如何在Snowflake中创建仅可查看用户列表的只读角色

你不需要授予高风险的MANAGE GRANTS全局权限，Snowflake提供了专门的最小权限实现只读访问用户列表的需求，操作步骤如下：

1. 首先创建目标角色

create role auditor;

2. 授予账户级的VIEW USERS权限，这一权限仅允许角色执行SHOW USERS、DESCRIBE USER命令查看用户列表及用户属性，没有任何修改用户、管理权限的能力

grant VIEW USERS on account to role auditor;

如果需要查询更丰富的用户元数据（比如用户创建时间、最后登录时间、默认角色等全量字段），可以额外授予Snowflake系统库的只读访问权限：

-- 授予系统库访问权限
grant usage on database snowflake to role auditor;
grant usage on schema snowflake.account_usage to role auditor;
-- 授予用户视图的只读查询权限
grant select on view snowflake.account_usage.users to role auditor;

两种访问方式的区别：

• SHOW USERS返回实时数据，最多展示10000条结果，适合用户量较小的场景
• snowflake.account_usage.users视图有最多2小时的数据延迟，无行数限制，支持自定义SQL筛选查询，适合用户量大、需要做统计分析的场景

内容的提问来源于stack exchange，提问作者Jason