PingFederate für External OAuth konfigurieren¶

PingFederate konfigurieren¶

1. Navigieren Sie zur Downloadseite des PingFederate-Servers, laden Sie die PingFederate-Instanz für Ihr Betriebssystem herunter, oder aktualisieren Sie sie.

2. Verwenden Sie die Installationsanleitung PingFederate für Ihr Betriebssystem. Greifen Sie nach der Installation auf PingFederate zu.

3. Erstellen Sie die OAuth-Bereiche, indem Sie im OAuth Server-Bereich zum Bereich Exclusive Scopes navigieren.

4. Um eine Snowflake-Rolle als Bereich hinzuzufügen, fügen Sie die Rolle zu Scope Value hinzu. Die Snowflake-Rolle muss das Präfix session:role: haben (geben Sie z. B. für die Snowflake Analyst-Rolle session:role:analyst ein).

5. Geben Sie eine Beschreibung für den Bereich in das Feld Scope Description ein, und klicken Sie auf Add.

6. Navigieren Sie zur Registerkarte OAuth Server, und erstellen Sie einen neuen Client. Prüfen Sie die folgenden Werte:

   Feld	Wert
   NAME	Ein Anzeigename für den PingFederate OAuth-Autorisierungsserver
   DESCRIPTION	Eine benutzerfreundliche Beschreibung für den PingFederate OAuth-Authorisierungsserver
   CLIENT AUTHENTICATION	CLIENT SECRET
   EXCLUSIVE SCOPES	Wählen Sie die Bereiche aus (d. h. Snowflake-Rollen)
   ALLOWED GRANT TYPES	Wählen Sie Refresh Token und Resource Owner Password Credentials
   DEFAULT ACCESS TOKEN MANAGER	JSON-Webtoken

7. Navigieren Sie zur Registerkarte Security, und exportieren Sie das Zertifikat. Extrahieren Sie den öffentlichen Schlüssel aus dem Zertifikat, um ihn in den folgenden Schritten zu verwenden.

8. Navigieren Sie unter der Registerkarte OAuth Server und Access Token Management | Create Access Token Management Instance zur Registerkarte Instance Configuration. Führen Sie dann Folgendes aus:

   • Ändern Sie den ISSUER CLAIM VALUE-Wert auf den eindeutigen Bezeichner, der auf diesen OAuth-Autorisierungsserver verweist.

   • Ändern Sie den AUDIENCE CLAIM VALUE-Wert auf Ihre Snowflake-Konto-URL (z. B. https://<Kontobezeichner >.snowflakecomputing.com). Eine Liste der möglichen URL-Formate finden Sie unter Verbinden mittels URL.

9. Laden Sie das Add-On PingFederate OAuth Playground aus dem Abschnitt Entwicklertools herunter. Dieser Client führt API-Anforderungen aus.

10. Installieren Sie den OAuth Playground.

Sicherheitsintegration in Snowflake erstellen¶

Bei diesem Schritt wird eine Sicherheitsintegration in Snowflake erstellt, die dafür sorgt, dass Snowflake sicher mit PingIdentity kommunizieren, die Token von PingIdentity validieren und Benutzern den entsprechenden Snowflake-Datenzugriff basierend auf der dem OAuth-Token zugeordneten Benutzerrolle bereitstellen kann.

Führen Sie die folgende Anweisung entweder über die Snowflake-Weboberfläche oder in SnowSQL aus.

Beachten Sie, dass der Wert für external_oauth_issuer der in Schritt 1.8 festgelegte eindeutige Bezeichner sein muss. Wenn der eindeutige Bezeichnerwert beispielsweise 27f10cde-a964-4499-a88c-0c598883e5ad ist, ersetzen Sie <Eindeutige_ID> durch '27f10cde-a964-4499-a88c-0c598883e5ad'. Der eindeutige Bezeichner muss in einfachen (d. h. vertikalen) Anführungszeichen stehen.

Wählen Sie die Sicherheitsintegration aus, die Ihren Anwendungsfällen und Konfigurationsanforderungen am besten entspricht. Weitere Informationen dazu finden Sie unter CREATE SECURITY INTEGRATION.

Sicherheitsintegration für PingFederate erstellen

create or replace security integration external_oauth_pf_1
    type = external_oauth
    enabled = true
    external_oauth_type = ping_federate
    external_oauth_rsa_public_key = '<BASE64_PUBLIC_KEY>'
    external_oauth_issuer = '<unique_id>'
    external_oauth_token_user_mapping_claim = 'username'
    external_oauth_snowflake_user_mapping_attribute = 'login_name';

Copy

Diese Sicherheitsintegration verwendet den Parameter external_oauth_rsa_public_key. Snowflake verwendet den Wert des öffentlichen Schlüssels, um die Signatur für das JWT-Zugriffstoken zu überprüfen.

Sicherheitsintegration mit Zielgruppen erstellen

Der Parameter external_oauth_audience_list der Sicherheitsintegration muss mit dem Parameter Audience Claim Value übereinstimmen, den Sie bei der Konfiguration von PingFederate angegeben haben.

create security integration external_oauth_pf_2
    type = external_oauth
    enabled=true
    external_oauth_type = ping_federate
    external_oauth_issuer = '<ISSUER>'
    external_oauth_rsa_public_key = '<BASE64_PUBLIC_KEY>'
    external_oauth_audience_list = ('<snowflake_account_url>')
    external_oauth_token_user_mapping_claim = 'username'
    external_oauth_snowflake_user_mapping_attribute = 'login_name';

Copy

Diese Sicherheitsintegration verwendet den Parameter external_oauth_rsa_public_key. Snowflake verwendet den Wert des öffentlichen Schlüssels, um die Signatur für das JWT-Zugriffstoken zu überprüfen.

Ändern der External OAuth-Sicherheitsintegration¶

Sie können Ihre External OAuth-Sicherheitsintegration aktualisieren, indem Sie auf der Sicherheitsintegration eine ALTER-Anweisung ausführen.

Weitere Informationen dazu finden Sie unter ALTER SECURITY INTEGRATION (External OAuth).

Verwenden der Rolle ANY mit External OAuth¶

Im Konfigurationsschritt zum Erstellen einer Sicherheitsintegration in Snowflake enthält das OAuth-Zugriffstoken die Bereichsdefinition. Daher können zur Laufzeit mit der External OAuth-Sicherheitsintegration weder OAuth-Client noch -Benutzer eine undefinierte Rolle im OAuth-Zugriffstoken verwenden.

Nach dem Überprüfen des Zugriffstokens und dem Erstellen einer Sitzung kann die Rolle ANY dem OAuth-Client und -Benutzer ermöglichen, ihre Rolle zu bestimmen. Bei Bedarf kann der Client oder der Benutzer zu einer Rolle wechseln, die sich von der im OAuth-Zugriffstoken definierten Rolle unterscheidet.

Beim Konfigurieren der ANY-Rolle definieren Sie den Bereich als SESSION:ROLE-ANY und konfigurieren dann die Sicherheitsintegration mit dem Parameter external_oauth_any_role_mode. Dieser Parameter kann drei mögliche Zeichenfolgenwerte haben:

• DISABLE erlaubt dem OAuth-Client oder -Benutzer nicht, die Rollen zu wechseln (d. h. use role <Rolle>;). Standard.

• ENABLE ermöglicht dem OAuth-Client oder -Benutzer, die Rollen zu wechseln.

• ENABLE_FOR_PRIVILEGE ermöglicht dem OAuth-Client oder -Benutzer, die Rollen nur für einen Client oder Benutzer mit der Berechtigung USE_ANY_ROLE zu wechseln. Diese Berechtigung kann einer oder mehreren dem Benutzer zur Verfügung stehenden Rollen erteilt und entzogen werden. Beispiel:

  grant USE_ANY_ROLE on integration external_oauth_1 to role1;
  

  Copy

  revoke USE_ANY_ROLE on integration external_oauth_1 from role1;
  

  Copy

Definieren Sie die Sicherheitsintegration wie folgt:

create security integration external_oauth_1
    type = external_oauth
    enabled = true
    external_oauth_any_role_mode = 'ENABLE'
    ...

Verwenden von Sekundärrollen mit External OAuth¶

Der gewünschte Geltungsbereich der Primärrolle wird im externen Token übergeben: entweder die Standardrolle für den Benutzer (session:role-any) oder eine bestimmte Rolle, die dem Benutzer zugewiesen wurde (session:role:<Rollenname>).

Standardmäßig aktiviert Snowflake nicht die Standard-Sekundärrollen eines Benutzers (d. h. DEFAULT_SECONDARY_ROLES) in der Sitzung.

Um die Standard-Sekundärrollen eines Benutzers in einer Sitzung zu aktivieren und die Ausführung des Befehls USE SECONDARY ROLES bei Verwendung von External OAuth zu ermöglichen, führen Sie die folgenden Schritte aus:

1. Konfigurieren Sie die Sicherheitsintegration für die Verbindung. Setzen Sie den Parameterwert EXTERNAL_OAUTH_ANY_ROLE_MODE entweder auf ENABLE oder ENABLE_FOR_PRIVILEGE, wenn Sie die Sicherheitsintegration erstellen (mit CREATE SECURITY INTEGRATION) oder später (mit ALTER SECURITY INTEGRATION).

2. Konfigurieren Sie den Autorisierungsserver so, dass der statische Wert von session:role-any im Geltungsbereichsattribut des Tokens übergeben wird. Weitere Informationen zum Geltungsbereichsparameter finden Sie unter Übersicht zu External OAuth.

Verwenden von Netzwerkrichtlinien mit External OAuth¶

Derzeit können keine Netzwerkrichtlinien zu Ihrer External OAuth-Sicherheitsintegration hinzugefügt werden. Sie können jedoch auch Netzwerkrichtlinien implementieren, die für das gesamte Snowflake-Konto gelten.

Wenn Ihr Anwendungsfall eine Netzwerkrichtlinie erfordert, die spezifisch für die OAuth-Sicherheitsintegration ist, verwenden Sie Snowflake OAuth. Bei diesem Ansatz kann sich die Snowflake OAuth-Netzwerkrichtlinie von anderen Netzwerkrichtlinien unterscheiden, die möglicherweise für das Snowflake-Konto gelten.

Weitere Informationen dazu finden Sie unter Netzwerkrichtlinien.

Verwenden der Replikation mit External OAuth¶

Snowflake unterstützt Replikation und Failover/Failback der External OAuth-Sicherheitsintegration von einem Quellkonto in ein Zielkonto.

Weitere Details dazu finden Sie unter Replikation von Sicherheitsintegrationen und Netzwerkrichtlinien über mehrere Konten hinweg.