Snowflake

​

사전 준비

• 역할, 서비스 사용자, 토큰을 만들 ACCOUNTADMIN (또는 동등한) 권한.
• 해당 사용자에게 연결할 네트워크 정책. 네트워크 정책이 없으면 Snowflake는 토큰 인증을 거부합니다.
• 역할이 사용할 수 있는 웨어하우스. 메타데이터 쿼리는 컴퓨트가 필요 없으므로, 웨어하우스가 없어도 연결 테스트는 통과하고 실제 분석만 실패할 수 있습니다.

​

설정

USE ROLE ACCOUNTADMIN;

CREATE ROLE IF NOT EXISTS CT_READONLY;
GRANT DATABASE ROLE SNOWFLAKE.USAGE_VIEWER      TO ROLE CT_READONLY;
GRANT DATABASE ROLE SNOWFLAKE.OBJECT_VIEWER     TO ROLE CT_READONLY;
GRANT DATABASE ROLE SNOWFLAKE.GOVERNANCE_VIEWER TO ROLE CT_READONLY;
GRANT MONITOR USAGE ON ACCOUNT                  TO ROLE CT_READONLY;
GRANT USAGE ON WAREHOUSE COMPUTE_WH             TO ROLE CT_READONLY;

CREATE USER IF NOT EXISTS SVC_CLOUDTHINKER
  TYPE = SERVICE
  DEFAULT_ROLE = CT_READONLY
  DEFAULT_WAREHOUSE = COMPUTE_WH
  COMMENT = 'CloudThinker connection';
GRANT ROLE CT_READONLY TO USER SVC_CLOUDTHINKER;

CREATE NETWORK POLICY IF NOT EXISTS CT_POLICY ALLOWED_IP_LIST = ('0.0.0.0/0');
ALTER USER SVC_CLOUDTHINKER SET NETWORK_POLICY = CT_POLICY;

ALTER USER SVC_CLOUDTHINKER ADD PROGRAMMATIC ACCESS TOKEN CT_DEV
  ROLE_RESTRICTION = 'CT_READONLY'
  DAYS_TO_EXPIRY = 90;

​

연결 세부 정보

​

필요한 권한

​

읽기 전용 (기본값)

GRANT DATABASE ROLE SNOWFLAKE.USAGE_VIEWER      TO ROLE CT_READONLY;
GRANT DATABASE ROLE SNOWFLAKE.OBJECT_VIEWER     TO ROLE CT_READONLY;
GRANT DATABASE ROLE SNOWFLAKE.GOVERNANCE_VIEWER TO ROLE CT_READONLY;
GRANT MONITOR USAGE ON ACCOUNT                  TO ROLE CT_READONLY;
GRANT USAGE ON WAREHOUSE COMPUTE_WH             TO ROLE CT_READONLY;

​

쓰기 접근 (활성화하는 경우에만)

-- 일시 중단과 재개: 에이전트가 제어해도 되는 웨어하우스를 각각 지정합니다.
GRANT USAGE, OPERATE, MONITOR ON WAREHOUSE CT_AGENT_WH TO ROLE CT_READWRITE;

-- findings 테이블이 저장될 위치.
GRANT USAGE ON DATABASE MONITORING                    TO ROLE CT_READWRITE;
GRANT USAGE, CREATE TABLE ON SCHEMA MONITORING.ALERTS TO ROLE CT_READWRITE;

​

에이전트 기능

​

연결 확인

@tony #report 내 Snowflake 웨어하우스와 이 연결이 읽을 수 있는 ACCOUNT_USAGE 뷰를 나열해줘

​

프롬프트 예시

@tony #report 지난 30일 동안 크레딧을 가장 많이 소모한 Snowflake 웨어하우스는 어디야
@tony #report 가장 느린 Snowflake 쿼리와 반복되는 오류를 보여줘
@tony #recommend 타임 트래블과 페일세이프가 스토리지 부담을 늘리는 곳은 어디야

​

쓰기 접근

• 여기서 쓰기란 정확히 두 가지 작업이며, 임의의 SQL이 아닙니다. 리소스 모니터 상향, DATA_RETENTION_TIME_IN_DAYS 하향, 웨어하우스 크기 변경은 여전히 Snowsight에서 직접 실행할 구문으로 보고됩니다.
• 권한 부여가 더 강한 통제입니다. 도구 권한은 CloudThinker가 쓰기를 요청할지를 결정하고, 토큰의 ROLE_RESTRICTION과 역할의 권한이 Snowflake가 쓰기를 허용할지를 결정합니다.

​

문제 해결

​

보안

• 최소 권한 — 에이전트가 사용 사례에 필요한 권한만 부여하세요. 읽기 전용으로 시작한 후 필요에 따라 확장하세요.
• 기본 읽기 전용 — 에이전트가 이 연결을 통해 변경 작업을 수행하게 할 것이 아니라면 읽기 전용 자격증명을 사용하세요.
• 자격증명 교체 — 정기 일정에 따라 키와 토큰을 교체하세요. 연결을 업데이트하면 CloudThinker가 새 값을 자동으로 반영합니다.
• 오프보딩 시 취소 — 연결을 삭제하거나 팀원이 퇴사할 때 프로바이더에서 자격증명을 제거하세요.

• 전용 서비스 사용자 — TYPE = SERVICE 사용자는 비밀번호, MFA, SSO가 없어 토큰이 유일한 진입 경로가 되고 감사 기록이 읽기 쉬워집니다.
• 토큰을 제한하고 만료시키기 — ROLE_RESTRICTION은 연결이 도달할 수 있는 범위를 제한하고, DAYS_TO_EXPIRY는 잊기 쉬운 교체 주기를 강제합니다.

​

관련 항목

Tony 에이전트

데이터베이스 중심 최적화 에이전트

ClickHouse 연결

ClickHouse 클러스터를 위한 유사한 설정