Workload Identity Federation¶

AWS konfigurieren¶

Um Ihren AWS-Dienst für die Verwendung von AWS IAM als Identitätsanbieter zu konfigurieren, fügen Sie eine IAM-Rolle hinzu. Weitere Informationen dazu finden Sie in der AWS-Dokumentation, die Ihrem Workload entspricht.

• Für Amazon EC2 siehe Eine IAM-Rolle für eine Instanz hinzufügen.

• Für AWS Lambda siehe Lambda-Funktionsberechtigungen mit einer Ausführungsrolle definieren.

Snowflake konfigurieren¶

Um Snowflake zu konfigurieren, erstellen Sie einen Snowflake-Dienstbenutzer, d. h. einen Benutzer vom Typ SERVICE, der zur Authentifizierung bei Snowflake die Workload Identity Federation verwendet.

So erstellen Sie einen Dienstbenutzer für Ihren Workload:

1. Melden Sie sich bei Snowsight an.

2. Wählen Sie Projects » Worksheets aus, um die Liste der Arbeitsblätter zu öffnen.

3. Zum Öffnen eines neuen SQL-Arbeitsblatts wählen Sie + aus.

4. Um einen Dienstbenutzer zu erstellen, der zur Authentifizierung bei Snowflake die Workload Identity Federation verwendet, führen Sie eine CREATE USER-Anweisung im Arbeitsblatt aus:

   CREATE USER <username>
     WORKLOAD_IDENTITY = (
       TYPE = AWS
       ARN = '<amazon_resource_identifier>'
     )
     TYPE = SERVICE
     DEFAULT_ROLE = PUBLIC;
   

   Copy

   Wobei ARN der Wert ist, den Sie vor Beginn dieser Schritte erhalten haben.

Workload für die Verwendung eines Snowflake-Treibers konfigurieren¶

Wenn Ihr Workload einen Python-Treiber benötigt, führen Sie die folgenden Schritte aus:

1. Installieren Sie den Snowflake Connector für Python.

2. Fügen Sie Ihrem Python-Anwendungscode den folgenden Quellcode hinzu:

   import os
   import snowflake.connector
   
   
   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='AWS'
   )
   

   Copy

3. Führen Sie Ihre Python-Anwendung aus. Diese authentifiziert sich bei Snowflake unter Verwendung der Workload Identity Federation.

Microsoft Entra ID konfigurieren¶

Ein Microsoft Entra ID-Mandantenadministrator muss die folgenden Schritte ausführen, um die Verwendung der Snowflake-Workload-Identität zu ermöglichen. Diese Schritte müssen nur einmal pro Microsoft Entra ID-Mandant ausgeführt werden:

1. Melden Sie sich beim Microsoft Azure-Portal an.

2. Stellen Sie sicher, dass Sie über Admin-Berechtigungen für Azure-Mandanten verfügen.

3. Stimmen Sie der Installation der mehrinstanzenfähigen Snowflake EntraID-App zu, indem Sie die Zustimmungs-URI aufrufen.

   Die mehrinstanzenfähige Snowflake EntraID-App ist vom Herausgeber verifiziert und repräsentiert Snowflake als Ressource. Die App wird als Zielgruppe für das Zugriffstoken verwendet, wenn Sie sich bei Snowflake authentifizieren. Diese App benötigt nur grundlegende Berechtigungen und ist nicht berechtigungsabhängig.

4. Wählen Sie Accept aus, um der Snowflake EntraID-App Berechtigungen zu erteilen.

Microsoft Azure konfigurieren¶

Führen Sie die folgenden Schritte aus, um Ihren Microsoft Azure-Dienst für die Verwendung der Workload Identity Federation zu konfigurieren:

1. Melden Sie sich beim Microsoft Azure-Portal an.

2. Wählen Sie Ihren Workload aus, z. B. eine virtuelle Maschine oder einen App-Dienst.

3. Navigieren Sie in der Seitenleiste zu Security » Identity.

4. Aktivieren Sie eine verwaltete Identität für eine Azure VM oder eine Azure-Funktion.

5. Speichern Sie die Object (Principal) ID für einen späteren Schritt.

Snowflake konfigurieren¶

Um Snowflake zu konfigurieren, erstellen Sie einen Snowflake-Dienstbenutzer, d. h. einen Benutzer vom Typ SERVICE, der zur Authentifizierung bei Snowflake die Workload Identity Federation verwendet.

So erstellen Sie einen Dienstbenutzer für Ihren Workload:

1. Melden Sie sich bei Snowsight an.

2. Wählen Sie Projects » Worksheets aus, um die Liste der Arbeitsblätter zu öffnen.

3. Zum Öffnen eines neuen SQL-Arbeitsblatts wählen Sie + aus.

4. Um einen Dienstbenutzer zu erstellen, der zur Authentifizierung bei Snowflake die Workload Identity Federation verwendet, führen Sie eine CREATE USER-Anweisung im Arbeitsblatt aus:

   CREATE USER <username>
     WORKLOAD_IDENTITY = (
       TYPE = AZURE
       ISSUER = 'https://login.microsoftonline.com/<tenant_id>/v2.0'
       SUBJECT = '<managed_identity_object_id>'
     )
     TYPE = SERVICE
     DEFAULT_ROLE = PUBLIC;
   

   Copy

   Wobei ISSUER und SUBJECT die Werte sind, die Sie vor Beginn dieser Schritte erhalten haben.

Workload für die Verwendung eines Snowflake-Treibers konfigurieren¶

Wenn Ihr Workload einen Python-Treiber benötigt, führen Sie die folgenden Schritte aus:

1. Installieren Sie den Snowflake Connector für Python.

2. Fügen Sie Ihrem Python-Anwendungscode den folgenden Quellcode hinzu:

   import snowflake.connector
   
   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='AZURE'
   )
   

   Copy

3. Führen Sie Ihre Python-Anwendung aus. Diese authentifiziert sich bei Snowflake unter Verwendung der Workload Identity Federation.

Google Cloud konfigurieren¶

Um Ihren Dienst für die Verwendung von Google Cloud als Identitätsanbieter zu konfigurieren, verbinden Sie ein Dienstkonto mit GCE oder Ihrer Cloud Run-Instanz.

Snowflake konfigurieren¶

Um Snowflake zu konfigurieren, erstellen Sie einen Snowflake-Dienstbenutzer, d. h. einen Benutzer vom Typ SERVICE, der zur Authentifizierung bei Snowflake die Workload Identity Federation verwendet.

gcloud iam service-accounts describe "<SERVICE_ACCOUNT_EMAIL_ADDRESS>" --format="value(uniqueId)"

So erstellen Sie einen Dienstbenutzer für Ihren Workload:

1. Melden Sie sich bei Snowsight an.

2. Wählen Sie Projects » Worksheets aus, um die Liste der Arbeitsblätter zu öffnen.

3. Zum Öffnen eines neuen SQL-Arbeitsblatts wählen Sie + aus.

4. Um einen Dienstbenutzer zu erstellen, der zur Authentifizierung bei Snowflake die Workload Identity Federation verwendet, führen Sie eine CREATE USER-Anweisung im Arbeitsblatt aus:

   CREATE USER <username>
     WORKLOAD_IDENTITY = (
       TYPE = GCP
       SUBJECT = '<unique_id_of_service_account>'
     )
     TYPE = SERVICE
     DEFAULT_ROLE = PUBLIC;
   

   Copy

   Wobei SUBJECT der Wert ist, den Sie vor Beginn dieser Schritte erhalten haben.

Workload für die Verwendung eines Snowflake-Treibers konfigurieren¶

Wenn Ihr Workload einen Python-Treiber benötigt, führen Sie die folgenden Schritte aus:

1. Installieren Sie den Snowflake Connector für Python.

2. Fügen Sie Ihrem Python-Anwendungscode den folgenden Quellcode hinzu:

   import snowflake.connector
   
   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='GCP'
   )
   

   Copy

3. Führen Sie Ihre Python-Anwendung aus. Diese authentifiziert sich bei Snowflake unter Verwendung der Workload Identity Federation.

EKS konfigurieren¶

1. Konfigurieren Sie EKS, um ID-Token auszugeben, die mit Snowflake kompatibel sind.

   1. Konfigurieren Sie Ihre Pod-Bereitstellung YAML, um ein projiziertes ServiceAccount-Token-Volumen einzufügen.

   2. Konfigurieren Sie die ID-Token, damit ein Zielgruppenanspruch (Audience Claim) mit snowflakecomputing.com enthalten ist.

      Das folgende Beispiel zeigt eine YAML-Konfiguration mit der richtigen Zielgruppe:

      kind: Pod
      metadata:
        name: nginx
      spec:
        containers:
        - image: nginx
          name: nginx
          volumeMounts:
          - mountPath: /var/run/secrets/tokens
            name: snowflake-token
        serviceAccountName: build-robot
        volumes:
        - name: snowflake-token
          projected:
            sources:
            - serviceAccountToken:
                path: snowflake-token
                expirationSeconds: 7200
                audience: snowflakecomputing.com
      

      Copy

Snowflake konfigurieren¶

Um Snowflake zu konfigurieren, erstellen Sie einen Snowflake-Dienstbenutzer, d. h. einen Benutzer vom Typ SERVICE, der zur Authentifizierung bei Snowflake die Workload Identity Federation verwendet.

So erstellen Sie einen Dienstbenutzer für Ihren Workload:

1. Melden Sie sich bei Snowsight an.

2. Wählen Sie Projects » Worksheets aus, um die Liste der Arbeitsblätter zu öffnen.

3. Zum Öffnen eines neuen SQL-Arbeitsblatts wählen Sie + aus.

4. Um einen Dienstbenutzer zu erstellen, der zur Authentifizierung bei Snowflake die Workload Identity Federation verwendet, führen Sie eine CREATE USER-Anweisung im Arbeitsblatt aus:

   CREATE USER my_eks_service
     WORKLOAD_IDENTITY = (
       TYPE = OIDC
       ISSUER = 'https://oidc.eks.<region>.amazonaws.com/id/<issuer_id>'
       SUBJECT = 'system:serviceaccount:<service_account_namespace>:<service_account_name>'
     )
     TYPE = SERVICE;
   

   Copy

   Wobei ISSUER und SUBJECT die Werte sind, die Sie vor Beginn dieser Schritte erhalten haben.

Workload für die Verwendung eines Snowflake-Treibers konfigurieren¶

Wenn Ihr Workload einen Python-Treiber benötigt, führen Sie die folgenden Schritte aus:

1. Installieren Sie den Snowflake Connector für Python.

2. Fügen Sie Ihrem Python-Anwendungscode den folgenden Quellcode hinzu:

   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='OIDC',
     token_file_path='<service_account_token_path>'
   )
   

   Copy

   Wobei service_account_token_path derjenige ist, den Sie im Schritt EKS konfigurieren erstellt haben. Basierend auf dem YAML-Beispiel in diesem Schritt wäre der Token-Pfad /var/run/secrets/tokens/snowflake-token.

3. Führen Sie Ihre Python-Anwendung aus. Diese authentifiziert sich bei Snowflake unter Verwendung der Workload Identity Federation.

AKS konfigurieren¶

Konfigurieren Sie AKS, um ID-Token auszugeben, die mit Snowflake kompatibel sind:

1. Aktivieren Sie den OIDC-Aussteller auf Ihrem AKS-Cluster.

2. Konfigurieren Sie AKS, um ID-Token auszugeben, die mit Snowflake kompatibel sind.

   1. Konfigurieren Sie Ihre Pod-Bereitstellung YAML, um ein projiziertes ServiceAccount-Token-Volumen einzufügen.

   2. Konfigurieren Sie die ID-Token, damit ein Zielgruppenanspruch (Audience Claim) mit snowflakecomputing.com enthalten ist.

      Das folgende Beispiel zeigt eine YAML-Konfiguration mit der richtigen Zielgruppe:

      kind: Pod
      metadata:
        name: nginx
      spec:
        containers:
        - image: nginx
          name: nginx
          volumeMounts:
          - mountPath: /var/run/secrets/tokens
            name: snowflake-token
        serviceAccountName: build-robot
        volumes:
        - name: snowflake-token
          projected:
            sources:
            - serviceAccountToken:
                path: snowflake-token
                expirationSeconds: 7200
                audience: snowflakecomputing.com
      

      Copy

Snowflake konfigurieren¶

Um Snowflake zu konfigurieren, erstellen Sie einen Snowflake-Dienstbenutzer, d. h. einen Benutzer vom Typ SERVICE, der zur Authentifizierung bei Snowflake die Workload Identity Federation verwendet.

So erstellen Sie einen Dienstbenutzer für Ihren Workload:

1. Melden Sie sich bei Snowsight an.

2. Wählen Sie Projects » Worksheets aus, um die Liste der Arbeitsblätter zu öffnen.

3. Zum Öffnen eines neuen SQL-Arbeitsblatts wählen Sie + aus.

4. Um einen Dienstbenutzer zu erstellen, der zur Authentifizierung bei Snowflake die Workload Identity Federation verwendet, führen Sie eine CREATE USER-Anweisung im Arbeitsblatt aus:

   CREATE USER my_aks_service
     WORKLOAD_IDENTITY = (
       TYPE = OIDC
       ISSUER = 'https://<region>.oic.prod-aks.azure.com/<tenant_id>/<uuid>/'
       SUBJECT = 'system:serviceaccount:<service_account_namespace>:<service_account_name>'
     )
     TYPE = SERVICE;
   

   Copy

   Wobei ISSUER und SUBJECT die Werte sind, die Sie vor Beginn dieser Schritte erhalten haben.

Workload für die Verwendung eines Snowflake-Treibers konfigurieren¶

Wenn Ihr Workload einen Python-Treiber benötigt, führen Sie die folgenden Schritte aus:

1. Installieren Sie den Snowflake Connector für Python.

2. Fügen Sie Ihrem Python-Anwendungscode den folgenden Quellcode hinzu:

   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='OIDC',
     token_file_path='<service_account_token_path>'
   )
   

   Copy

   Wobei service_account_token_path derjenige ist, den Sie im Schritt AKS konfigurieren erstellt haben. Basierend auf dem YAML-Beispiel in diesem Schritt wäre der Token-Pfad /var/run/secrets/tokens/snowflake-token.

3. Führen Sie Ihre Python-Anwendung aus. Diese authentifiziert sich bei Snowflake unter Verwendung der Workload Identity Federation.

GKE konfigurieren¶

1. Konfigurieren Sie GKE, um ID-Token auszugeben, die mit Snowflake kompatibel sind.

   1. Konfigurieren Sie Ihre Pod-Bereitstellung YAML, um ein projiziertes ServiceAccount-Token-Volumen einzufügen.

   2. Konfigurieren Sie die ID-Token, damit ein Zielgruppenanspruch (Audience Claim) mit snowflakecomputing.com enthalten ist.

      Das folgende Beispiel zeigt eine YAML-Konfiguration mit der richtigen Zielgruppe:

      kind: Pod
      metadata:
        name: nginx
      spec:
        containers:
        - image: nginx
          name: nginx
          volumeMounts:
          - mountPath: /var/run/secrets/tokens
            name: snowflake-token
        serviceAccountName: build-robot
        volumes:
        - name: snowflake-token
          projected:
            sources:
            - serviceAccountToken:
                path: snowflake-token
                expirationSeconds: 7200
                audience: snowflakecomputing.com
      

      Copy

Snowflake konfigurieren¶

Um Snowflake zu konfigurieren, erstellen Sie einen Snowflake-Dienstbenutzer, d. h. einen Benutzer vom Typ SERVICE, der zur Authentifizierung bei Snowflake die Workload Identity Federation verwendet.

So erstellen Sie einen Dienstbenutzer für Ihren Workload:

1. Melden Sie sich bei Snowsight an.

2. Wählen Sie Projects » Worksheets aus, um die Liste der Arbeitsblätter zu öffnen.

3. Zum Öffnen eines neuen SQL-Arbeitsblatts wählen Sie + aus.

4. Um einen Dienstbenutzer zu erstellen, der zur Authentifizierung bei Snowflake die Workload Identity Federation verwendet, führen Sie eine CREATE USER-Anweisung im Arbeitsblatt aus:

   CREATE USER my_gke_service
     WORKLOAD_IDENTITY = (
       TYPE = OIDC
       ISSUER = 'https://container.googleapis.com/v1/projects/<project_id>/locations/<region>/clusters/<cluster_name>'
       SUBJECT = 'system:serviceaccount:<service_account_namespace>:<service_account_name>'
     )
     TYPE = SERVICE;
   

   Copy

   Wobei ISSUER und SUBJECT die Werte sind, die Sie vor Beginn dieser Schritte erhalten haben.

Workload für die Verwendung eines Snowflake-Treibers konfigurieren¶

Wenn Ihr Workload einen Python-Treiber benötigt, führen Sie die folgenden Schritte aus:

1. Installieren Sie den Snowflake Connector für Python.

2. Fügen Sie Ihrem Python-Anwendungscode den folgenden Quellcode hinzu:

   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='OIDC',
     token_file_path='<service_account_token_path>'
   )
   

   Copy

   Wobei service_account_token_path derjenige ist, den Sie im Schritt GKE konfigurieren erstellt haben. Basierend auf dem YAML-Beispiel in diesem Schritt wäre der Token-Pfad /var/run/secrets/tokens/snowflake-token.

3. Führen Sie Ihre Python-Anwendung aus. Diese authentifiziert sich bei Snowflake unter Verwendung der Workload Identity Federation.

OIDC-Anbieter konfigurieren¶

1. Stellen Sie sicher, dass Ihr OIDC-Anbieter die OpenID-Konfiguration, wie in der Erkennungsspezifikation angegeben, unterstützt. Sowohl die Konfiguration als auch der jwks_uri-Endpunkt der Konfiguration muss öffentlich zugänglich sein.

2. Konfigurieren Sie Ihren OpenID-Anbieter, um ID-Token mit einem Zielgruppenanspruch auszugeben, der auf snowflakecomputing.com festgelegt ist oder eine nicht leere kundenspezifische Liste ist. Wenn Sie eine nicht leere kundenspezifische Liste definieren, müssen Sie diese angeben, wenn Sie einen Dienstbenutzer in Snowflake erstellen.

Snowflake konfigurieren¶

Um Snowflake zu konfigurieren, erstellen Sie einen Snowflake-Dienstbenutzer, d. h. einen Benutzer vom Typ SERVICE, der zur Authentifizierung bei Snowflake die Workload Identity Federation verwendet.

ID_TOKEN_PATH=<id_token_path>

JWS_PAYLOAD=$(cat $ID_TOKEN_PATH | jq -R 'split(".") | .[1] | gsub("-";"+") | gsub("_";"/") | @base64d | fromjson')
echo "ISSUER = '$(echo $JWS_PAYLOAD | jq -r .iss)'"
echo "SUBJECT = '$(echo $JWS_PAYLOAD | jq -r .sub)'"

So erstellen Sie einen Dienstbenutzer für Ihren Workload:

1. Melden Sie sich bei Snowsight an.

2. Wählen Sie Projects » Worksheets aus, um die Liste der Arbeitsblätter zu öffnen.

3. Zum Öffnen eines neuen SQL-Arbeitsblatts wählen Sie + aus.

4. Um einen Dienstbenutzer zu erstellen, der zur Authentifizierung bei Snowflake die Workload Identity Federation verwendet, führen Sie eine CREATE USER-Anweisung im Arbeitsblatt aus:

   CREATE USER my_custom_service
     WORKLOAD_IDENTITY = (
       TYPE = OIDC
       ISSUER = '<issuer>'
       SUBJECT = '<subject>'
       OIDC_AUDIENCE_LIST = ('<custom_audience>')
     )
     TYPE = SERVICE;
   

   Copy

   Wobei:

   • ISSUER und SUBJECT sind die Werte, die Sie vor Beginn dieser Schritte erhalten haben.

   • OIDC_AUDIENCE_LIST ist eine nicht leere Obermenge des Zielgruppenanspruchs des ID-Tokens, der in OIDC-Anbieter konfigurieren festgelegt wurde. Sie müssen OIDC_AUDIENCE_LIST nicht angeben, wenn der Zielgruppenanspruch des ID-Tokens snowflakecomputing.com ist.

Workload für die Verwendung eines Snowflake-Treibers konfigurieren¶

Wenn Ihr Workload einen Python-Treiber benötigt, führen Sie die folgenden Schritte aus:

1. Installieren Sie den Snowflake Connector für Python.

2. Fügen Sie Ihrem Python-Anwendungscode den folgenden Quellcode hinzu:

   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='OIDC',
     token='<id_token>'
   )
   

   Copy

   Wobei id_token ein nicht abgelaufenes ID-Token ist, das Sie von Ihrem OIDC-Anbieter für Ihren Workload erhalten haben. Wie Sie dieses Token erhalten, erfahren Sie in der Dokumentation zu Ihrem OIDC-Anbieter.

3. Führen Sie Ihre Python-Anwendung aus. Diese authentifiziert sich bei Snowflake unter Verwendung der Workload Identity Federation.