雪花系统角色-USERADMIN与SECURITYADMIN

Question

正在寻找何时利用USERADMIN和SECURITYADMIN的输入，根据文档SECURITYADMIN继承了USERADMIN的特权

利用这两个角色进行用户，角色和授权管理的正确方法是什么。我正在如下使用

USERADMIN-用于以下

• 创建用户或删除用户
• 创建角色或删除角色

SECURITYADMIN-用于以下目的

• 授予/取消对ROLES的特权
• GRANT / REVOKE将共享数据库上的特权导入ROLES

问题是，谁应该执行以下操作。是USERADMIN还是SECURITYADMIN？如果这两个角色都能在技术上发挥作用，对此是否有任何标准指导。

• 将角色授予另一个角色
• 向用户授予的角色

谢谢。

Answer 1

USERADMIN角色在2020年4月之前不存在，因为引入了这一新角色是一项改进，使帐户能够将用户和角色的管理与SECURITYADMIN角色分开（如果需要）。

• https://docs.snowflake.com/en/release-notes/2020-04.html#new-useradmin-system-role

您可以使用任一系统角色来GRANT ROLE。最佳做法应由您自己的安全策略决定。

由于USERADMIN角色已分配给SECURITYADMIN角色，因此具有SECURITYADMIN角色的用户仍可以管理用户和角色。但是，公司现在可以分配USERADMIN角色，以将用户和角色的管理与所有授予的管理分开。

使用USERADMIN角色来分隔这些职责是可选的。使用USERADMIN角色的决定完全取决于为您的帐户实施的安全模型。

我自己的建议：由于USERADMIN可以GRANT ROLE，并且USERADMIN是受限制的角色，因此在授予角色时选择使用USERADMIN。