RBAC en Snowflake

Introducción

A medida que las organizaciones trasladan cada vez más sus datos y análisis a la nube, la seguridad de los datos y el control de acceso se convierten en preocupaciones críticas. Snowflake, una popular plataforma de datos en la nube, ofrece funciones de seguridad robustas que incluyen el Control de Acceso Basado en Roles (RBAC). RBAC le permite controlar el acceso a objetos y capacidades en Snowflake basado en los roles otorgados a los usuarios.

Este artículo discute RBAC en Snowflake. Explica cómo funciona RBAC y proporciona ejemplos para ayudarle a familiarizarse con el RBAC de Snowflake.

¿Qué es el Control de Acceso Basado en Roles?

El Control de Acceso Basado en Roles determina quién puede acceder a una computadora o recurso basado en los roles de usuario dentro de una empresa. RBAC es un método para controlar el acceso a la información.

Este sistema asigna permisos a los usuarios basándose en sus roles dentro de la organización. Ayuda a asegurar que solo las personas autorizadas puedan acceder a ciertos datos o recursos.

En RBAC, se asocian roles con permisos y se asignan usuarios a los roles adecuados. Esto simplifica la gestión del acceso. En lugar de asignar permisos a cada usuario individualmente, puede asignar permisos a roles. Los usuarios de la base de datos de Snowflake pertenecen a esos roles según sea necesario.

RBAC ofrece varios beneficios:

Gestión de acceso simplificada: Los administradores pueden asignar permisos a roles en lugar de a usuarios individuales
Mejor seguridad: Los usuarios solo tienen acceso a los recursos específicos que su rol permite
Menor carga administrativa: Con menos asignaciones directas, RBAC reduce la carga de gestión
Cumplimiento normativo: RBAC facilita la implementación y demostración de controles de acceso para cumplir con los requisitos normativos

Cómo Funciona RBAC en Snowflake

Snowflake gestiona todo el control de acceso a través de roles y privilegios. Un rol asigna una colección nombrada de privilegios a los usuarios. Los privilegios otorgan la capacidad de realizar ciertas acciones sobre objetos securitables como bases de datos, esquemas, tablas, etc.

Aquí están los conceptos clave en el modelo RBAC de Snowflake:

Roles: Un rol es una colección de privilegios. Los usuarios u otros roles pueden asignar roles.
Privilegios: Un privilegio otorga la capacidad de realizar una cierta acción, como crear una base de datos o consultar una tabla. Los roles asignan un conjunto de privilegios a los usuarios.
Objetos securitables: Una entidad como una base de datos, esquema, tabla o vista que tiene acceso controlado. Otorgamos privilegios a objetos securitables.
Control de acceso: Los roles son grupos que controlan el acceso dando permisos y asignándolos a los usuarios. Los usuarios administradores asignan roles con permisos y asignan roles a usuarios.
Jerarquía de roles: Un administrador de base de datos puede asignar roles a otros roles, creando una jerarquía. Los roles hijo heredan los privilegios de sus roles padre.

Configurando RBAC en Snowflake

Para implementar RBAC en Snowflake, seguirá estos pasos a alto nivel:

Crear roles
Conceder privilegios a los roles
Asignar roles a usuarios

Vamos a recorrer un ejemplo. Supongamos que tenemos una base de datos simple con datos de ventas que diferentes usuarios necesitan acceder. Crearemos una configuración de RBAC para controlar el acceso.

Primero, creemos la base de datos y la tabla:

CREATE DATABASE sales_db;
CREATE TABLE sales_db.public.orders (
order_id INT,
amount DECIMAL(10,2)
);

A continuación, crearemos algunos roles:

CREATE ROLE admin;
CREATE ROLE analyst;
CREATE ROLE reporter;

Ahora podemos asignar privilegios a los roles:

-- los administradores pueden gestionar la base de datos
GRANT CREATE DATABASE ON ACCOUNT TO ROLE admin;
GRANT CREATE SCHEMA ON DATABASE sales_db TO ROLE admin;
GRANT CREATE TABLE ON ALL SCHEMAS IN DATABASE sales_db TO ROLE admin;
-- los analistas pueden consultar los datos
GRANT USAGE ON DATABASE sales_db TO ROLE analyst;
GRANT USAGE ON SCHEMA sales_db.public TO ROLE analyst;
GRANT SELECT ON ALL TABLES IN SCHEMA sales_db.public TO ROLE analyst;
-- los reporteros pueden ejecutar consultas SELECT
GRANT USAGE ON DATABASE sales_db TO ROLE reporter;
GRANT USAGE ON SCHEMA sales_db.public TO ROLE reporter;
GRANT SELECT ON ALL TABLES IN SCHEMA sales_db.public TO ROLE reporter;

Finalmente, asignemos roles a los usuarios:

CREATE USER michelle PASSWORD = 'strong_password';
CREATE USER frank PASSWORD = 'another_strong_password';
CREATE USER lisa PASSWORD = 'yet_another_strong_password';
GRANT ROLE admin TO USER michelle;
GRANT ROLE analyst TO USER frank;
GRANT ROLE reporter TO USER lisa;

Michelle tiene privilegios de administradora, Frank tiene privilegios de analista y Lisa tiene privilegios de reportera según los roles asignados.

Podemos probarlo:

-- conectarse como michelle 
USE ROLE ADMIN;
CREATE TABLE sales_db.public.customers (customer_id INT); -- éxito
-- conectarse como frank
USE ROLE ANALYST;
SELECT * FROM sales_db.public.orders; -- éxito
CREATE TABLE sales_db.public.customers (customer_id INT); -- falla, los analistas solo pueden consultar
-- conectarse como lisa
USE ROLE REPORTER;
SELECT * FROM sales_db.public.orders; -- éxito 
CREATE TABLE sales_db.public.customers (customer_id INT); -- falla, los reporteros solo pueden consultar
Cada usuario solo puede hacer lo que su rol les permite hacer, siguiendo la regla de mínimo privilegio."

Jerarquía de Roles

Las organizaciones pueden organizar los roles de Snowflake en jerarquías, donde un rol hijo hereda los privilegios de su rol padre. Esto le permite definir accesos amplios en niveles superiores y luego afinar el acceso creando roles hijo más específicos debajo de ellos.

Por ejemplo, digamos que queremos crear un rol de “solo lectura” que pueda acceder a múltiples bases de datos. Podemos crear un rol padre con amplios privilegios de SELECT, y luego crear roles hijo para accesos específicos:

CREATE ROLE read_only;
GRANT USAGE ON DATABASE sales_db TO ROLE read_only;
GRANT USAGE ON SCHEMA sales_db.public TO ROLE read_only;
GRANT SELECT ON ALL TABLES IN SCHEMA sales_db.public TO ROLE read_only;
GRANT USAGE ON DATABASE marketing_db TO ROLE read_only;
GRANT USAGE ON SCHEMA marketing_db.public TO ROLE read_only;
GRANT SELECT ON ALL TABLES IN SCHEMA marketing_db.public TO ROLE read_only;
CREATE ROLE sales_reader;
GRANT ROLE read_only TO ROLE sales_reader;
CREATE ROLE marketing_reader;
GRANT ROLE read_only TO ROLE marketing_reader;
Ahora los roles sales_reader y marketing_reader heredan privilegios de SELECT del rol padre read_only. Podemos asignarlos a usuarios según sea necesario:
GRANT ROLE sales_reader TO USER frank;
GRANT ROLE marketing_reader TO USER lisa;

Frank puede acceder a la base de datos de ventas para información. Lisa puede acceder a la base de datos de marketing para información. Ambos tienen el rol padre de solo lectura.

Usar jerarquías de roles con prudencia puede hacer que las configuraciones de RBAC sean más fáciles de gestionar y entender. Construya su jerarquía comenzando con roles amplios, luego cree roles hijo para accesos más detallados y específicos.

Centralizando y Simplificando la Gestión de RBAC

Snowflake tiene un buen sistema para gestionar roles y privilegios. Sin embargo, puede ser difícil manejarlos en una organización grande con muchos usuarios y bases de datos. Es aquí donde herramientas de terceros como DataSunrise pueden ayudar.

DataSunrise ofrece un conjunto de herramientas para mejorar y simplificar la seguridad de datos y el cumplimiento en Snowflake. Su interfaz web intuitiva facilita la gestión de configuraciones de RBAC en todas sus bases de datos y almacenes Snowflake.

Además de la gestión de RBAC, DataSunrise proporciona otras características de seguridad críticas para Snowflake, incluyendo:

Cifrado y tokenización de datos
Enmascaramiento dinámico de datos
Firewall SQL para monitoreo en tiempo real y aplicación de políticas
Auditoría de datos y elaboración de informes para cumplir con los requisitos normativos

Si está buscando formas de mejorar la seguridad y el cumplimiento en su entorno Snowflake, considere explorar herramientas como DataSunrise. Ofrecemos una demo gratuita para que pueda ver las capacidades de DataSunrise en acción.

Conclusión

El Control de Acceso Basado en Roles es una herramienta poderosa para gestionar el acceso a datos en Snowflake. RBAC le permite controlar el acceso en detalle otorgando privilegios a roles.

Posteriormente, el administrador de la base de datos asigna estos roles a los usuarios. Esto sigue el principio de mínimo privilegio. La implementación de RBAC en Snowflake es flexible y robusta, soportando jerarquías de roles para un control aún más granular.

Aunque RBAC en Snowflake es robusto de manera nativa, los despliegues a escala empresarial aún pueden volverse complejos de gestionar. Herramientas de terceros como DataSunrise pueden ayudar a simplificar y centralizar la gestión de RBAC en todas sus instancias de Snowflake.

Esperamos que este artículo haya sido una introducción útil a RBAC en Snowflake. Para obtener más información, consulte la documentación de Snowflake.