RBAC in Snowflake

Introduzione

Man mano che le organizzazioni spostano sempre più i propri dati e analisi sul Cloud, la sicurezza dei dati e il controllo degli accessi diventano questioni critiche. Snowflake, una popolare piattaforma dati Cloud, fornisce robuste funzionalità di sicurezza tra cui il Controllo di Accesso Basato sui Ruoli (RBAC). L’RBAC consente di controllare l’accesso agli oggetti e alle capacità in Snowflake in base ai ruoli concessi agli utenti.

Questo articolo discute l’RBAC in Snowflake. Spiega come funziona l’RBAC e fornisce esempi per aiutare a familiarizzarsi con l’RBAC di Snowflake.

Cos’è il Controllo di Accesso Basato sui Ruoli?

Il Controllo di Accesso Basato sui Ruoli determina chi può accedere a un computer o una risorsa in base ai ruoli degli utenti in un’azienda. L’RBAC è un metodo di controllo dell’accesso alle informazioni.

Questo sistema assegna permessi agli utenti in base ai loro ruoli all’interno dell’organizzazione. Aiuta a garantire che solo individui autorizzati possano accedere a determinati dati o risorse.

Nell’RBAC, si associano ruoli ai permessi e si assegnano utenti ai ruoli adatti. Questo semplifica la gestione degli accessi. Piuttosto che assegnare permessi a ciascun utente individualmente, si possono assegnare permessi ai ruoli. Gli utenti del database Snowflake appartengono a quei ruoli secondo necessità.

L’RBAC offre diversi benefici:

• Gestione degli accessi semplificata: Gli amministratori possono assegnare permessi ai ruoli piuttosto che a utenti singoli
• Sicurezza migliorata: Gli utenti hanno accesso solo alle risorse specifiche permesse dal loro ruolo
• Riduzione del sovraccarico amministrativo: Con meno assegnazioni dirette, l’RBAC riduce il carico gestionale
• Conformità normativa: L’RBAC rende più facile implementare e dimostrare i controlli degli accessi per soddisfare i requisiti normativi

Come Funziona l’RBAC in Snowflake

Snowflake gestisce tutti i controlli di accesso tramite ruoli e privilegi. Un ruolo assegna una raccolta denominata di privilegi agli utenti. I privilegi concedono la capacità di eseguire determinate azioni su oggetti securabile come database, schemi, tabelle, e così via.

Ecco i concetti chiave del modello RBAC di Snowflake:

• Ruoli: Un ruolo è una raccolta di privilegi. Gli utenti o altri ruoli possono assegnare ruoli.
• Privilegi: Un privilegio concede la capacità di eseguire una certa azione, come creare un database o effettuare una query su una tabella. I ruoli mappano un insieme di privilegi agli utenti.
• Oggetti securabile: Un’entità come un database, uno schema, una tabella o una vista che ha accesso controllato. Concediamo privilegi agli oggetti securabile.
• Controllo degli accessi: I ruoli sono gruppi che controllano l’accesso assegnando autorizzazioni e assegnandole agli utenti. Gli utenti admin assegnano i permessi dei ruoli e assegnano i ruoli agli utenti.
• Gerarchia dei ruoli: Gli amministratori del database possono assegnare ruoli ad altri ruoli, creando una gerarchia. I ruoli figli ereditano i privilegi dei loro ruoli genitori.

Configurazione dell’RBAC in Snowflake

Per implementare l’RBAC in Snowflake, seguirà questi passaggi di alto livello:

1. Creare ruoli
2. Concessione di privilegi ai ruoli
3. Assegnazione di ruoli agli utenti

Vediamo un esempio. Supponiamo di avere un semplice database con dati sulle vendite che devono essere accessibili da vari utenti. Creeremo una configurazione RBAC per controllare l’accesso.

Prima, creiamo il database e la tabella:

CREATE DATABASE sales_db;
CREATE TABLE sales_db.public.orders (
order_id INT,
amount DECIMAL(10,2)
);

Successivamente creeremo alcuni ruoli:

CREATE ROLE admin;
CREATE ROLE analyst;
CREATE ROLE reporter;

Ora possiamo assegnare privilegi ai ruoli:

-- gli amministratori possono gestire il database
GRANT CREATE DATABASE ON ACCOUNT TO ROLE admin;
GRANT CREATE SCHEMA ON DATABASE sales_db TO ROLE admin;
GRANT CREATE TABLE ON ALL SCHEMAS IN DATABASE sales_db TO ROLE admin;
-- gli analisti possono interrogare i dati
GRANT USAGE ON DATABASE sales_db TO ROLE analyst;
GRANT USAGE ON SCHEMA sales_db.public TO ROLE analyst;
GRANT SELECT ON ALL TABLES IN SCHEMA sales_db.public TO ROLE analyst;
-- i reporter possono eseguire query SELECT 
GRANT USAGE ON DATABASE sales_db TO ROLE reporter;
GRANT USAGE ON SCHEMA sales_db.public TO ROLE reporter;
GRANT SELECT ON ALL TABLES IN SCHEMA sales_db.public TO ROLE reporter;

Infine, assegniamo i ruoli agli utenti:

CREATE USER michelle PASSWORD = 'strong_password';
CREATE USER frank PASSWORD = 'another_strong_password';
CREATE USER lisa PASSWORD = 'yet_another_strong_password';
GRANT ROLE admin TO USER michelle;
GRANT ROLE analyst TO USER frank;
GRANT ROLE reporter TO USER lisa;

Michelle ha privilegi da amministratore, Frank ha privilegi da analista e Lisa ha privilegi da reporter in base ai loro ruoli assegnati.

Possiamo testare:

-- collegarsi come michelle 
USE ROLE ADMIN;
CREATE TABLE sales_db.public.customers (customer_id INT); -- successo
-- collegarsi come frank
USE ROLE ANALYST;
SELECT * FROM sales_db.public.orders; -- successo
CREATE TABLE sales_db.public.customers (customer_id INT); -- fallisce, gli analisti possono solo interrogare 
-- collegarsi come lisa
USE ROLE REPORTER;
SELECT * FROM sales_db.public.orders; -- successo 
CREATE TABLE sales_db.public.customers (customer_id INT); -- fallisce, i reporter possono solo interrogare
Ogni utente può fare solo ciò che il suo ruolo gli consente di fare, seguendo la regola del minimo privilegio.

Gerarchia dei Ruoli

Le organizzazioni possono organizzare i ruoli di Snowflake in gerarchie, dove un ruolo figlio eredita i privilegi del ruolo genitore. Questo consente di definire ampi accessi a livelli superiori e poi di affinare l’accesso creando ruoli figli più specifici sotto di essi.

Per esempio, supponiamo che vogliamo creare un ruolo “solo lettura” che possa accedere a più database. Possiamo creare un ruolo genitore con ampi privilegi SELECT, quindi creare ruoli figli per accessi specifici:

CREATE ROLE read_only;
GRANT USAGE ON DATABASE sales_db TO ROLE read_only;
GRANT USAGE ON SCHEMA sales_db.public TO ROLE read_only;
GRANT SELECT ON ALL TABLES IN SCHEMA sales_db.public TO ROLE read_only;
GRANT USAGE ON DATABASE marketing_db TO ROLE read_only;
GRANT USAGE ON SCHEMA marketing_db.public TO ROLE read_only;
GRANT SELECT ON ALL TABLES IN SCHEMA marketing_db.public TO ROLE read_only;
CREATE ROLE sales_reader;
GRANT ROLE read_only TO ROLE sales_reader;
CREATE ROLE marketing_reader;
GRANT ROLE read_only TO ROLE marketing_reader;
Ora i ruoli sales_reader e marketing_reader ereditano i privilegi SELECT dal ruolo genitore read_only. Li possiamo assegnare agli utenti secondo necessità:

GRANT ROLE sales_reader TO USER frank;
GRANT ROLE marketing_reader TO USER lisa;

Frank può accedere al database delle vendite per informazioni. Lisa può accedere al database del marketing per informazioni. Entrambi hanno ereditato il ruolo solo lettura.

Utilizzare le gerarchie di ruoli in modo giudizioso può rendere la configurazione RBAC più facile da gestire e comprendere. Costruisca la sua gerarchia partendo da ruoli ampi, quindi crei ruoli figli per accessi più granulari e specifici.

Centralizzare e Semplificare la Gestione dell’RBAC

Snowflake ha un buon sistema per la gestione dei ruoli e dei privilegi. Tuttavia, può essere difficile gestirli in una grande organizzazione con molti utenti e database. È qui che strumenti di terze parti come DataSunrise possono aiutare.

DataSunrise offre una suite di strumenti per migliorare e semplificare la sicurezza dei dati e compliance in Snowflake. La loro interfaccia web intuitiva rende facile gestire le configurazioni RBAC in tutti i suoi database e magazzini Snowflake. Può gestire utenti, ruoli e privilegi da una singola console.

Oltre alla gestione RBAC, DataSunrise fornisce altre funzionalità di sicurezza critiche per Snowflake, tra cui:

• Crittografia e tokenizzazione dei dati
• Mascheramento Dinamico dei Dati
• Firewall SQL per il monitoraggio in tempo reale e l’applicazione delle politiche
• Audit dei dati e reportistica per soddisfare i requisiti di conformità

Se sta cercando modi per migliorare la sicurezza e la conformità nel suo ambiente Snowflake, consideri di esplorare strumenti come DataSunrise. Offriamo una demo gratis così può vedere le capacità di DataSunrise in azione.

Conclusione

Il Controllo di Accesso Basato sui Ruoli è uno strumento potente per la gestione degli accessi ai dati in Snowflake. L’RBAC consente di controllare in dettaglio l’accesso assegnando privilegi ai ruoli.

Successivamente, l’amministratore del database assegna questi ruoli agli utenti. Questo segue il principio del minimo privilegio. L’implementazione dell’RBAC di Snowflake è flessibile e robusta, supportando gerarchie di ruoli per un controllo ancora più granulare.

Nonostante l’RBAC in Snowflake sia nativamente robusto, le implementazioni a livello aziendale possono comunque diventare complesse da gestire. Strumenti di terze parti come DataSunrise possono aiutare a semplificare e centralizzare la gestione dell’RBAC in tutte le sue istanze Snowflake.

Speriamo che questo articolo sia stato una utile introduzione all’RBAC in Snowflake. Per ulteriori informazioni, consulti la documentazione di Snowflake.