AWS PrivateLink und Snowflake¶

AWS PrivateLink: Überblick¶

AWS PrivateLink ist ein AWS-Dienst zum Erstellen von privaten VPC-Endpunkten, die eine direkte, sichere Konnektivität zwischen Ihren AWS VPCs und der Snowflake VPC unter Umgehung des öffentlichen Internets erlauben. Die AWS PrivateLink-Konnektivität unterstützt VPC-Endpunktdienste und AWS VPCs, die sich in derselben oder in verschiedenen AWS-Regionen befinden. Regionsübergreifende Konnektivität für AWS PrivateLink ermöglicht Ihnen die Verwendung eines benutzerdefinierten Endpunkt-Service, um ein Snowflake-Konto in einer Region zu verbinden, die sich von Ihrer AWS VPC-Region unterscheidet. Regionsübergreifende Konnektivität wird derzeit für keinen Platform-as-a-Service (PaaS) unterstützt, wie z. B. Amazon Simple Storage Service (Amazon S3) oder Key Management Service (KMS).

Weitere Informationen dazu finden Sie auf der AWS-Blogseite Einführung der regionsübergreifenden Konnektivität für AWS PrivateLink. Weitere Informationen zum Auffinden der Regionsnamen für Ihr Konto finden Sie unter Namen des Cloudanbieters der Region für Ihr Konto suchen.

Beim Schreiben externer Funktionen können Sie auch AWS PrivateLink mit privaten Endpunkten verwenden.

Wenn Sie eine lokale Umgebung (z. B. ein nicht gehostetes Rechenzentrum) nutzen, können Sie AWS Direct Connect mit AWS PrivateLink verwenden, um alle Ihre virtuellen und physischen Umgebungen zu einem einzigen privaten Netzwerk zusammenzuschließen.

AWS PrivateLink aktivieren¶

Um AWS PrivateLink für Ihr Snowflake-Konto zu aktivieren, führen Sie die folgenden Schritte aus:

1. Generieren Sie ein Verbundtoken, und speichern Sie dann die Ausgabe.

   1. Um ein Token zu generieren, führen Sie den Befehl AWS CLI STS über die Befehlszeile aus. get-federation-token erfordert entweder einen Identitäts- und Zugriffsverwaltungsbenutzenden in AWS oder den Root-Benutzenden des AWS-Kontos benötigt. Weitere Informationen dazu finden Sie in der AWS-Dokumentation.

      Wichtig

      Das Verbundtoken läuft nach 12 Stunden ab. Wenn Sie eine der Systemfunktionen aufrufen, um Ihr Snowflake-Konto für die Verwendung von AWS PrivateLink zu autorisieren, zu verifizieren oder zu deaktivieren, und das Token abgelaufen ist, generieren Sie das Token neu, indem Sie den Befehl AWS CLI STS erneut ausführen.

      aws sts get-federation-token --name sam
      

      Copy

      In einem späteren Schritt stellen Sie die Ausgabe dieses Befehls als federated_token-Argument für die SYSTEM$AUTHORIZE_PRIVATELINK-Funktion bereit.

   2. Extrahieren Sie aus Ihrem generierten Token den Wert des Felds "FederatedUserId". Wenn Ihr Token beispielsweise die folgenden Werte enthält:

      {
       ...
         "FederatedUser": {
           "FederatedUserId": "185...:sam",
           "Arn": "arn:aws:sts::185...:federated-user/sam"
         },
       "PackedPolicySize": 0
      }
      

      Copy

      Extrahieren Sie 185.... Im nächsten Schritt geben Sie diese 12-stellige Nummer als aws_id-Argument für die SYSTEM$AUTHORIZE_PRIVATELINK-Funktion an.

2. Rufen Sie mit der Snowflake-Systemrolle ACCOUNTADMIN die SYSTEM$AUTHORIZE_PRIVATELINK -Funktion zum Autorisieren (Aktivieren) von AWS PrivateLink für Ihr Snowflake-Konto auf:

   SELECT SYSTEM$AUTHORIZE_PRIVATELINK ( '<aws_id>' , '<federated_token>' );
   

   Copy

   Wobei:

   • 'aws_id'

     Der 12-stellige Bezeichner, mit dem Ihr Amazon Web Services (AWS)-Konto als Zeichenfolge eindeutig identifiziert wird.

   • 'federated_token'

     Der Wert des Verbundtokens, der die Zugriffsanmeldeinformationen für einen Verbundbenutzer als Zeichenfolge enthält.

   Beispiel:

   USE ROLE ACCOUNTADMIN;
   
   SELECT SYSTEM$AUTHORIZE_PRIVATELINK (
     '185...',
       '{
         "Credentials": {
           "AccessKeyId": "ASI...",
           "SecretAccessKey": "enw...",
           "SessionToken": "Fwo...",
           "Expiration": "2021-01-07T19:06:23+00:00"
         },
         "FederatedUser": {
           "FederatedUserId": "185...:sam",
           "Arn": "arn:aws:sts::185...:federated-user/sam"
         },
         "PackedPolicySize": 0
        }'
     );
   

   Copy

   Um Ihre Konfiguration zu überprüfen, rufen Sie in Ihrem Snowflake-Konto auf AWS die Funktion SYSTEM$GET_PRIVATELINK auf. Diese Funktion verwendet dieselben Argumente für 'aws_id' und 'federated_token', die zur Autorisierung Ihres Snowflake-Kontos verwendet wurden.

   SYSTEM$GET_PRIVATELINK gibt bei einer erfolgreichen Autorisierung den Wert Account is authorized for PrivateLink. zurück.

3. Optional: Wenn Sie AWS PrivateLink in Ihrem Snowflake-Konto deaktivieren müssen, rufen Sie die Funktion SYSTEM$REVOKE_PRIVATELINK auf, wobei Sie dieselben Argumentwerte für 'aws_id' und 'federated_token' verwenden.

Um Ihre Sicherheitsvorkehrungen weiter zu verstärken, empfiehlt Snowflake, private Endpunkte für Ihr Snowflake-Konto anzuheften. Weitere Informationen dazu finden Sie unter Pinning privater Konnektivitätendpunkte für eingehenden Datenverkehr.

AWS VPC-Umgebung konfigurieren¶

SELECT CURRENT_REGION();

+------------------+
| CURRENT_REGION() |
|------------------|
| AWS_US_WEST_2    |
+------------------+

SHOW REGIONS;

+------------------+-------+-----------|-----------------+
| snowflake_region | cloud | region    | display_name    |
|------------------|-------|-----------|-----------------|
| AWS_US_WEST_2    | aws   | us-west-2 | US West (Oregon)|
+------------------+-------+-----------+-----------------+

Mit Snowflake verbinden¶

Vor dem Verbinden mit Snowflake können Sie optional mithilfe des Snowflake Connectivity Diagnostic-Tools (SnowCD) die Netzwerkverbindung zu Snowflake und AWS PrivateLink evaluieren.

Weitere Informationen dazu finden Sie unter SnowCD und SYSTEM$ALLOWLIST_PRIVATELINK.

Andernfalls stellen Sie eine Verbindung zu Snowflake mit der Konto-URL für private Konnektivität her.

Wenn Sie eine Verbindung zu Snowsight über AWS PrivateLink herstellen möchten, verwenden Sie die Anleitung in der Snowsight-Dokumentation.

Sperrung des öffentlichen Zugangs — Empfohlen¶

Nach dem Testen der privaten Konnektivität von AWS PrivateLink mit Snowflake können Sie optional den öffentlichen Zugriff auf Snowflake blockieren. Das bedeutet, dass Benutzer nur dann auf Snowflake zugreifen können, wenn ihre Verbindungsanforderung von einer IP-Adresse innerhalb eines bestimmten CIDR-Blockierbereichs stammt, der in einer Snowflake-Netzwerkrichtlinie angegeben ist.

So blockieren Sie den öffentlichen Zugriff mithilfe einer Netzwerkrichtlinie:

1. Erstellen Sie eine neue Netzwerkrichtlinie, oder bearbeiten Sie eine vorhandene Netzwerkrichtlinie.

2. Fügen Sie den CIDR-Blockierbereich für Ihre Organisation hinzu.

3. Aktivieren Sie die Netzwerkrichtlinie für Ihr Konto.

Weitere Informationen dazu finden Sie unter Steuern des Netzwerkdatenverkehrs mit Netzwerkrichtlinien.

Konfigurieren Ihres Snowflake-Clients¶

In den folgenden Abschnitten wird beschrieben, wie Sie Snowflake-Clients für bestimmte Anwendungsfälle konfigurieren.

Verwenden von SSO mit AWS PrivateLink¶

Snowflake unterstützt die Verwendung von SSO mit AWS PrivateLink. Weitere Informationen dazu finden Sie unter:

• SSO mit privater Konnektivität

• Partneranwendungen

Verwenden der Clientumleitung mit AWS PrivateLink¶

Snowflake unterstützt die Verwendung der Clientumleitung mit AWS PrivateLink.

Weitere Informationen dazu finden Sie unter Umleiten von Clientverbindungen.

Verwenden von Replikation und Tri-Secret Secure mit privater Konnektivität¶

Snowflake unterstützt das Replizieren Ihrer Daten vom Quellkonto in ein Zielkonto, unabhängig davon, ob Sie Tri-Secret Secure oder dieses Feature im Zielkonto aktivieren.

Problembehandlung¶

Informationen zu Behebung von Problemen, die im Zusammenhang mit PrivateLink auftreten können, finden Sie in den folgenden Artikeln der Snowflake-Community:

• Abrufen eines Verbundtokens von AWS für den PrivateLink Self-Service

• FAQ: PrivateLink Self-Service mit AWS

• Problembehandlung: Snowflake-Self-Service-Funktionen für AWS PrivateLink