Snowflake

​

前提条件

• ロール、サービスユーザー、トークンを作成するための ACCOUNTADMIN（または同等の権限）。
• そのユーザーに割り当てるネットワークポリシー。ネットワークポリシーが存在するまで、Snowflake はトークン認証を拒否します。
• ロールが使用できるウェアハウス。メタデータクエリはコンピュートを必要としないため、ウェアハウスがなくても接続テストは成功し、実際の分析だけが失敗することがあります。

​

セットアップ

USE ROLE ACCOUNTADMIN;

CREATE ROLE IF NOT EXISTS CT_READONLY;
GRANT DATABASE ROLE SNOWFLAKE.USAGE_VIEWER      TO ROLE CT_READONLY;
GRANT DATABASE ROLE SNOWFLAKE.OBJECT_VIEWER     TO ROLE CT_READONLY;
GRANT DATABASE ROLE SNOWFLAKE.GOVERNANCE_VIEWER TO ROLE CT_READONLY;
GRANT MONITOR USAGE ON ACCOUNT                  TO ROLE CT_READONLY;
GRANT USAGE ON WAREHOUSE COMPUTE_WH             TO ROLE CT_READONLY;

CREATE USER IF NOT EXISTS SVC_CLOUDTHINKER
  TYPE = SERVICE
  DEFAULT_ROLE = CT_READONLY
  DEFAULT_WAREHOUSE = COMPUTE_WH
  COMMENT = 'CloudThinker connection';
GRANT ROLE CT_READONLY TO USER SVC_CLOUDTHINKER;

CREATE NETWORK POLICY IF NOT EXISTS CT_POLICY ALLOWED_IP_LIST = ('0.0.0.0/0');
ALTER USER SVC_CLOUDTHINKER SET NETWORK_POLICY = CT_POLICY;

ALTER USER SVC_CLOUDTHINKER ADD PROGRAMMATIC ACCESS TOKEN CT_DEV
  ROLE_RESTRICTION = 'CT_READONLY'
  DAYS_TO_EXPIRY = 90;

​

接続の詳細

​

必要な権限

​

読み取り専用（デフォルト）

GRANT DATABASE ROLE SNOWFLAKE.USAGE_VIEWER      TO ROLE CT_READONLY;
GRANT DATABASE ROLE SNOWFLAKE.OBJECT_VIEWER     TO ROLE CT_READONLY;
GRANT DATABASE ROLE SNOWFLAKE.GOVERNANCE_VIEWER TO ROLE CT_READONLY;
GRANT MONITOR USAGE ON ACCOUNT                  TO ROLE CT_READONLY;
GRANT USAGE ON WAREHOUSE COMPUTE_WH             TO ROLE CT_READONLY;

​

書き込みアクセス（有効にする場合のみ）

-- 一時停止と再開: エージェントが制御してよいウェアハウスを個別に指定します。
GRANT USAGE, OPERATE, MONITOR ON WAREHOUSE CT_AGENT_WH TO ROLE CT_READWRITE;

-- findings テーブルの配置先。
GRANT USAGE ON DATABASE MONITORING                    TO ROLE CT_READWRITE;
GRANT USAGE, CREATE TABLE ON SCHEMA MONITORING.ALERTS TO ROLE CT_READWRITE;

​

エージェントの機能

​

接続を確認する

@tony #report 私の Snowflake ウェアハウスと、この接続が読み取れる ACCOUNT_USAGE ビューを一覧表示して

​

プロンプト例

@tony #report 過去30日間でクレジットを最も消費した Snowflake ウェアハウスはどれ
@tony #report 最も遅い Snowflake クエリと繰り返し発生しているエラーを見せて
@tony #recommend タイムトラベルとフェイルセーフがストレージ負荷を増やしている箇所はどこ

​

書き込みアクセス

• ここでの書き込みは正確に 2 つの操作であり、任意の SQL ではありません。 リソースモニターの引き上げ、DATA_RETENTION_TIME_IN_DAYS の引き下げ、ウェアハウスのサイズ変更は、Snowsight で実行するステートメントとしてユーザーに報告されます。
• グラントの方が強い制御です。 ツール権限は CloudThinker が書き込みを要求するかどうかを決めます。Snowflake が書き込みを許可するかどうかは、トークンの ROLE_RESTRICTION とロールのグラントが決めます。

​

トラブルシューティング

​

セキュリティ

• 最小権限 — エージェントがユースケースに必要な権限のみを付与します。まず読み取り専用から始め、後から拡張してください。
• デフォルトで読み取り専用 — エージェントにこの接続で変更を行わせる場合を除き、読み取り専用の認証情報を使用してください。
• 認証情報のローテーション — 通常のスケジュールに従ってキーとトークンをローテーションしてください。接続を更新すると、CloudThinker が新しい値を自動的に取得します。
• オフボーディング時に失効 — 接続を削除するか、チームメンバーが退職する際には、プロバイダー側で認証情報を無効化してください。

• 専用のサービスユーザー — TYPE = SERVICE のユーザーはパスワード、MFA、SSO を持たないため、トークンが唯一の経路となり、監査証跡が読み取りやすく保たれます。
• トークンを制限し期限を設ける — ROLE_RESTRICTION が接続の到達範囲すべてを限定し、DAYS_TO_EXPIRY が忘れがちなローテーションを強制します。

​

関連

Tony エージェント

データベースに特化した最適化エージェント

ClickHouse 接続

ClickHouse クラスタ向けの同様のセットアップ