SAP BTP HDI容器跨Schema更新HANA Cloud DB表的权限问题及操作方法

问题分析 #

• 「授权者与被授权者相同」错误属于正常现象：HDI容器内的用户默认拥有容器Schema下所有对象的完整DML权限，无需额外执行GRANT操作给自己。
• 「权限不足（含GUID）」错误通常源于跨Schema访问外部数据（Cockpit的DBADMIN.GENERAL_INFO）缺少权限，或是存储过程的权限上下文配置不当。

具体解决步骤 #

1. 授予跨Schema读取权限 #

要从Cockpit的DBADMIN.GENERAL_INFO读取数据，需由DBADMIN用户或超级用户执行以下语句，为容器用户分配外部表的SELECT权限：

-- 以DBADMIN或超级用户身份执行
GRANT SELECT ON DBADMIN.GENERAL_INFO TO <container_username>;

2. 执行更新操作（两种可选方式） #

方式一：直接执行UPDATE语句

使用容器用户登录后，直接运行跨表更新逻辑：

UPDATE ITOP_SCHEMA_1_1.GENERAL_INFO t1
SET t1.HIGHEST_TIME_CONTRIBUTOR = t2.HIGHEST_TIME_CONTRIBUTOR
FROM DBADMIN.GENERAL_INFO t2
WHERE t1.ID = t2.ID;

方式二：使用存储过程（配置权限上下文）

如果必须通过存储过程执行，需明确使用调用者权限（SQL SECURITY INVOKER），避免定义者权限带来的限制：

CREATE OR REPLACE PROCEDURE ITOP_SCHEMA_1_1.UPDATE_GENERAL_INFO()
LANGUAGE SQLSCRIPT
SQL SECURITY INVOKER -- 继承调用者的权限，确保跨Schema访问权限生效
AS
BEGIN
    UPDATE ITOP_SCHEMA_1_1.GENERAL_INFO t1
    SET t1.HIGHEST_TIME_CONTRIBUTOR = t2.HIGHEST_TIME_CONTRIBUTOR
    FROM DBADMIN.GENERAL_INFO t2
    WHERE t1.ID = t2.ID;
END;

-- 执行存储过程
CALL ITOP_SCHEMA_1_1.UPDATE_GENERAL_INFO();

3. 验证容器用户权限配置 #

• 确认使用的用户是HDI容器的业务用户/技术用户，且已被分配到容器默认操作角色（如#OO角色，HDI容器自动创建的操作角色）。
• 检查表的所有权，确保ITOP_SCHEMA_1_1.GENERAL_INFO的所有者为容器用户：

SELECT SCHEMA_NAME, TABLE_NAME, OWNER_NAME 
FROM TABLES 
WHERE TABLE_NAME = 'GENERAL_INFO' AND SCHEMA_NAME = 'ITOP_SCHEMA_1_1';

若所有者并非容器用户，建议重新部署HDI模块，确保表在容器生命周期内正确创建。

4. 通用DML操作说明 #

对于HDI容器Schema内的对象，容器用户默认拥有INSERT/UPDATE/DELETE/SELECT权限，直接执行对应语句即可：

• 插入：INSERT INTO ITOP_SCHEMA_1_1.GENERAL_INFO (ID, HIGHEST_TIME_CONTRIBUTOR) VALUES ('1', 'userA');
• 修改：UPDATE ITOP_SCHEMA_1_1.GENERAL_INFO SET HIGHEST_TIME_CONTRIBUTOR = 'userB' WHERE ID = '1';
• 删除：DELETE FROM ITOP_SCHEMA_1_1.GENERAL_INFO WHERE ID = '1';

内容的提问来源于stack exchange，提问作者Kavya H B