Kundenspezifischen Autorisierungsserver für External OAuth konfigurieren¶

Wichtige Umgebungswerte zur Verwendung von External OAuth erhalten¶

Bei der Konfiguration Ihres IdP und Ihres Autorisierungsservers müssen Sie die folgenden Werte erfassen, um eine External OAuth-Sicherheitsintegration definieren zu können:

Aussteller-URL:

Fügen Sie diese URL in den Parameter external_oauth_issuer ein.

Öffentlicher RSA-Schlüssel:

Fügen Sie diesen Wert zum Parameter external_oauth_rsa_public_key hinzu.

Zielgruppen-URLs:

Wenn mehr als eine Zielgruppen-URL erforderlich ist, trennen Sie jede URL im Parameter external_oauth_audience_list durch ein Komma.

Bereichsattribut:

Sie können diesen Wert auf scp oder scope setzen. Standardmäßig ist dieser Wert scp.

Sie können den Wert des Parameters external_oauth_scope_mapping_attribute auf diesen Wert setzen.

Wenn Sie nicht den Standardwert scp verwenden, dann setzen Sie den Wert des Parameters external_oauth_scope_mapping_attribute auf scope.

Weitere Informationen dazu finden Sie unter Nutzdatenanforderungen für External OAuth-Token.

Benutzerattribut:

Dieses Attribut bezieht sich auf ein Attribut zur Identifizierung von Benutzern in Ihrem IdP. Fügen Sie diesen Attributwert zum Parameter external_oauth_user_mapping_claim hinzu.

Snowflake-Benutzerattribut:

Das Attribut in Snowflake zur Identifizierung von Benutzern. Fügen Sie diesen Wert zum Parameter external_oauth_snowflake_user_mapping_attribute hinzu.

External OAuth-Sicherheitsintegration in Snowflake erstellen¶

In diesem Schritt wird eine External OAuth-Sicherheitsintegration in Snowflake erstellt. Die External OAuth-Sicherheitsintegration stellt sicher, dass Snowflake sicher mit Zugriffstoken Ihres kundenspezifischen Autorisierungsservers kommunizieren und diese validieren kann und Benutzern den Zugriff auf Snowflake-Daten auf Grundlage der dem Zugriffstoken zugeordneten Benutzerrolle ermöglicht. Weitere Informationen dazu finden Sie unter CREATE SECURITY INTEGRATION.

External OAuth-Sicherheitsintegration in Snowflake erstellen

create security integration external_oauth_custom
    type = external_oauth
    enabled = true
    external_oauth_type = custom
    external_oauth_issuer = '<authorization_server_url>'
    external_oauth_rsa_public_key = '<public_key_value>'
    external_oauth_audience_list = ('<audience_url_1>', '<audience_url_2>')
    external_oauth_token_user_mapping_claim = 'upn'
    external_oauth_snowflake_user_mapping_attribute = 'login_name';

Copy

Ändern der External OAuth-Sicherheitsintegration¶

Sie können Ihre External OAuth-Sicherheitsintegration aktualisieren, indem Sie auf der Sicherheitsintegration eine ALTER-Anweisung ausführen.

Weitere Informationen dazu finden Sie unter ALTER SECURITY INTEGRATION (External OAuth).

Verwenden der Rolle ANY mit External OAuth¶

Im Konfigurationsschritt zum Erstellen einer Sicherheitsintegration in Snowflake enthält das OAuth-Zugriffstoken die Bereichsdefinition. Daher können zur Laufzeit mit der External OAuth-Sicherheitsintegration weder OAuth-Client noch -Benutzer eine undefinierte Rolle im OAuth-Zugriffstoken verwenden.

Nach dem Überprüfen des Zugriffstokens und dem Erstellen einer Sitzung kann die Rolle ANY dem OAuth-Client und -Benutzer ermöglichen, ihre Rolle zu bestimmen. Bei Bedarf kann der Client oder der Benutzer zu einer Rolle wechseln, die sich von der im OAuth-Zugriffstoken definierten Rolle unterscheidet.

Beim Konfigurieren der ANY-Rolle definieren Sie den Bereich als SESSION:ROLE-ANY und konfigurieren dann die Sicherheitsintegration mit dem Parameter external_oauth_any_role_mode. Dieser Parameter kann drei mögliche Zeichenfolgenwerte haben:

• DISABLE erlaubt dem OAuth-Client oder -Benutzer nicht, die Rollen zu wechseln (d. h. use role <Rolle>;). Standard.

• ENABLE ermöglicht dem OAuth-Client oder -Benutzer, die Rollen zu wechseln.

• ENABLE_FOR_PRIVILEGE ermöglicht dem OAuth-Client oder -Benutzer, die Rollen nur für einen Client oder Benutzer mit der Berechtigung USE_ANY_ROLE zu wechseln. Diese Berechtigung kann einer oder mehreren dem Benutzer zur Verfügung stehenden Rollen erteilt und entzogen werden. Beispiel:

  grant USE_ANY_ROLE on integration external_oauth_1 to role1;
  

  Copy

  revoke USE_ANY_ROLE on integration external_oauth_1 from role1;
  

  Copy

Definieren Sie die Sicherheitsintegration wie folgt:

create security integration external_oauth_1
    type = external_oauth
    enabled = true
    external_oauth_any_role_mode = 'ENABLE'
    ...

Verwenden von Sekundärrollen mit External OAuth¶

Der gewünschte Geltungsbereich der Primärrolle wird im externen Token übergeben: entweder die Standardrolle für den Benutzer (session:role-any) oder eine bestimmte Rolle, die dem Benutzer zugewiesen wurde (session:role:<Rollenname>).

Standardmäßig aktiviert Snowflake nicht die Standard-Sekundärrollen eines Benutzers (d. h. DEFAULT_SECONDARY_ROLES) in der Sitzung.

Um die Standard-Sekundärrollen eines Benutzers in einer Sitzung zu aktivieren und die Ausführung des Befehls USE SECONDARY ROLES bei Verwendung von External OAuth zu ermöglichen, führen Sie die folgenden Schritte aus:

1. Konfigurieren Sie die Sicherheitsintegration für die Verbindung. Setzen Sie den Parameterwert EXTERNAL_OAUTH_ANY_ROLE_MODE entweder auf ENABLE oder ENABLE_FOR_PRIVILEGE, wenn Sie die Sicherheitsintegration erstellen (mit CREATE SECURITY INTEGRATION) oder später (mit ALTER SECURITY INTEGRATION).

2. Konfigurieren Sie den Autorisierungsserver so, dass der statische Wert von session:role-any im Geltungsbereichsattribut des Tokens übergeben wird. Weitere Informationen zum Geltungsbereichsparameter finden Sie unter Übersicht zu External OAuth.

Verwenden der Clientumleitung mit External OAuth¶

Snowflake unterstützt die Verwendung der Clientumleitung mit External OAuth, einschließlich der Verwendung von Clientumleitung und External OAuth bei unterstützten Snowflake-Clients.

Weitere Informationen dazu finden Sie unter Umleiten von Clientverbindungen.

Verwenden von Netzwerkrichtlinien mit External OAuth¶

Derzeit können keine Netzwerkrichtlinien zu Ihrer External OAuth-Sicherheitsintegration hinzugefügt werden. Sie können jedoch auch Netzwerkrichtlinien implementieren, die für das gesamte Snowflake-Konto gelten.

Wenn Ihr Anwendungsfall eine Netzwerkrichtlinie erfordert, die spezifisch für die OAuth-Sicherheitsintegration ist, verwenden Sie Snowflake OAuth. Bei diesem Ansatz kann sich die Snowflake OAuth-Netzwerkrichtlinie von anderen Netzwerkrichtlinien unterscheiden, die möglicherweise für das Snowflake-Konto gelten.

Weitere Informationen dazu finden Sie unter Netzwerkrichtlinien.

Verwenden der Replikation mit External OAuth¶

Snowflake unterstützt Replikation und Failover/Failback der External OAuth-Sicherheitsintegration von einem Quellkonto in ein Zielkonto.

Weitere Details dazu finden Sie unter Replikation von Sicherheitsintegrationen und Netzwerkrichtlinien über mehrere Konten hinweg.