基于Snowflake角色层级的数据管理员自动识别方案咨询

核心实现逻辑 #

针对你提到的三个方案的缺陷，可以采用多维度加权打分的组合策略，避免单一维度的高误判率，具体步骤如下：

1. 权限层初筛 #

• 递归查询ACCESS_USAGE.GRANTS_TO_ROLES和ACCESS_USAGE.GRANTS_TO_USERS视图，先拉取所有对目标角色持有OWNERSHIP权限的主体，排除ACCOUNTADMIN、SYSADMIN等系统默认角色，以及继承层级超过3层的主体（绝大多数企业的有效角色继承层级不会超过3层，更高层级基本为跨链路的无效继承），给这部分主体加60%的权重分。
• 同步拉取对目标角色持有MANAGE GRANTS、APPLY ROW ACCESS POLICY、ALTER ANY ROLE等高级管理权限的主体，排除第三方同步用的公用服务账号后，给这部分主体加25%的权重分。

2. 行为层校准 #

• 调取过去90天的QUERY_HISTORY日志，筛选出对目标角色关联的所有对象执行过CREATE、ALTER、DROP、GRANT/REVOKE类操作的账号，仅过滤单次操作的临时测试账号，给这部分主体加15%的权重分。
• 完全排除仅执行SELECT类读操作的账号，直接避免数据消费者进入候选池。

3. 结果输出规则 #

• 按加权总得分从高到低排序，取前3位作为推荐的角色管理员/所有者。
• 得分相同的情况下，优先取最近90天内执行过管理类操作的主体。
• 如果企业内部有角色命名、用户分组的规范，比如角色名带_OWNER后缀、数据管理员统一归属特定用户组，可以额外增加对应权重，进一步提升识别准确率。

原有备选方案的优化点 #

• 递归查询OWNERSHIP权限：通过限制继承层级、排除系统角色，至少可以降低70%的误判率。
• 高级权限服务账号识别：提前维护内部服务账号白名单，排除SaaS工具、数据同步类公用账号，只保留数据团队维护的服务账号关联对应负责人即可。
• 使用模式识别：完全过滤SELECT类读操作日志，只保留DDL、权限变更类操作日志，就能排除90%以上的数据消费者干扰。

内容的提问来源于stack exchange，提问作者Reacher234