Erstellen und Verwenden einer Integration für den externen Zugriff¶

Erstellen einer Netzwerkregel zur Darstellung des externen Netzwerkstandorts¶

Mit dem Befehl CREATE NETWORK RULE können Sie eine Netzwerkregel erstellen, die den Standort des externen Netzwerks und die Zugriffsbeschränkungen darstellt. Eine Netzwerkregel gibt beispielsweise Netzwerkbezeichner wie einen Hostnamen und die Richtung der Kommunikation mit dem Netzwerk (Eingang oder Ausgang) an.

Um den Zugriff auf ein externes Netzwerk zu unterstützen, wird ein Administrator die Regel bei der Erstellung einer Integration für den externen Zugriff einbeziehen. Jede in der Integration enthaltene Regel gibt einen externen Netzwerkstandort an, auf den die Funktion oder Prozedur zugreifen darf.

Beim Erstellen einer Netzwerkregel zur Verwendung in einer Integration für den externen Zugriff geben Sie Folgendes an:

• EGRESS als Wert des Parameters MODE.

• HOST_PORT als Wert des Parameters TYPE.

• Der Endpunkt des externen Standorts im Parameter VALUE_LIST.

• (Optional) Eine Portnummer mit dem Namen des Endpunkts des externen Standorts. Wenn Sie keine Portnummer angeben, verwendet Snowflake die Standardportnummer für den externen Zugriff, 443.

  Wenn der Endpunkt beispielsweise Port 80 benötigt, könnte der Parameter VALUE_LIST wie folgt lauten:

  VALUE_LIST = ('example.com:80')
  

  Copy

CREATE OR REPLACE NETWORK RULE google_apis_network_rule
  MODE = EGRESS
  TYPE = HOST_PORT
  VALUE_LIST = ('translation.googleapis.com');

Erstellen eines Geheimnisses zur Darstellung von Anmeldeinformationen¶

Sie können CREATE SECRET verwenden, um ein Geheimnis zu erstellen, das die Anmeldeinformationen repräsentiert, die für die Authentifizierung beim externen Netzwerkstandort erforderlich sind. Das Geheimnis kann zum Beispiel Anmeldeinformationen wie einen Benutzernamen und ein Kennwort enthalten.

Für den Zugriff auf einen externen Netzwerkstandort, der OAuth unterstützt, empfiehlt es sich, dass Ihr Geheimnis eine Referenz auf eine Sicherheitsintegration enthält mit Werten, die für den OAuth Datenfluss benötigt werden, z. B. einen Client ID, ein Client-Geheimnis, einen Token-Endpunkt usw.

Das Geheimnis wird auf folgende Weise verwendet:

• Von einem Administrator bei der Erstellung der Integration für den externen Zugriff.

  Bei der Erstellung der Integration gibt der Administrator die Geheimnisse an, die Entwickler im Handler-Code verwenden dürfen, wenn sie eine Funktion oder Prozedur erstellen, die die Integration nutzt.

• Von einem Entwickler bei der Erstellung einer UDF oder eines Prozedur-Handlers.

  Der Entwickler gibt das zulässige Geheimnis an, das die Anmeldeinformationen enthält, die der Handler-Code zur Authentifizierung bei einer Anfrage an den externen Standort verwenden kann. Beim Schreiben eines Handlers kann ein Entwickler eine Snowflake-API verwenden, um die im Geheimnis enthaltenen Anmeldeinformationen abzurufen, anstatt die Anmeldeinformationen als Literalwerte in den Handler-Code aufzunehmen.

CREATE OR REPLACE SECRET oauth_token
  TYPE = OAUTH2
  API_AUTHENTICATION = google_translate_oauth
  OAUTH_REFRESH_TOKEN = 'my-refresh-token';

CREATE OR REPLACE SECRET bp_maps_api
  TYPE = GENERIC_STRING
  SECRET_STRING = 'replace-with-your-api-key';

Erstellen einer Integration für den externen Zugriff¶

Mit dem Befehl CREATE EXTERNAL ACCESS INTEGRATION können Sie eine Integration für den externen Zugriff erstellen, die zulässige Netzwerkregeln (die externe Netzwerkstandorte darstellen) und zulässige Geheimnisse (die Anmeldeinformationen für die Authentifizierung darstellen) für die Verwendung mit UDFs und Prozeduren zusammenfasst.

Insbesondere legt die Integration für den externen Zugriff die Netzwerkregeln und Geheimnisse fest, die UDFs und Prozeduren, die auf die Integration verweisen, verwenden dürfen.

Die Integration für den externen Zugriff wird von einem Administrator verwendet, um den Zugriff auf externe Netzwerkstandorte von UDFs und Prozeduren aus zu verwalten. Die Integration gibt nur die Standorte und Anmeldeinformationen an, die von UDFs und Prozeduren, die auf die Integration verweisen, verwendet werden dürfen. Ein Administrator kann die Integration auch aktivieren oder deaktivieren, um den Zugriff auf externe Standorte zu verwalten.

CREATE OR REPLACE EXTERNAL ACCESS INTEGRATION google_apis_access_integration
  ALLOWED_NETWORK_RULES = (google_apis_network_rule)
  ALLOWED_AUTHENTICATION_SECRETS = (oauth_token)
  ENABLED = true;

Verwendung der Integration für den externen Zugriff in einer Funktion oder Prozedur¶

Wenn Sie den Befehl CREATE FUNCTION oder CREATE PROCEDURE verwenden, um eine UDF oder Prozedur zu erstellen, können Sie den Zugriff auf externe Netzwerkstandorte wie folgt aktivieren:

• Fügen Sie den Parameter EXTERNAL_ACCESS_INTEGRATIONS ein und setzen Sie seinen Wert auf eine oder mehrere Integrationen.

  Jede von Ihnen angegebene Integration ermöglicht den Zugriff auf die externen Netzwerkstandorte und Geheimnisse, die die Integration angibt.

• Fügen Sie den Parameter SECRETS ein und setzen Sie seinen Wert auf ein oder mehrere Geheimnisse und die Namen, mit denen Sie vom Handler-Code aus auf sie zugreifen werden.

  Die Geheimnisse, die Sie als Werte angeben, müssen auch in der Integration für den externen Zugriff angegeben werden.

• Greifen Sie im Handler-Code auf das Geheimnis zu, um die Anmeldeinformationen für die Authentifizierung beim externen Netzwerkstandort abzurufen.

Snowflake begrenzt die Gesamtzahl der Verbindungen, die von einer bestimmten UDF aus hergestellt werden können. Um Probleme mit der Ressourcenerschöpfung zu vermeiden, sollten Sie Verbindungen so oft wie möglich wiederverwenden. Sie können dies erreichen, indem Sie den TCP-Client oder die Sitzung einmal während der UDF-Initialisierung erstellen und ihn/sie dann im UDF-Handler für den Rest der Abfrage verwenden.

CREATE OR REPLACE FUNCTION google_translate_python(sentence STRING, language STRING)
RETURNS STRING
LANGUAGE PYTHON
RUNTIME_VERSION = 3.8
HANDLER = 'get_translation'
EXTERNAL_ACCESS_INTEGRATIONS = (google_apis_access_integration)
PACKAGES = ('snowflake-snowpark-python','requests')
SECRETS = ('cred' = oauth_token )
AS
$$
import _snowflake
import requests
import json
session = requests.Session()
def get_translation(sentence, language):
  token = _snowflake.get_oauth_access_token('cred')
  url = "https://translation.googleapis.com/language/translate/v2"
  data = {'q': sentence,'target': language}
  response = session.post(url, json = data, headers = {"Authorization": "Bearer " + token})
  return response.json()['data']['translations'][0]['translatedText']
$$;