SnowflakeのRBACロールとCRUD権限の違いをまとめてみた

はじめに

Snowflakeには、データの安全な管理とアクセスコントロールのために、事前定義されたRBAC（Role-Based Access Control）ロールと、データ操作のためのCRUD（Create, Read, Update, Delete）権限があります。本記事では、SnowflakeのRBACロールの役割やCRUD権限の付与方法について詳しく解説し、各ロールが実行可能な操作を表でまとめます。この記事を通して、RBACロールとCRUD権限の違いが明確になり、適切な権限管理の手助けとなるでしょう。

Snowflakeの主要RBACロール

Snowflakeには、アカウント全体やデータベースオブジェクトの管理を目的とした以下の6つの事前定義RBACロールが存在します。

• ORGADMIN：組織全体を管理し、複数のSnowflakeアカウントをまたぐ権限を持つ。
• ACCOUNTADMIN：アカウント内の全リソースとロールを管理できる最上位ロール。
• SECURITYADMIN：他のロールやユーザーへのアクセス権を管理。
• SYSADMIN：データベース、スキーマ、テーブル、ビューといったデータベースオブジェクトを管理。
• USERADMIN：ユーザーとロールを管理するが、データそのものへのアクセスはない。
• PUBLIC：すべてのユーザーが持つデフォルトロールで、最小限のアクセス権を提供。

これらのロールは階層的に構成されており、上位のロールは下位のロールの権限を継承します。

RBACロールの権限一覧表

ロール	アカウント管理	ユーザー/ロール管理	データベース管理	データ閲覧	データ操作 (更新・削除)
ORGADMIN	◯	×	×	×	×
ACCOUNTADMIN	◯	◯	◯	◯	◯
SECURITYADMIN	×	◯	×	×	×
SYSADMIN	×	×	◯	◯	◯
USERADMIN	×	◯	×	×	×
PUBLIC	×	×	×	◯	×

CRUD権限とGRANTコマンド

**CRUD（作成、読み取り、更新、削除）**の権限は、特定のデータベースオブジェクトに対してGRANTコマンドを用いて付与します。RBACロールとは異なり、CRUD権限はオブジェクトレベルで付与され、特定のテーブルやビューに対するデータ操作を許可します。

CRUD権限の例

例えば、次のようにしてCRUD権限を付与できます：

-- データベースレベルでSELECT権限をSYSADMINロールに付与
GRANT SELECT ON DATABASE my_database TO ROLE SYSADMIN;

-- 特定のテーブルに対するUPDATE権限をUSERROLEに付与
GRANT UPDATE ON TABLE my_table TO ROLE USERROLE;

これにより、指定されたロールが特定のオブジェクトに対して指定された操作を実行できるようになります。

カスタムロールとRBACロールの活用

Snowflakeでは、事前定義されたRBACロールだけでなく、カスタムロールを作成して特定の業務や組織のニーズに合わせた権限管理を行うことができます。事前定義ロール自体を作成・削除することはできませんが、これらのロールに対して他のロールや権限の委譲を行うことが可能です。

カスタムロールの作成と委譲の例

例えば、独自のロールを作成して、SYSADMINロールへの委譲を行うことができます。

-- カスタムロールの作成
CREATE ROLE custom_role;

-- カスタムロールにSYSADMINロールへの委譲を付与
GRANT ROLE SYSADMIN TO ROLE custom_role;

-- カスタムロールをユーザーに付与
GRANT ROLE custom_role TO USER some_user;

このようにすることで、カスタムロールに対して必要な権限のみを委譲し、柔軟なアクセス管理を行うことができます。

まとめ

SnowflakeのRBACロールは、アカウント管理やリソース管理を階層的に行うための役割であり、各ロールはその範囲に応じて異なる権限を持っています。一方、CRUD権限は特定のオブジェクトに対する操作権限で、データアクセスと操作を細かく制御するために使用されます。また、カスタムロールを活用することで、組織のニーズに応じた柔軟な権限管理が可能です。この違いを理解することで、Snowflakeでの適切な権限管理を実現できるでしょう。