权限分配和操作日志
• 可以给合作方专属Schema配置存储配额，超出配额后禁止写入，控制不必要的存储成本支出

内容的提问来源于stack exchange，提问作者Scheballs