20/10/2026 · VietTechies · Biên tập
Snowflake vừa giới thiệu một bản cập nhật quan trọng cho mô hình kiểm soát truy cập bằng cách cho phép sử dụng mệnh đề WITH GRANT OPTION khi gán vai trò này cho vai trò khác. Theo các báo cáo từ cộng đồng kỹ thuật, điểm mới này giải quyết bài toán lâu năm trong các kiến trúc cơ sở dữ liệu đa phòng ban, nơi các quản trị viên bảo mật tập trung cần trao quyền cho trưởng nhóm cục bộ mà không phải hy sinh khả năng quản trị tổng thể. Trước đây, việc ủy quyền khả năng gán vai trò đòi hỏi phải cấp các đặc quyền toàn cục mạnh mẽ hoặc chuyển giao hoàn toàn quyền sở hữu vai trò, cả hai đều tiềm ẩn rủi ro bảo mật trong các tài khoản dùng chung.
Cơ chế cốt lõi của việc ủy quyền vai trò
Tính năng này áp dụng cho ba loại vai trò khác nhau trong nền tảng: vai trò tài khoản, vai trò cơ sở dữ liệu và vai trò ứng dụng. Quản trị viên có thể gắn trực tiếp bổ ngữ WITH GRANT OPTION vào các câu lệnh gán tiêu chuẩn. Khi một vai trò cha nhận được phân quyền có bật tùy chọn này, nó sẽ có thẩm quyền chuyển tiếp vai trò đó xuống các cấp thấp hơn. Các hướng dẫn từ cộng đồng kỹ thuật minh họa cơ chế này thông qua phân cấp doanh nghiệp điển hình, nơi quản trị viên bảo mật trung tâm cung cấp các vai trò truy cập cho vai trò quản trị phòng ban trong khi vẫn giữ quyền sở hữu cao nhất. Trưởng bộ phận sau đó có thể gán các khả năng này cho kỹ sư dữ liệu hoặc người dùng phân tích mà không cần nắm giữ đặc quyền quản lý toàn tài khoản.
Quản lý việc thu hồi và chuỗi phụ thuộc
Việc quản lý vòng đời của các quyền hạn được ủy quyền đòi hỏi các biện pháp kiểm soát chính xác đối với việc xử lý các lệnh gán lại khi cần thu hồi quyền truy cập. Nền tảng cung cấp cú pháp thu hồi cụ thể để tước bỏ đặc quyền gán mà không cắt đứt hoàn toàn việc gán vai trò cơ bản. Khi cố gắng xóa tùy chọn gán, quản trị viên có thể chọn giữa hành vi giới hạn và tầng (restrict và cascade). Theo mặc định, tham số restrict ngăn chặn việc thu hồi nếu người nhận đã chuyển vai trò xuống cho người dùng cấp dưới, qua đó bảo vệ các chuỗi truy cập phụ thuộc. Ngược lại, việc chọn tùy chọn cascade sẽ tự động dọn dẹp mọi phân quyền phái sinh trong khi vẫn giữ nguyên việc gán vai trò trực tiếp cho quản trị viên trung gian với khả năng gán của họ đã được vô hiệu hóa một cách an toàn.
Cân bằng tính tự chủ và quản trị trong môi trường doanh nghiệp
Tính năng này thay đổi căn bản cách các tổ chức lớn quản lý hoạt động cơ sở dữ liệu nội bộ trên một thể hiện nền tảng duy nhất. Trước đây, các quản trị viên cơ sở dữ liệu phải đối mặt với một sự thỏa hiệp khó khăn khi cấu trúc kiểm soát truy cập cho các bộ phận kinh doanh riêng biệt. Việc trao đặc quyền quản lý toàn cục mang lại quyền kiểm soát rộng rãi đối với mọi đối tượng trong toàn bộ tài khoản, điều này vi phạm nghiêm trọng nguyên tắc đặc quyền tối thiểu đối với một quản lý phòng ban đơn lẻ. Mặt khác, việc chuyển giao quyền sở hữu vai trò sẽ từ bỏ hoàn toàn quyền kiểm soát của quản trị viên ban đầu, khiến việc duy trì các tiêu chuẩn bảo mật trên toàn doanh nghiệp trở nên khó khăn. Bằng cách giới thiệu các tùy chọn gán cho các vai trò được ủy quyền, nền tảng thu hẹp khoảng cách vận hành này một cách hiệu quả. Các nhóm tập trung có thể duy trì sự giám sát chặt chẽ và quyền sở hữu cấu trúc đối với các danh tính cốt lõi trong khi vẫn ủy quyền an toàn các phân công vận hành hàng ngày cho các trưởng nhóm cục bộ. Khả năng này giúp giảm bớt các nút thắt hành chính, đơn giản hóa quy trình gia nhập cho các nhóm kỹ thuật và phân tích riêng biệt chia sẻ chung một môi trường cơ sở dữ liệu, đồng thời giảm thiểu rủi ro leo thang đặc quyền vô ý.
Ảnh bìa: minh họa do AI tạo, kèm chữ tiêu đề; không phải ảnh tư liệu. Logo: Snowflake, qua Wikimedia Commons (Public domain).
Nguồn: Delegating Role Grants in Snowflake with WITH GRANT OPTION · [新機能]SnowflakeのWITH GRANT OPTIONでロールの付与が可能に！部門ごとの管理者ロールにロール付与を委任するシナリオを試してみた | DevelopersIO