撤销雪花角色的 CREATE STAGE 权限答案

【问题标题】：Revoke CREATE STAGE privilege on a snowflake role撤销雪花角色的 CREATE STAGE 权限
【发布时间】：2021-08-26 02:52:15
【问题描述】：

我设置了一个名为“TEST_CLIENT_ROLE”的新角色，并在名为 TEST_CLIENT_DB 的数据库上授予了 USAGE 和 CREATE SCHEMA。我没有在此数据库或架构上授予 CREATE STAGE 任何显式权限。但是属于该角色的用户仍然可以创建舞台。

我还明确撤销CREATE STAGE 的角色，如下所示

REVOKE CREATE STAGE ON ALL SCHEMAS IN DATABASE TEST_CLIENT_DB FROM ROLE TEST_CLIENT_ROLE;
REVOKE CREATE STAGE ON FUTURE SCHEMAS IN DATABASE TEST_CLIENT_DB FROM ROLE TEST_CLIENT_ROLE;

但该角色的用户仍然能够在该数据库架构下创建阶段。

有人可以帮我弄清楚如何确保角色无法在数据库/模式下创建阶段

【问题讨论】：

标签： permissions authorization snowflake-cloud-data-platform roles snowflake-schema

【解决方案1】：

Snowflake 角色从子角色继承权限。如果此角色是具有此权限的另一个角色的父级，则您需要撤消子角色的权限。此外，对象所有者拥有几乎完全的权限，所以如果角色是所有者，我认为您不能撤销权限

【讨论】：

该角色不会从我相信的任何其他角色继承。但我观察到的是，如果角色被授予创建模式权限，那么该角色也能够创建阶段。
我想我现在明白了，如果一个角色创建了一个模式，那么它就拥有该模式和它下的对象的完全所有权。所以不能撤销权限。
是的，如果角色创建了架构，我认为您不能撤销任何通过作为所有者授予它的权限