AWS PrivateLink & Snowflake¶

Was ist AWS PrivateLink?¶

AWS PrivateLink ist ein AWS-Dienst zum Erstellen von privaten VPC-Endpunkten, die eine direkte, sichere Konnektivität zwischen Ihren AWS-VPCs und dem Snowflake-VPC unter Umgehung des öffentlichen Internets erlauben. Diese Konnektivität ist für AWS-VPCs in derselben AWS-Region möglich.

Für Schreiben von externen Funktionen können Sie auch AWS PrivateLink mit privaten Endpunkten verwenden.

Wenn Sie zudem eine lokale Umgebung (z. B. ein nicht gehostetes Rechenzentrum) nutzen, können Sie AWS Direct Connect zusammen mit AWS PrivateLink verwenden, um alle Ihre virtuellen und physischen Umgebungen zu einem einzigen privaten Netzwerk zusammenzuschließen.

Aktivieren von AWS PrivateLink¶

Um AWS PrivateLink für Ihr Snowflake-Konto zu aktivieren, führen Sie die folgenden Schritte aus:

1. Führen Sie in Ihrer Befehlszeilenumgebung den folgenden AWS CLI STS-Befehl aus, und speichern Sie die Ausgabe. Die Ausgabe wird im nächsten Schritt als Wert für das Argument federated_token verwendet.

   aws sts get-federation-token --name sam
   

   Beachten Sie, dass get-federation-token entweder einen Identitäts- und Zugriffsverwaltungsbenutzer in AWS oder den Root-Benutzer des AWS-Kontos benötigt. Weitere Informationen dazu finden Sie in der AWS-Dokumentation.

   Extrahieren Sie die 12-stellige Nummer im "FederatedUserId"-Wert (abgeschnitten). Wenn Ihr Token beispielsweise wie folgt lautet:

   {
      ...
      "FederatedUser": {
          "FederatedUserId": "185...:sam",
          "Arn": "arn:aws:sts::185...:federated-user/sam"
      },
      "PackedPolicySize": 0
    }
   

   Extrahieren Sie 185.... Diese 12-stellige Nummer wird im nächsten Schritt als Wert für die aws_id verwendet.

2. Rufen Sie als Snowflake-Kontoadministrator (d. h. ein Benutzer mit der Systemrolle ACCOUNTADMIN) die Funktion SYSTEM$AUTHORIZE_PRIVATELINK auf, um AWS PrivateLink für Ihr Snowflake-Konto zu autorisieren (d. h. zu aktivieren):

   select SYSTEM$AUTHORIZE_PRIVATELINK ( '<aws_id>' , '<federated_token>' );
   

   Wobei:

   • 'aws_id'

     Der 12-stellige Bezeichner, mit dem Ihr Amazon Web Services (AWS)-Konto als Zeichenfolge eindeutig identifiziert wird.

   • 'federated_token'

     Der Wert des Verbundtokens, der die Zugriffsanmeldeinformationen für einen Verbundbenutzer als Zeichenfolge enthält.

   Beispiel:

   use role accountadmin;
   
   select SYSTEM$AUTHORIZE_PRIVATELINK (
       '185...',
       '{
          "Credentials": {
              "AccessKeyId": "ASI...",
              "SecretAccessKey": "enw...",
              "SessionToken": "Fwo...",
              "Expiration": "2021-01-07T19:06:23+00:00"
          },
          "FederatedUser": {
              "FederatedUserId": "185...:sam",
              "Arn": "arn:aws:sts::185...:federated-user/sam"
          },
          "PackedPolicySize": 0
       }'
     );
   

Um Ihre autorisierte Konfiguration zu überprüfen, rufen Sie in Ihrem Snowflake-Konto auf AWS die Funktion SYSTEM$GET_PRIVATELINK auf. Diese Funktion verwendet dieselben Argumente für 'aws_id' und 'federated_token', die zur Autorisierung Ihres Snowflake-Kontos verwendet wurden.

Snowflake gibt bei einer erfolgreichen Autorisierung den Wert Account is authorized for PrivateLink. zurück.

Wenn es notwendig ist, AWS PrivateLink in Ihrem Snowflake-Konto zu deaktivieren, rufen Sie die Funktion SYSTEM$REVOKE_PRIVATELINK auf, wobei Sie dieselben Argumentwerte für 'aws-id' und 'federated_token' verwenden.

Konfigurieren der AWS VPC-Umgebung¶

Mit Snowflake verbinden¶

Vor dem Verbinden mit Snowflake können Sie optional mithilfe von SnowCD (Snowflake Connectivity Diagnostic Tool) die Netzwerkverbindung zu Snowflake und AWS PrivateLink evaluieren.

Weitere Informationen dazu finden Sie unter SnowCD und SYSTEM$ALLOWLIST_PRIVATELINK.

Andernfalls stellen Sie eine Verbindung zu Snowflake mit der Konto-URL für private Konnektivität her.

Wenn Sie eine Verbindung zu Snowsight über AWS PrivateLink herstellen möchten, verwenden Sie die Anleitung in der Snowsight-Dokumentation.

Blockieren des öffentlichen Zugriffs – Optional¶

Nach dem Testen der privaten Konnektivität von AWS PrivateLink mit Snowflake können Sie optional den öffentlichen Zugriff auf Snowflake blockieren. Das bedeutet, dass Benutzer nur dann auf Snowflake zugreifen können, wenn ihre Verbindungsanforderung von einer IP-Adresse innerhalb eines bestimmten CIDR-Blockierbereichs stammt, der in einer Snowflake-Netzwerkrichtlinie angegeben ist.

So blockieren Sie den öffentlichen Zugriff mithilfe einer Netzwerkrichtlinie:

1. Erstellen Sie eine neue Netzwerkrichtlinie, oder bearbeiten Sie eine vorhandene Netzwerkrichtlinie. Fügen Sie den CIDR-Blockierbereich für Ihre Organisation hinzu.

2. Aktivieren Sie die Netzwerkrichtlinie für Ihr Konto.

Weitere Details dazu finden Sie unter Netzwerkrichtlinien.

Konfigurieren Ihres Snowflake-Clients¶

Verwenden von SSO mit AWS PrivateLink¶

Snowflake unterstützt die Verwendung von SSO mit AWS PrivateLink. Weitere Informationen dazu finden Sie unter:

• SSO mit privater Konnektivität

• OAuth und private Konnektivität

Verwenden der Clientumleitung mit AWS PrivateLink¶

Snowflake unterstützt die Verwendung der Clientumleitung mit AWS PrivateLink.

Weitere Informationen dazu finden Sie unter Umleiten von Clientverbindungen.

Problembehandlung¶

Beachten Sie die folgenden Artikel der Snowflake-Community:

• Abrufen eines Verbundtokens von AWS für den PrivateLink Self-Service

• FAQ: PrivateLink Self-Service mit AWS

• Problembehandlung: Snowflake-Self-Service-Funktionen für AWS PrivateLink