📚 课程目录第2章 Snowflake账户与组织管理

2. Snowflake账户与组织管理

Snowflake 的账户体系并不是“一个登录名对应一个数据库”这么简单。它采用组织（Organization）→ 账户（Account）→ 区域/云平台（Region / Cloud Platform）的三层结构：组织是计费与治理的最高层级，账户是资源与安全隔离的边界，区域和云平台决定数据物理存放位置与访问延迟。理解这三层关系，是后续做多环境隔离、跨区域容灾和成本归集的前提。

组织与账户的创建路径

创建 Snowflake 账户有两种典型路径。第一种是自助注册：在 Snowflake 官网选择云平台和区域，填写企业信息后即得到一个独立账户，该账户默认不属于任何组织，适合快速试用。第二种是组织内创建：由已有组织的 ORGADMIN 通过 CREATE ACCOUNT 命令或 Snowsight 界面创建新账户，新账户自动归属该组织，账单统一汇总。

-- 以 ORGADMIN 身份在组织内创建账户（示例参数）
USE ROLE ORGADMIN;

CREATE ACCOUNT ACME_PROD
  ADMIN_NAME = 'prod_admin'
  ADMIN_PASSWORD = '<强密码>'
  EMAIL = 'dba@acme.com'
  EDITION = ENTERPRISE
  REGION = 'AWS_US_EAST_1'
  COMMENT = '生产环境账户';

-- 查看组织内所有账户
SHOW ACCOUNTS;

关键参数说明：EDITION 决定功能集与单价，Standard 最基础，Enterprise 增加多集群仓库与时间旅行延长，Business Critical 增加 HIPAA/PCI 合规与私有连接；REGION 一旦选定不可更改，因为数据物理存放位置已确定，若需迁移只能通过复制或重新加载数据。因此区域选择必须在创建前结合合规要求、用户地理分布和云厂商既有投资来决定。

安全访问控制的核心机制

账户创建后，安全访问控制围绕三个层面展开。第一层是身份认证：支持用户名密码、SSO（SAML 2.0 / OAuth）、密钥对认证和多因素认证（MFA）。企业环境通常强制 SSO + MFA，避免本地密码泄露。第二层是角色与权限：Snowflake 采用 RBAC 模型，系统预置 ACCOUNTADMIN、SYSADMIN、SECURITYADMIN、USERADMIN、PUBLIC 五个角色，通过角色层级授予对象权限。第三层是网络策略：可配置 IP 允许列表（Network Policy），限制只有公司出口 IP 或 VPN 网段能登录账户。

建议将 ACCOUNTADMIN 角色仅用于账户级配置（如创建账户、设置资源监视器），日常运维使用 SYSADMIN，用户与角色管理使用 USERADMIN/SECURITYADMIN，遵循最小权限原则。

成本管理入口

Snowflake 的成本管理入口集中在三个位置。一是账户级账单：通过 ORGADMIN 在组织下查看各账户的信用消耗汇总，或使用 SNOWFLAKE.ACCOUNT_USAGE 数据库中的 WAREHOUSE_METERING_HISTORY、METERING_DAILY_HISTORY 视图按仓库、按天查询。二是资源监视器（Resource Monitor）：为仓库设置信用配额和告警阈值，达到阈值时触发通知或自动挂起仓库。三是标签（Tag）：给仓库、数据库打上成本中心标签，便于按部门或项目归集费用。

-- 创建资源监视器：每月 500 信用，80% 告警，100% 挂起
CREATE OR REPLACE RESOURCE MONITOR rm_prod_monthly
  WITH CREDIT_QUOTA = 500
  FREQUENCY = MONTHLY
  START_TIMESTAMP = IMMEDIATELY
  TRIGGERS
    ON 80 PERCENT DO NOTIFY
    ON 100 PERCENT DO SUSPEND;

-- 绑定到生产仓库
ALTER WAREHOUSE prod_wh SET RESOURCE_MONITOR = rm_prod_monthly;

实际运营中，建议按“账户隔离环境、资源监视器控制预算、标签归集成本”的组合策略执行。例如生产账户配额设为 500 信用/月，测试账户 100 信用/月，开发账户 50 信用/月并启用自动挂起（AUTO_SUSPEND = 60 秒），这样既能防止意外高额账单，又能让每个团队清楚自己的消耗来源。账户、区域、云平台一旦确定，后续变更成本较高，因此在创建阶段就应把组织归属、区域合规、角色模型和成本边界一次性规划清楚。