RBAC in Snowflake

Introduzione

Con le organizzazioni che sempre più spostano i loro dati e le analisi nel cloud, la sicurezza dei dati e il controllo degli accessi diventano preoccupazioni critiche. Snowflake, una popolare piattaforma dati cloud, offre funzionalità di sicurezza robuste tra cui il Controllo di Accesso Basato su Ruoli (RBAC). RBAC ti permette di controllare l’accesso agli oggetti e alle capacità in Snowflake basato sui ruoli assegnati agli utenti.

Questo articolo discute l’RBAC in Snowflake. Spiega come funziona l’RBAC e fornisce esempi per aiutarti a familiarizzare con l’RBAC di Snowflake.

Che Cos’è il Controllo di Accesso Basato su Ruoli?

Il Controllo di Accesso Basato su Ruoli determina chi può accedere a un computer o a una risorsa basato sui ruoli degli utenti all’interno di un’azienda. L’RBAC è un metodo per controllare l’accesso alle informazioni.

Questo sistema assegna permessi agli utenti basato sui loro ruoli all’interno dell’organizzazione. Aiuta a garantire che solo individui autorizzati possano accedere a specifici dati o risorse.

Nell’RBAC, associa i ruoli ai permessi e assegna gli utenti ai ruoli appropriati. Questo semplifica la gestione degli accessi. Piuttosto che assegnare i permessi a ciascun utente individualmente, puoi assegnare i permessi ai ruoli. Gli utenti del database Snowflake appartengono a quei ruoli secondo necessità.

L’RBAC offre diversi benefici:

Gestione degli accessi semplificata: Gli amministratori possono assegnare i permessi ai ruoli piuttosto che agli utenti individuali
Sicurezza migliorata: Gli utenti hanno accesso solo alle risorse specifiche permesse dal loro ruolo
Riduzione del carico amministrativo: Con meno assegnazioni dirette, l’RBAC riduce il carico di gestione
Conformità normativa: L’RBAC facilita l’implementazione e la dimostrazione dei controlli di accesso per soddisfare i requisiti normativi

Come Funziona l’RBAC in Snowflake

Snowflake gestisce tutto il controllo degli accessi attraverso ruoli e privilegi. Un ruolo assegna una collezione denominata di privilegi agli utenti. I privilegi concedono la capacità di eseguire determinate azioni su oggetti sicurabili come database, schemi, tabelle, ecc.

Ecco i concetti chiave nel modello RBAC di Snowflake:

Ruoli: Un ruolo è una collezione di privilegi. Gli utenti o altri ruoli possono assegnare ruoli.
Privilegi: Un privilegio concede la capacità di eseguire una determinata azione, come creare un database o interrogare una tabella. I ruoli mappano un insieme di privilegi agli utenti.
Oggetti sicurabili: Un’entità come un database, schema, tabella o vista che ha accesso controllato. Assegniamo privilegi agli oggetti sicurabili.
Controllo degli accessi: I ruoli sono gruppi che controllano l’accesso concedendo permessi e assegnandoli agli utenti. Gli utenti admin assegnano permessi ai ruoli e ruoli agli utenti.
Gerarchia dei ruoli: L’amministratore del database può assegnare ruoli ad altri ruoli, creando una gerarchia. I ruoli figli ereditano i privilegi dei loro ruoli genitori.

Configurare l’RBAC in Snowflake

Per implementare l’RBAC in Snowflake, seguirai questi passaggi di alto livello:

Creare ruoli
Concedere privilegi ai ruoli
Assegnare ruoli agli utenti

Camminiamo attraverso un esempio. Supponiamo di avere un semplice database con dati di vendite che diversi utenti devono accedere. Creeremo una configurazione RBAC per controllare l’accesso.

Per prima cosa, creiamo il database e la tabella:

CREATE DATABASE sales_db;
CREATE TABLE sales_db.public.orders (
order_id INT,
amount DECIMAL(10,2)
);

Successivamente creeremo alcuni ruoli:

CREATE ROLE admin;
CREATE ROLE analyst;
CREATE ROLE reporter;

Ora possiamo assegnare i privilegi ai ruoli:

-- gli amministratori possono gestire il database
GRANT CREATE DATABASE ON ACCOUNT TO ROLE admin;
GRANT CREATE SCHEMA ON DATABASE sales_db TO ROLE admin;
GRANT CREATE TABLE ON ALL SCHEMAS IN DATABASE sales_db TO ROLE admin;
-- gli analisti possono interrogare i dati
GRANT USAGE ON DATABASE sales_db TO ROLE analyst;
GRANT USAGE ON SCHEMA sales_db.public TO ROLE analyst;
GRANT SELECT ON ALL TABLES IN SCHEMA sales_db.public TO ROLE analyst;
-- i reporter possono eseguire query SELECT
GRANT USAGE ON DATABASE sales_db TO ROLE reporter;
GRANT USAGE ON SCHEMA sales_db.public TO ROLE reporter;
GRANT SELECT ON ALL TABLES IN SCHEMA sales_db.public TO ROLE reporter;

Infine, assegniamo i ruoli agli utenti:

CREATE USER michelle PASSWORD = 'strong_password';
CREATE USER frank PASSWORD = 'another_strong_password';
CREATE USER lisa PASSWORD = 'yet_another_strong_password';
GRANT ROLE admin TO USER michelle;
GRANT ROLE analyst TO USER frank;
GRANT ROLE reporter TO USER lisa;

Michelle ha privilegi di amministratore, Frank ha privilegi di analista e Lisa ha privilegi di reporter basati sui ruoli assegnati.

Possiamo testarlo:

-- connetti come michelle
USE ROLE ADMIN;
CREATE TABLE sales_db.public.customers (customer_id INT); -- successo
-- connetti come frank
USE ROLE ANALYST;
SELECT * FROM sales_db.public.orders; -- successo
CREATE TABLE sales_db.public.customers (customer_id INT); -- fallisce, gli analisti possono solo interrogare
-- connetti come lisa
USE ROLE REPORTER;
SELECT * FROM sales_db.public.orders; -- successo
CREATE TABLE sales_db.public.customers (customer_id INT); -- fallisce, i reporter possono solo interrogare
 Ogni utente può solo fare ciò che il loro ruolo consente, seguendo la regola del minimo privilegio.

Gerarchia dei Ruoli

Le organizzazioni possono organizzare i ruoli di Snowflake in gerarchie, dove un ruolo figlio eredita i privilegi del suo ruolo genitore. Questo consente di definire l’accesso generale a livelli superiori e quindi perfezionare l’accesso creando ruoli figli più specifici sotto di essi.

Per esempio, supponiamo di voler creare un ruolo di “sola lettura” che possa accedere a più database. Possiamo creare un ruolo genitore con privilegi SELECT generali, quindi creare ruoli figli per accessi specifici:

CREATE ROLE read_only;
GRANT USAGE ON DATABASE sales_db TO ROLE read_only;
GRANT USAGE ON SCHEMA sales_db.public TO ROLE read_only;
GRANT SELECT ON ALL TABLES IN SCHEMA sales_db.public TO ROLE read_only;
GRANT USAGE ON DATABASE marketing_db TO ROLE read_only;
GRANT USAGE ON SCHEMA marketing_db.public TO ROLE read_only;
GRANT SELECT ON ALL TABLES IN SCHEMA marketing_db.public TO ROLE read_only;
CREATE ROLE sales_reader;
GRANT ROLE read_only TO ROLE sales_reader;
CREATE ROLE marketing_reader;
GRANT ROLE read_only TO ROLE marketing_reader;
Ora i ruoli sales_reader e marketing_reader ereditano i privilegi SELECT dal ruolo genitore read_only. Possiamo assegnarli agli utenti secondo necessità:
GRANT ROLE sales_reader TO USER frank;
GRANT ROLE marketing_reader TO USER lisa;

Frank può accedere al database vendite per informazioni. Lisa può accedere al database marketing per informazioni. Entrambi hanno il ruolo genitore di sola lettura.

Usare le gerarchie di ruoli con giudizio può rendere le configurazioni RBAC più facili da gestire e comprendere. Costruisci la tua gerarchia iniziando dai ruoli generali, quindi crea ruoli figli per accessi più granulari e specifici.

Centralizzare e Semplificare la Gestione dell’RBAC

Snowflake ha un buon sistema per la gestione dei ruoli e dei privilegi. Tuttavia, può essere difficile gestirli in una grande organizzazione con molti utenti e database. Ecco dove possono aiutare strumenti di terze parti come DataSunrise.

DataSunrise offre una suite di strumenti per migliorare e semplificare la sicurezza dei dati e la conformità in Snowflake. La loro interfaccia web intuitiva rende facile gestire le configurazioni RBAC attraverso tutti i tuoi database e magazzini Snowflake. Puoi gestire utenti, ruoli e privilegi da un’unica console.

Oltre alla gestione dell’RBAC, DataSunrise fornisce altre funzionalità di sicurezza critiche per Snowflake, tra cui:

Crittografia e tokenizzazione dei dati
Mascheramento dinamico dei dati
Firewall SQL per monitoraggio in tempo reale e applicazione delle politiche
Audit e reporting dei dati per soddisfare i requisiti di conformità

Se stai cercando modi per migliorare la sicurezza e la conformità nel tuo ambiente Snowflake, considera di esplorare strumenti come DataSunrise. Offriamo una demo gratuita così puoi vedere le capacità di DataSunrise in azione.

Conclusione

Il Controllo di Accesso Basato su Ruoli è uno strumento potente per gestire l’accesso ai dati in Snowflake. L’RBAC ti permette di controllare l’accesso in dettaglio concedendo privilegi ai ruoli.

Successivamente, l’amministratore del database assegna questi ruoli agli utenti. Questo segue il principio del minimo privilegio. L’implementazione dell’RBAC di Snowflake è flessibile e robusta, supportando gerarchie di ruoli per un controllo ancora più granulare.

Sebbene l’RBAC in Snowflake sia nativamente robusto, le implementazioni su scala aziendale possono comunque diventare complesse da gestire. Strumenti di terze parti come DataSunrise possono aiutare a semplificare e centralizzare la gestione dell’RBAC attraverso tutte le tue istanze di Snowflake.

Speriamo che questo articolo sia stato un’introduzione utile all’RBAC in Snowflake. Per saperne di più, consulta la documentazione di Snowflake.