Snowflake

​

Yêu cầu trước

• Quyền ACCOUNTADMIN (hoặc tương đương) để tạo role, service user và token.
• Một network policy để gắn vào user đó. Snowflake từ chối xác thực bằng token cho đến khi có network policy.
• Một warehouse mà role có thể dùng. Truy vấn metadata không cần compute, nên kiểm tra kết nối có thể thành công trong khi phân tích thật vẫn thất bại nếu thiếu warehouse.

​

Thiết lập

USE ROLE ACCOUNTADMIN;

CREATE ROLE IF NOT EXISTS CT_READONLY;
GRANT DATABASE ROLE SNOWFLAKE.USAGE_VIEWER      TO ROLE CT_READONLY;
GRANT DATABASE ROLE SNOWFLAKE.OBJECT_VIEWER     TO ROLE CT_READONLY;
GRANT DATABASE ROLE SNOWFLAKE.GOVERNANCE_VIEWER TO ROLE CT_READONLY;
GRANT MONITOR USAGE ON ACCOUNT                  TO ROLE CT_READONLY;
GRANT USAGE ON WAREHOUSE COMPUTE_WH             TO ROLE CT_READONLY;

CREATE USER IF NOT EXISTS SVC_CLOUDTHINKER
  TYPE = SERVICE
  DEFAULT_ROLE = CT_READONLY
  DEFAULT_WAREHOUSE = COMPUTE_WH
  COMMENT = 'CloudThinker connection';
GRANT ROLE CT_READONLY TO USER SVC_CLOUDTHINKER;

CREATE NETWORK POLICY IF NOT EXISTS CT_POLICY ALLOWED_IP_LIST = ('0.0.0.0/0');
ALTER USER SVC_CLOUDTHINKER SET NETWORK_POLICY = CT_POLICY;

ALTER USER SVC_CLOUDTHINKER ADD PROGRAMMATIC ACCESS TOKEN CT_DEV
  ROLE_RESTRICTION = 'CT_READONLY'
  DAYS_TO_EXPIRY = 90;

​

Chi tiết kết nối

​

Quyền cần thiết

​

Chỉ đọc (mặc định)

GRANT DATABASE ROLE SNOWFLAKE.USAGE_VIEWER      TO ROLE CT_READONLY;
GRANT DATABASE ROLE SNOWFLAKE.OBJECT_VIEWER     TO ROLE CT_READONLY;
GRANT DATABASE ROLE SNOWFLAKE.GOVERNANCE_VIEWER TO ROLE CT_READONLY;
GRANT MONITOR USAGE ON ACCOUNT                  TO ROLE CT_READONLY;
GRANT USAGE ON WAREHOUSE COMPUTE_WH             TO ROLE CT_READONLY;

​

Quyền ghi (chỉ khi bạn bật)

-- Suspend và resume: nêu tên từng warehouse mà agent được phép điều khiển.
GRANT USAGE, OPERATE, MONITOR ON WAREHOUSE CT_AGENT_WH TO ROLE CT_READWRITE;

-- Nơi đặt bảng findings.
GRANT USAGE ON DATABASE MONITORING                    TO ROLE CT_READWRITE;
GRANT USAGE, CREATE TABLE ON SCHEMA MONITORING.ALERTS TO ROLE CT_READWRITE;

​

Khả năng của agent

​

Kiểm tra kết nối

@tony #report liệt kê các Snowflake warehouse của tôi và những view ACCOUNT_USAGE mà kết nối này đọc được

​

Ví dụ prompt

@tony #report warehouse Snowflake nào tiêu thụ nhiều credit nhất trong 30 ngày qua
@tony #report cho tôi xem các truy vấn Snowflake chậm nhất và các lỗi lặp lại
@tony #recommend time travel và failsafe đang làm tăng chi phí lưu trữ ở đâu

​

Quyền ghi

• Ghi ở đây nghĩa là đúng hai hành động, không phải SQL tùy ý. Nâng resource monitor, hạ DATA_RETENTION_TIME_IN_DAYS, hay đổi kích thước warehouse vẫn được báo lại cho bạn dưới dạng câu lệnh để tự chạy trong Snowsight.
• Grant mới là lớp kiểm soát mạnh hơn. Quyền công cụ quyết định CloudThinker có yêu cầu ghi hay không; ROLE_RESTRICTION của token và các grant của role quyết định Snowflake có cho phép ghi hay không.

​

Xử lý sự cố

​

Bảo mật

• Quyền tối thiểu — chỉ cấp các quyền mà agent cần cho trường hợp sử dụng của bạn; bắt đầu với quyền chỉ đọc và mở rộng sau.
• Chỉ đọc theo mặc định — sử dụng thông tin xác thực chỉ đọc trừ khi bạn muốn agent thực hiện thay đổi qua kết nối này.
• Xoay vòng thông tin xác thực — xoay vòng khóa và token theo lịch trình thông thường của bạn; CloudThinker sẽ lấy giá trị mới khi bạn cập nhật kết nối.
• Thu hồi khi bàn giao — xóa thông tin xác thực tại nhà cung cấp khi bạn xóa một kết nối hoặc khi đồng nghiệp rời nhóm.

• Service user riêng — user TYPE = SERVICE không có mật khẩu, không MFA và không SSO, nên token là lối vào duy nhất và dấu vết kiểm toán vẫn dễ đọc.
• Giới hạn và đặt hạn cho token — ROLE_RESTRICTION giới hạn mọi thứ kết nối chạm tới được, và DAYS_TO_EXPIRY buộc bạn xoay vòng token thay vì quên mất.

​

Liên quan

Tony Agent

Agent tối ưu hóa tập trung vào cơ sở dữ liệu

Kết nối ClickHouse

Thiết lập tương tự cho cluster ClickHouse