snowflake-cloud-data-platform - Snowflake 管道 - 不同用户需要什么权限才能使用其余 API/insertReport

Question

我有一个由用户 A 创建的 Snowpipe。然后我希望单独的用户 B 使用 Snowflake rest API 端点 /insertReport 检查其状态。

• 用户 A 是 ACCOUNTADMIN
• 用户 A 创建了 Snowpipe。
• 用户 A 为用户 B 的默认角色运行以下命令:

GRANT ALL ON PIPE <my pipe> TO ROLE USER_B_ROLE;
GRANT ALL ON FUTURE PIPES IN DATABASE <my db> TO ROLE USER_B_ROLE;
GRANT MONITOR ON DATABASE <my db> TO ROLE USER_B_ROLE;
GRANT USAGE ON DATABASE <my db> TO ROLE USER_B_ROLE;
GRANT MONITOR ON SCHEMA <my schema> TO ROLE USER_B_ROLE;
GRANT USAGE ON SCHEMA <my schema> TO ROLE USER_B_ROLE;

• 我担任角色 USER_B_ROLE(我没有直接访问权限以用户 B 身份登录)并且可以运行以下命令并按预期查看输出:

USE ROLE USER_B_ROLE;
SELECT CURRENT_ROLE();
-- USER_B_ROLE

DESCRIBE PIPE <my pipe>;
-- created_on,name,database_name,schema_name,definition,owner,notification_channel,comment,integration,pattern,error_integration
-- 2022-01-..., ..., ...

SELECT SYSTEM$PIPE_STATUS('<my db>.<my schema>.<my pipe>');
-- {"executionState":"RUNNING","pendingFileCount":0,"notificationChannelName":"arn:aws:sqs:...","numOutstandingMessagesOnChannel":0,"lastReceivedMessageTimestamp":"..."}

当我尝试使用用户 B 时，使用 GET https://{account}.snowflakecomputing.com/v1/data/pipes/{snowpipe}/insertReport 我收到:{' data': None, 'code': '390403', 'message': '无权管理指定对象。管道访问权限被拒绝', '成功': False, 'headers': 无

我已经检查了公钥 fp 和私钥是否有效，因为我可以获得正确的 JWT token 。

我不认为我可以将管道和所有 future 此类管道的所有权作为一揽子声明转移给用户 B，因为 Terraform 部署，即使没有更改，也会重新创建 PIPE 并删除用户 B 的所有权限 -这就是为什么我想使用 FUTURE。

我也试过 GRANT MONITOR EXECUTION 但这也不起作用。

我缺少什么权限？

---

相关文档:

• Snowflake rest API 页面未提及所需的权限:https://docs.snowflake.com/en/user-guide/data-load-snowpipe-rest-apis.html#endpoint-insertreport
• Snowpipes 仅支持MONITOR 和OPERATE(我已经全部提供):https://docs.snowflake.com/en/user-guide/security-access-control-privileges.html#pipe-privileges
• 这个答案说必须授予 OWNERSHIP，但这是 2 年前的事了 - 非所有者肯定有办法检查 Snowpipe 摄取报告，尤其是当我已经可以检查它们时直接通过 SQL:https://community.snowflake.com/s/question/0D50Z00009YAcOz/how-can-i-see-pipes-using-show-pipes-or-see-their-status-with-systempipestatus-without-having-ownership-permission-to-the-pipes-need-to-debug-issues-without-the-ability-to-change-them
• 这个问题提到了默认角色，但我的用户 B 使用的是我设置的正确默认角色。 Snowflake Pipe access permission denied

Answer 1

我已与 Snowflake 代表核实过 - 无论 MONITOR 和 OPERATE 权限如何，如果您想使用 /insertReport，您必须拥有管道的OWNERSHIP。

---

在此处找到的权限和功能 https://docs.snowflake.com/en/release-notes/2021-03.html#snowpipe-support-for-non-pipe-owners-to-manage-pipes-preview根本不要提及 /insertReport。您可以让子角色启动/暂停/加载/读取/检查(通过 SQL)管道，但没有让非所有者使用 /insertReport 的权限。