如何在Snowflake中仅允许角色访问指定Schema下的所有表？

我来帮你梳理下问题根源和解决办法：

问题原因 #

你遇到的核心问题是Snowflake默认的权限可见性设置：当你给角色授予数据库级的USAGE权限时，默认情况下（HIDE_UNAUTHORIZED_OBJECTS = FALSE），角色能看到该数据库下的所有Schema名称，但只有拥有Schema的USAGE权限才能访问其中的对象。不过你测试中提到撤销表权限后还能查询，大概率是这个角色继承了其他高权限角色（比如sysadmin）的权限，或者存在其他隐含的权限路径，这个可以后续排查确认。

正确的权限配置步骤 #

要实现dw_ro_role仅能访问my_db.my_schema_2下的表，同时看不到其他Schema，按照以下步骤操作：

1. 清理原有权限（避免冲突）

首先切换到securityadmin角色，撤销之前可能配置混乱的权限：

USE ROLE SECURITYADMIN;

-- 撤销数据库级USAGE
REVOKE USAGE ON DATABASE my_db FROM ROLE dw_ro_role;
-- 撤销Schema级USAGE
REVOKE USAGE ON SCHEMA my_db.my_schema_2 FROM ROLE dw_ro_role;
-- 撤销表的SELECT权限
REVOKE SELECT ON ALL TABLES IN SCHEMA my_db.my_schema_2 FROM ROLE dw_ro_role;

2. 重新授予最小必要权限

授予角色访问目标Schema和表的最小权限：

-- 授予数据库USAGE（必须，因为访问Schema需要数据库级的权限基础）
GRANT USAGE ON DATABASE my_db TO ROLE dw_ro_role;

-- 授予目标Schema的USAGE权限
GRANT USAGE ON SCHEMA my_db.my_schema_2 TO ROLE dw_ro_role;

-- 授予Schema下所有现有表的SELECT权限
GRANT SELECT ON ALL TABLES IN SCHEMA my_db.my_schema_2 TO ROLE dw_ro_role;

-- 可选：如果需要让角色能访问未来在该Schema创建的表，加上这条
GRANT SELECT ON FUTURE TABLES IN SCHEMA my_db.my_schema_2 TO ROLE dw_ro_role;

3. 隐藏未授权的Schema和对象

关键一步：开启HIDE_UNAUTHORIZED_OBJECTS参数，让角色只能看到自己有权限的对象。

• 账户级配置（全局生效）：切换到accountadmin角色设置：

USE ROLE ACCOUNTADMIN;
ALTER ACCOUNT SET HIDE_UNAUTHORIZED_OBJECTS = TRUE;

• 会话级配置（仅当前会话生效）：如果不想全局修改，可以在使用dw_ro_role时执行：

USE ROLE dw_ro_role;
SET HIDE_UNAUTHORIZED_OBJECTS = TRUE;

4. 排查潜在的权限继承

如果你之前测试中撤销表权限还能查询，一定要检查dw_ro_role是否继承了其他高权限角色：

USE ROLE SECURITYADMIN;
SHOW GRANTS TO ROLE dw_ro_role;

查看结果中INHERITED ROLES列是否包含sysadmin或etl_tool_role这类有全库权限的角色，如果有，需要撤销不必要的角色继承：

REVOKE ROLE sysadmin FROM ROLE dw_ro_role; -- 示例，根据实际情况调整

验证效果 #

切换到dw_ro_role后，执行以下命令验证：

USE ROLE dw_ro_role;
USE DATABASE my_db;

-- 查看Schema，应该只能看到my_schema_2
SHOW SCHEMAS;

-- 测试访问my_schema_2的表
SELECT * FROM my_schema_2.table_c LIMIT 10;

-- 尝试访问其他Schema的表，应该报错权限不足
SELECT * FROM my_schema_1.table_a;

内容的提问来源于stack exchange，提问作者Stephen Lloyd