CREATE SECURITY INTEGRATION (SCIM)¶

Syntax¶

CREATE [ OR REPLACE ] SECURITY INTEGRATION [ IF NOT EXISTS ]
    <name>
    TYPE = SCIM
    ENABLED = { TRUE | FALSE }
    SCIM_CLIENT = { 'OKTA' | 'AZURE' | 'GENERIC' }
    RUN_AS_ROLE = { 'OKTA_PROVISIONER' | 'AAD_PROVISIONER' | 'GENERIC_SCIM_PROVISIONER' }
    [ NETWORK_POLICY = '<network_policy>' ]
    [ SYNC_PASSWORD = { TRUE | FALSE } ]
    [ COMMENT = '<string_literal>' ]

Erforderliche Parameter¶

name

Zeichenfolge, die den Bezeichner (d. h. den Namen) für die Integration angibt. Muss in Ihrem Konto eindeutig sein.

Darüber hinaus muss der Bezeichner mit einem Buchstaben beginnen und darf keine Leer- oder Sonderzeichen enthalten, es sei denn, die gesamte Bezeichnerzeichenfolge wird in doppelte Anführungszeichen gesetzt (z. B. "My object"). Bei Bezeichnern, die in doppelte Anführungszeichen eingeschlossen sind, ist auch die Groß-/Kleinschreibung zu beachten.

Weitere Details dazu finden Sie unter Anforderungen an Bezeichner.

TYPE = SCIM

Geben Sie den Typ der Integration an:

• SCIM: Erstellt eine Sicherheitsschnittstelle zwischen Snowflake und einem Client, der SCIM unterstützt.

ENABLED = { TRUE | FALSE }

Geben Sie an, ob die Sicherheitsintegration aktiviert ist. Um eine Sicherheitsintegration zu erstellen, die deaktiviert ist, setzen Sie ENABLED = FALSE.

Standard: TRUE

SCIM_CLIENT = { 'OKTA' | 'AZURE' | 'GENERIC' }

Gibt den SCIM-Client an.

RUN_AS_ROLE = { 'OKTA_PROVISIONER' | 'AAD_PROVISIONER' | 'GENERIC_SCIM_PROVISIONER' }

Gibt die SCIM-Rolle in Snowflake an, die Eigentümer aller Benutzer und Rollen ist, die mit SCIM vom Identitätsanbieter in Snowflake importiert werden.

Die Werte OKTA_PROVISIONER, AAD_PROVISIONER und GENERIC_SCIM_PROVISIONER unterscheiden zwischen Groß- und Kleinschreibung und müssen immer groß geschrieben werden.

Optionale Parameter¶

NETWORK_POLICY = 'network_policy'

Gibt eine bestehende Netzwerkrichtlinie an, die den SCIM-Netzwerkdatenverkehr kontrolliert.

Wenn für das Konto oder den Benutzer auch Netzwerkrichtlinien festgelegt sind, finden Sie entsprechende Informationen unter Rangfolge bei Netzwerkrichtlinien.

SYNC_PASSWORD = { TRUE | FALSE }

Gibt an, ob die Synchronisierung eines Benutzerkennworts von einem Okta-SCIM-Client als Teil der API-Anforderung an Snowflake aktiviert oder deaktiviert werden soll.

• TRUE aktiviert die Kennwortsynchronisierung.

• FALSE deaktiviert die Kennwortsynchronisierung.

Standard: TRUE. Wenn eine Sicherheitsintegration erstellt wird, ohne diesen Parameter festzulegen, setzt Snowflake den Parameter auf TRUE.

Wenn Benutzerkennwörter nicht vom Client zu Snowflake synchronisiert werden sollen, stellen Sie sicher, dass dieser Eigenschaftswert auf FALSE gesetzt ist und die Kennwortsynchronisierung im Client deaktiviert ist.

Beachten Sie, dass diese Eigenschaft für Okta- und für kundenspezifische SCIM-Integrationen unterstützt wird. Azure-SCIM-Integrationen werden nicht unterstützt, da Microsoft Azure die Kennwortsynchronisierung nicht unterstützt. Wenn Sie entsprechenden Support benötigen, wenden Sie sich an Microsoft Azure.

Weitere Details dazu finden Sie unter Verwalten von Benutzern und Gruppen mit SCIM.

COMMENT = 'string_literal'

Gibt einen Kommentar für die Integration an.

Standard: Kein Wert

Anforderungen an die Zugriffssteuerung¶

Eine Rolle, die zur Ausführung dieses SQL-Befehls verwendet wird, muss mindestens die folgenden Berechtigungen haben:

Eine Anleitung zum Erstellen einer kundenspezifischen Rolle mit einem bestimmten Satz von Berechtigungen finden Sie unter Erstellen von kundenspezifischen Rollen.

Allgemeine Informationen zu Rollen und Berechtigungen zur Durchführung von SQL-Aktionen auf sicherungsfähigen Objekten finden Sie unter Übersicht zur Zugriffssteuerung.

Nutzungshinweise¶

• Metadaten:

  Achtung

  Kunden müssen sicherstellen, dass bei der Nutzung des Snowflake-Dienstes keine personenbezogenen Daten (außer für ein Objekt „Benutzer“), sensible Daten, exportkontrollierte Daten oder andere regulierte Daten als Metadaten eingegeben werden. Weitere Informationen dazu finden Sie unter Metadatenfelder in Snowflake.

• CREATE OR REPLACE <Objekt>-Anweisungen sind atomar. Das heißt, wenn ein Objekt ersetzt wird, erfolgt das Löschen des alten Objekts und das Erstellen des neuen Objekts in einer einzigen Transaktion.

Beispiele¶

CREATE OR REPLACE SECURITY INTEGRATION okta_provisioning
    TYPE = scim
    SCIM_CLIENT = 'AZURE'
    RUN_AS_ROLE = 'AAD_PROVISIONER';

DESC SECURITY INTEGRATION aad_provisioning;

CREATE OR REPLACE SECURITY INTEGRATION okta_provisioning
    TYPE = scim
    SCIM_CLIENT = 'OKTA'
    RUN_AS_ROLE = 'OKTA_PROVISIONER';