Verwenden und Verwalten der Verbundauthentifizierung¶

Funktionsweise von browserbasiertem SSO¶

Wenn eine Clientanwendung für die Verwendung von browserbasiertem SSO konfiguriert ist, erfolgt die Benutzerauthentifizierung der Anwendung in folgenden Schritten:

1. Die Anwendung startet den Standard-Webbrowser im Betriebssystem des Benutzers oder öffnet eine neue Browser-Registerkarte bzw. ein neues Browser-Fenster, in dem die Authentifizierungsseite des IdP angezeigt wird.

2. Der Benutzer gibt seine IdP-Anmeldeinformationen (Benutzername und Kennwort) ein.

3. Wenn der Benutzer für die MFA (mehrstufige Authentifizierung) in Snowflake registriert ist, wird er aufgefordert, die MFA-Kennung einzugeben (von einem anderen Gerät gesendet) oder die Authentifizierung zu bestätigen (auf dem anderen Gerät).

4. Wenn der IdP die Anmeldeinformationen des Benutzers authentifiziert hat, wird im Browser eine Erfolgsmeldung angezeigt. Der Benutzer kann dann die Browser-Registerkarte bzw. das Browser-Fenster schließen (muss nach der Authentifizierung nicht geöffnet werden) und zur Anwendung zurückkehren, um die initiierte Snowflake-Sitzung zu verwenden.

Voraussetzungen für die Verwendung von browserbasiertem SSO¶

Bei browserbasiertem SSO muss der von Snowflake bereitgestellte Client (z. B. der Snowflake-JDBC-Treiber) den Webbrowser des Benutzers öffnen können. Aus diesem Grund müssen der von Snowflake bereitgestellte Client und die Clientanwendung, die ihn verwendet, auf dem Computer des Benutzers installiert sein. Browserbasiertes SSO funktioniert nicht, wenn auf dem von Snowflake bereitgestellten Client Code angewendet werden soll, der auf einem Server ausgeführt wird.

Einrichten von browserbasiertem SSO¶

Um browserbasiertes SSO für die Authentifizierung einzurichten, setzen Sie den Anmeldeparameter/die Option authenticator für den Client auf externalbrowser.

Verwenden von Verbindungscaching zum Minimieren der Anzahl der Eingabeaufforderungen für die Authentifizierung – Optional¶

Immer, wenn eine Clientanwendung eine neue Verbindung zu Snowflake herstellt, wird der Benutzer zur Authentifizierung aufgefordert. Dies kann zu mehreren Eingabeaufforderungen für die Authentifizierung führen, wenn die Clientanwendung mehrmals eine Verbindung herstellt.

Um die Häufigkeit zu minimieren, mit der ein Benutzer zur Authentifizierung aufgefordert wird, kann der Kontoadministrator das Verbindungscaching aktivieren.

Wenn das Verbindungscaching aktiviert ist, speichert die Clientanwendung ein Verbindungstoken zur Verwendung bei nachfolgenden Verbindungen. Aus Sicherheitsgründen wird das Verbindungstoken im Keystore des Betriebssystems gespeichert. Bevor Sie das Verbindungscaching aktivieren, wenden Sie sich an Ihr Sicherheitsteam, um festzustellen, ob Verbindungscaching den Sicherheitsrichtlinien entspricht.

Snowflake unterstützt das Verbindungscaching mit den folgenden Treibern und Konnektoren unter macOS und Windows (derzeit wird dieses Feature unter Linux nicht unterstützt):

• Go-Treiber, Version 1.6.15 (oder höher)

• JDBC-Treiber, Version 3.12.8 (oder höher)

• ODBC-Treiber, Version 2.21.2 (oder höher)

• Snowflake-Konnektor für Python 2.2.8 (oder höher)

So aktivieren Sie das Verbindungscaching:

1. Setzen Sie den Parameter ALLOW_ID_TOKEN auf Kontoebene auf true:

   alter account set allow_id_token = true;
   

   Copy

   Bemerkung

   Sie müssen ein Kontoadministrator sein (d. h. ein Benutzer mit der Rolle ACCOUNTADMIN), um das Verbindungscaching aktivieren zu können.

2. Fügen Sie das Paket oder die Bibliotheken hinzu, die der Treiber oder Konnektor benötigt:

   • Wenn Sie den Snowflake-Konnektor für Python verwenden, installieren Sie das optionale Schlüsselbundpaket, indem Sie Folgendes ausführen:

     pip install "snowflake-connector-python[secure-local-storage]"
     

     Copy

     Sie müssen die eckigen Klammern ([ und ]) wie im Befehl angegeben eingeben. Die eckigen Klammern geben den zusätzlichen Teil des Pakets an, der installiert werden soll.

     Schließen Sie den Namen des Pakets wie gezeigt in Anführungszeichen ein, um zu verhindern, dass die eckigen Klammern als Platzhalter interpretiert werden.

     Wenn Sie andere Zusätze installieren müssen (z. B. pandas zur Verwendung der Python-Konnektor-APIs für Pandas), verwenden Sie ein Komma zwischen den Zusätzen:

     pip install "snowflake-connector-python[secure-local-storage,pandas]"
     

     Copy

   • Weitere Informationen zum Snowflake-JDBC-Treiber finden Sie unter Hinzufügen der JNA-Klassen zu Ihrem Klassenpfad.

Upgrade auf Okta Identity Engine¶

Wenn Sie ein Upgrade von Okta Classic auf Okta Identity Engine für natives SSO vornehmen, müssen Sie Ihre Snowflake-Clienttreiber vor dem Upgrade aktualisieren.

Wenn nach dem Upgrade HTTP-429-Fehler auftreten, haben Sie höchstwahrscheinlich die Begrenzung für die Anforderungsrate erreicht, die der von den neuesten Clienttreibern verwendete Authentifizierungsendpunkt erzwingt. Weitere Informationen dazu finden Sie unter HTTP-Fehler 429 (unter diesem Thema).

HTTP-Fehler 429¶

Die Okta Identity Engine erfordert die Kommunikation über ihren Authentifizierungsendpunkt (/api/v1/authn), der derzeit eine Ratenbegrenzung von 20 Anforderungen pro Benutzer pro 5 Sekunden hat. Um die Okta Identity Engine zu unterstützen, verwenden die neuesten Snowflake-Clienttreiber diesen Authentifizierungsendpunkt und unterliegen daher der Ratenbegrenzung. Wenn die Begrenzung zu hoch ist, wenden Sie sich an den Okta-Support, um die Ratenbegrenzung des Authentifizierungsendpunkts zu erhöhen.

Snowflake-Clienttreiber wechselten in den folgenden Versionen zum Authentifizierungsendpunkt:

• Go: 1.6.20

• JDBC: 3.13.22

• .NET: 2.0.20

• Node.js: 1.6.21

• ODBC: 2.25.5

• Python: 2.7.12

• SnowSQL: 1.2.24

• SQLAlchemy: 1.4.6