关于 CREATE TABLE ... CLONE COPY GRANTS 行为的问题

Posted 2023-03-29

【中文标题】关于 CREATE TABLE ... CLONE COPY GRANTS 行为的问题

【英文标题】：Question about CREATE TABLE ... CLONE COPY GRANTS behaviour关于 CREATE TABLE ... CLONE COPY GRANTS 行为的问题

【发布时间】：2021-03-21 11:22:20

【问题描述】：

我是 Snowflake 的新手，我对 CREATE TABLE ... CLONE COPY GRANTS 文档的解释以及我在尝试时看到的内容感到困惑：

CREATE TABLE ... CLONE 语法包括 COPY GRANTS 关键字，这些关键字会影响新表克隆，如下所示：https://docs.snowflake.com/en/sql-reference/sql/create-clone.html [1]

如果使用 COPY GRANTS 关键字，则新对象克隆不会继承对原始表授予的任何显式访问权限，但会继承为架构中的对象类型定义的任何未来授予（使用 GRANT ... TO ROLE ... ON FUTURE 语法）。 如果未使用 COPY GRANTS 关键字，则新对象将继承对原始表授予的任何显式访问权限，但不会继承为架构中的对象类型定义的任何未来授予。

对象克隆：https://docs.snowflake.com/en/sql-reference/sql/grant-privilege.html [2]

克隆数据库时，克隆数据库中的模式会从源模式复制未来的权限。这与常规对象授权保持一致，其中源对象（即数据库）的授权不会复制到克隆，但所有子对象（即数据库中的模式）的授权都会复制到克隆。 克隆模式后，源模式中的未来授权不会复制到克隆。 克隆模式中的对象时，除非在克隆操作的 CREATE 语句中指定了 COPY GRANTS 选项，否则为模式中此对象类型定义的任何未来授权都将应用于克隆对象；在这种情况下，新对象将保留原始对象的访问权限，并且不会继承该类型对象的任何未来授权。

文档的链接 1. 表示不使用 COPY GRANTS 会继承源表权限，但不会继承未来的权限，链接 2.（粗线）表示不使用 COPY GRANTS 会继承未来的权限 我对解释很困惑。 此外，我尝试使用和不使用 COPY GRANTS 选项克隆表：使用 COPY GRANTS 源表的初始权限出现在克隆中，没有 COPY GRANT 则没有权限（所有者除外）。但在这两种情况下，源表上的未来授权永远不会继承克隆表。 有人可以帮助我理解吗？ ？？？ 非常感谢， 问候， 西里尔

【参考方案1】：

您似乎在文档中发现了一个错误。当您使用 COPY GRANTS 时，克隆的表将继承在原始表上授予的任何显式访问权限。

create role test_role;

create table test_table (v varchar);

grant update on future tables in schema public to test_role;

grant select on test_table to role test_role;

show grants on test_table;

+-----------+------------+--------------+
| privilege | granted_on | grantee_name |
+-----------+------------+--------------+
| OWNERSHIP | TABLE      | ACCOUNTADMIN |
| SELECT    | TABLE      | TEST_ROLE    |
+-----------+------------+--------------+

create table clone_table_nocp clone test_table;

create table clone_table_yescp clone test_table copy grants;

show grants on clone_table_nocp; -- has future grants of schema

+-----------+--------------+
| privilege | grantee_name |
+-----------+--------------+
| OWNERSHIP | ACCOUNTADMIN |
| UPDATE    | TEST_ROLE    |
+-----------+--------------+

show grants on clone_table_withcp; -- inherited access privileges, but does not have future grants 

+-----------+--------------+
| privilege | grantee_name |
+-----------+--------------+
| OWNERSHIP | ACCOUNTADMIN |
| SELECT    | TEST_ROLE    |
+-----------+--------------+

我会联系文档团队进行修复。

【讨论】：

非常感谢您的回答和说明问题的示例。祝你有个美好的夜晚。西里尔