RBAC, DAC en de hiërarchie van beveiligbare objecten

Snowflake-beheer, -governance en -samenwerking

Emily Melhuish

Technical Curriculum Developer, Snowflake

Kennismaken met Claro

Wereldwijde app voor kredietopbouw

Het toegangsprobleem

De bouwstenen

Een privilege is een toestemming om te handelen:

SELECT: lezen
INSERT: schrijven
CREATE: bouwen

Term	Definitie
Privilege	Toestemming om een actie uit te voeren (bijv. SELECT, INSERT, CREATE)
Object	Alles waarop een privilege kan worden verleend (table, schema, database, warehouse)
Role	Entiteit waaraan privileges worden verleend; kan aan users of andere roles worden toegekend
User	Persoon of service-account die met Snowflake verbindt en roles heeft

Role-Based Access Control (RBAC): zo werkt het

Stroom van links naar rechts van privilege, role en user

RBAC implementeren

Privilege toekennen aan een role

GRANT SELECT ON TABLE core.credit_scores
  TO ROLE analyst_role;

Role toekennen aan een user

GRANT ROLE analyst_role TO USER maria;

¹ [Snowflake: Access Control Privileges](https://docs.snowflake.com/en/user-guide/security-access-control-privileges)

Discretionary Access Control (DAC)

Partition met dac vóór en na overdracht

Elk object heeft een eigenaar = een role, geen persoon
RBAC definieert de rollenstructuur
DAC bepaalt wat elke role beheert

Eigendom overdragen

Eigendom overdragen aan een andere role

-- Huidige eigenaar: SYSADMIN
GRANT OWNERSHIP ON TABLE core.credit_scores
  TO ROLE data_engineer
  REVOKE CURRENT GRANTS;

De hiërarchie van beveiligbare objecten

Hiërarchie van beveiligbare objecten

USAGE toepassen op elk niveau

GRANT USAGE ON DATABASE <your_database>
  TO ROLE analyst_role;

GRANT USAGE ON SCHEMA core
  TO ROLE analyst_role;

GRANT SELECT ON TABLE core.credit_scores
  TO ROLE analyst_role;

Systeemrollen

Role	Verantwoordelijkheid
ACCOUNTADMIN	Volledige accountcontrole
SYSADMIN	Maakt databases en warehouses
SECURITYADMIN	Netwerk- en masking policies, rollenbeheer
USERADMIN	Maakt users en kent rollen toe
PUBLIC	Standaardrole voor elke user

¹ [Snowflake: Access Control Overview](https://docs.snowflake.com/en/user-guide/security-access-control-overview)

Laten we oefenen!

Snowflake-beheer, -governance en -samenwerking