AWS PrivateLink und Snowflake¶

Was ist AWS PrivateLink?¶

AWS PrivateLink ist ein AWS-Dienst zum Erstellen von privaten VPC-Endpunkten, die eine direkte, sichere Konnektivität zwischen Ihren AWS-VPCs und dem Snowflake-VPC unter Umgehung des öffentlichen Internets erlauben. Diese Konnektivität ist für AWS-VPCs in derselben AWS-Region möglich.

Für Schreiben von externen Funktionen können Sie auch AWS PrivateLink mit privaten Endpunkten verwenden.

Wenn Sie zudem eine lokale Umgebung (z. B. ein nicht gehostetes Rechenzentrum) nutzen, können Sie AWS Direct Connect zusammen mit AWS PrivateLink verwenden, um alle Ihre virtuellen und physischen Umgebungen zu einem einzigen privaten Netzwerk zusammenzuschließen.

Aktivieren von AWS PrivateLink¶

Um AWS PrivateLink für Ihr Snowflake-Konto zu aktivieren, führen Sie die folgenden Schritte aus:

1. Führen Sie in Ihrer Befehlszeilenumgebung den folgenden AWS CLI STS-Befehl aus, und speichern Sie die Ausgabe. Die Ausgabe wird im nächsten Schritt als Wert für das Argument federated_token verwendet.

   aws sts get-federation-token --name sam
   

   Copy

   Beachten Sie, dass get-federation-token entweder einen Identitäts- und Zugriffsverwaltungsbenutzer in AWS oder den Root-Benutzer des AWS-Kontos benötigt. Weitere Informationen dazu finden Sie in der AWS-Dokumentation.

   Extrahieren Sie die 12-stellige Nummer im "FederatedUserId"-Wert (abgeschnitten). Wenn Ihr Token beispielsweise wie folgt lautet:

   {
      ...
      "FederatedUser": {
          "FederatedUserId": "185...:sam",
          "Arn": "arn:aws:sts::185...:federated-user/sam"
      },
      "PackedPolicySize": 0
    }
   

   Copy

   Extrahieren Sie 185.... Diese 12-stellige Nummer wird im nächsten Schritt als Wert für die aws_id verwendet.

2. Rufen Sie als Snowflake-Kontoadministrator (d. h. ein Benutzer mit der Systemrolle ACCOUNTADMIN) die Funktion SYSTEM$AUTHORIZE_PRIVATELINK auf, um AWS PrivateLink für Ihr Snowflake-Konto zu autorisieren (d. h. zu aktivieren):

   select SYSTEM$AUTHORIZE_PRIVATELINK ( '<aws_id>' , '<federated_token>' );
   

   Copy

   Wobei:

   • 'aws_id'

     Der 12-stellige Bezeichner, mit dem Ihr Amazon Web Services (AWS)-Konto als Zeichenfolge eindeutig identifiziert wird.

   • 'federated_token'

     Der Wert des Verbundtokens, der die Zugriffsanmeldeinformationen für einen Verbundbenutzer als Zeichenfolge enthält.

   Beispiel:

   use role accountadmin;
   
   select SYSTEM$AUTHORIZE_PRIVATELINK (
       '185...',
       '{
          "Credentials": {
              "AccessKeyId": "ASI...",
              "SecretAccessKey": "enw...",
              "SessionToken": "Fwo...",
              "Expiration": "2021-01-07T19:06:23+00:00"
          },
          "FederatedUser": {
              "FederatedUserId": "185...:sam",
              "Arn": "arn:aws:sts::185...:federated-user/sam"
          },
          "PackedPolicySize": 0
       }'
     );
   

   Copy

Um Ihre autorisierte Konfiguration zu überprüfen, rufen Sie in Ihrem Snowflake-Konto auf AWS die Funktion SYSTEM$GET_PRIVATELINK auf. Diese Funktion verwendet dieselben Argumente für 'aws_id' und 'federated_token', die zur Autorisierung Ihres Snowflake-Kontos verwendet wurden.

Snowflake gibt bei einer erfolgreichen Autorisierung den Wert Account is authorized for PrivateLink. zurück.

Wenn es notwendig ist, AWS PrivateLink in Ihrem Snowflake-Konto zu deaktivieren, rufen Sie die Funktion SYSTEM$REVOKE_PRIVATELINK auf, wobei Sie dieselben Argumentwerte für 'aws-id' und 'federated_token' verwenden.

Um Ihre Sicherheitsvorkehrungen weiter zu verstärken, empfiehlt Snowflake Pinning privater Konnektivitätendpunkte für eingehenden Datenverkehr für Ihr Snowflake-Konto.

Konfigurieren der AWS-VPC-Umgebung¶

Mit Snowflake verbinden¶

Vor dem Verbinden mit Snowflake können Sie optional mithilfe von SnowCD (Snowflake Connectivity Diagnostic Tool) die Netzwerkverbindung zu Snowflake und AWS PrivateLink evaluieren.

Weitere Informationen dazu finden Sie unter SnowCD und SYSTEM$ALLOWLIST_PRIVATELINK.

Andernfalls stellen Sie eine Verbindung zu Snowflake mit der Konto-URL für private Konnektivität her.

Wenn Sie eine Verbindung zu Snowsight über AWS PrivateLink herstellen möchten, verwenden Sie die Anleitung in der Snowsight-Dokumentation.

Sperrung des öffentlichen Zugangs — Empfohlen¶

Nach dem Testen der privaten Konnektivität von AWS PrivateLink mit Snowflake können Sie optional den öffentlichen Zugriff auf Snowflake blockieren. Das bedeutet, dass Benutzer nur dann auf Snowflake zugreifen können, wenn ihre Verbindungsanforderung von einer IP-Adresse innerhalb eines bestimmten CIDR-Blockierbereichs stammt, der in einer Snowflake-Netzwerkrichtlinie angegeben ist.

So blockieren Sie den öffentlichen Zugriff mithilfe einer Netzwerkrichtlinie:

1. Erstellen Sie eine neue Netzwerkrichtlinie, oder bearbeiten Sie eine vorhandene Netzwerkrichtlinie. Fügen Sie den CIDR-Blockierbereich für Ihre Organisation hinzu.

2. Aktivieren Sie die Netzwerkrichtlinie für Ihr Konto.

Weitere Details dazu finden Sie unter Steuern des Netzwerkdatenverkehrs mit Netzwerkrichtlinien.

Konfigurieren Ihres Snowflake-Clients¶

Verwenden von SSO mit AWS PrivateLink¶

Snowflake unterstützt die Verwendung von SSO mit AWS PrivateLink. Weitere Informationen dazu finden Sie unter:

• SSO mit privater Konnektivität

• Partneranwendungen

Verwenden der Clientumleitung mit AWS PrivateLink¶

Snowflake unterstützt die Verwendung der Clientumleitung mit AWS PrivateLink.

Weitere Informationen dazu finden Sie unter Umleiten von Clientverbindungen.

Verwenden von Replikation und Tri-Secret Secure mit privater Konnektivität¶

Snowflake unterstützt das Replizieren Ihrer Daten vom Quellkonto in ein Zielkonto, unabhängig davon, ob Sie Tri-Secret Secure oder dieses Feature im Zielkonto aktivieren.

Problembehandlung¶

Beachten Sie die folgenden Artikel der Snowflake-Community:

• Abrufen eines Verbundtokens von AWS für den PrivateLink Self-Service

• FAQ: PrivateLink Self-Service mit AWS

• Problembehandlung: Snowflake-Self-Service-Funktionen für AWS PrivateLink