Power BI SSO zu Snowflake¶

Allgemeiner Workflow¶

Das folgende Diagramm fasst den Autorisierungsablauf zum Instanziieren einer Snowflake-Sitzung von Power BI zusammen:

1. Der Benutzer meldet sich bei dem Power-BI-Dienst über Microsoft Entra ID an.

2. Optional kann Microsoft Entra ID den Benutzer durch eine IdP über SAML verifizieren. Derzeit unterstützt Microsoft nur Microsoft Entra ID als IdP für Power BI SSO.

3. Wenn der Benutzer eine Verbindung zu Snowflake herstellt, fordert der Power BI-Dienst Microsoft Entra ID auf, ihm ein Token für Snowflake zu geben.

4. Der Power BI-Dienst verwendet den eingebetteten Snowflake-Treiber, um das Microsoft Entra ID-Token als Teil der Zeichenfolge an Snowflake zu senden.

5. Snowflake überprüft das Token, extrahiert aus dem Token den Benutzernamen, ordnet diesen dem Snowflake-Benutzer zu und erstellt eine Snowflake-Sitzung für den Power BI-Dienst unter Verwendung der Standardrolle dieses Benutzers.

Erstellen einer Power BI-Sicherheitsintegration¶

Um mit Power BI über SSO auf Snowflake-Daten zuzugreifen, muss mit CREATE SECURITY INTEGRATION eine Sicherheitsintegration für Power BI erstellt werden (siehe unten).

Die Sicherheitsintegration muss den korrekten Wert für den Parameter external_oauth_issuer haben. Ein Teil dieses Wertes wird Ihrem Microsoft Entra-Mandanten zugeordnet. Sie finden diesen Wert im Abschnitt About Ihres Power BI-Mandanten.

Wenn Ihre Organisation über eine erweiterte Bereitstellung des Power BI-Dienstes verfügt, wenden Sie sich an Ihren Microsoft Entra ID-Administrator, um den korrekten Wert des Microsoft Entra-Mandanten für die Erstellung der Aussteller-URL zu ermitteln.

Wenn Ihr Microsoft Entra-Mandant ID zum Beispiel a828b821-f44f-4698-85b2-3c6749302698 lautet, dann konstruieren Sie den AZURE_AD_ISSUER Wert ähnlich wie https://sts.windows.net/a828b821-f44f-4698-85b2-3c6749302698/. Es ist wichtig, am Ende des Werts einen Schrägstrich (d. h. /) einzufügen.

Führen Sie nach dem Erstellen des Werts für AZURE_AD_ISSUER den Befehl CREATE SECURITY INTEGRATION aus.

Wenn sich Ihr Snowflake-Konto oder Ihr Microsoft Power BI-Dienst in der Microsoft Azure Government-Cloudregion befindet, setzen Sie den Wert der Eigenschaft external_oauth_audience_list auf https://analysis.usgovcloudapi.net/powerbi/connector/Snowflake.

Sicherheitsintegration für Microsoft Power BI

create security integration powerbi
    type = external_oauth
    enabled = true
    external_oauth_type = azure
    external_oauth_issuer = '<AZURE_AD_ISSUER>'
    external_oauth_jws_keys_url = 'https://login.windows.net/common/discovery/keys'
    external_oauth_audience_list = ('https://analysis.windows.net/powerbi/connector/Snowflake', 'https://analysis.windows.net/powerbi/connector/snowflake')
    external_oauth_token_user_mapping_claim = 'upn'
    external_oauth_snowflake_user_mapping_attribute = 'login_name'

Copy

Microsoft Azure Government-Sicherheitsintegration für Microsoft Power BI

create security integration powerbi_mag
    type = external_oauth
    enabled = true
    external_oauth_type = azure
    external_oauth_issuer = '<AZURE_AD_ISSUER>'
    external_oauth_jws_keys_url = 'https://login.windows.net/common/discovery/keys'
    external_oauth_audience_list = ('https://analysis.usgovcloudapi.net/powerbi/connector/Snowflake', 'https://analysis.usgovcloudapi.net/powerbi/connector/snowflake')
    external_oauth_token_user_mapping_claim = 'upn'
    external_oauth_snowflake_user_mapping_attribute = 'login_name'

Copy

create security integration powerbi
    type = external_oauth
    ...
    external_oauth_snowflake_user_mapping_attribute = 'email_address';

Verwenden von Power BI SSO mit B2B-Gastbenutzern¶

Um Gastbenutzern von Microsoft Entra ID, d. h. Business-to-Business (B2B) den Zugriff auf Snowflake über SSO von Microsoft Power BI aus zu ermöglichen, setzen Sie den Wert der Eigenschaft EXTERNAL_OAUTH_TOKEN_USER_MAPPING_CLAIM auf 'unique_name'. Beispiel:

create security integration powerbi
  type = external_oauth
  enabled = true
  external_oauth_type = azure
  external_oauth_issuer = '<AZURE_AD_ISSUER>'
  external_oauth_jws_keys_url = 'https://login.windows.net/common/discovery/keys'
  external_oauth_audience_list = ('https://analysis.windows.net/powerbi/connector/Snowflake', 'https://analysis.windows.net/powerbi/connector/snowflake')
  external_oauth_token_user_mapping_claim = 'unique_name'
  external_oauth_snowflake_user_mapping_attribute = 'login_name';

Copy

Weitere Informationen dazu finden Sie unter Erläuterungen zu B2B-Benutzern.

Ändern der External OAuth-Sicherheitsintegration¶

Sie können Ihre External OAuth-Sicherheitsintegration aktualisieren, indem Sie auf der Sicherheitsintegration eine ALTER-Anweisung ausführen.

Weitere Informationen dazu finden Sie unter ALTER SECURITY INTEGRATION (External OAuth).

Verwenden von Sekundärrollen für Power BI SSO zu Snowflake¶

Der gewünschte Geltungsbereich der Primärrolle wird im externen Token übergeben. Diese Rolle ist eine spezifische Rolle, die dem Benutzer zugewiesen wurde (session:role:<Rollenname>).

Standardmäßig sind die Standard-Sekundärrollen eines Benutzers (d. h. die Benutzereigenschaft DEFAULT_SECONDARY_ROLES) in der Sitzung nicht aktiviert.

Um die Standard-Sekundärrollen eines Benutzers in einer Sitzung zu aktivieren und die Ausführung des Befehls USE SECONDARY ROLES bei Verwendung von External OAuth zu ermöglichen, führen Sie den folgenden Schritt aus:

1. Konfigurieren Sie die Sicherheitsintegration für die Verbindung. Setzen Sie den Parameterwert EXTERNAL_OAUTH_ANY_ROLE_MODE entweder auf ENABLE oder ENABLE_FOR_PRIVILEGE, wenn Sie die Sicherheitsintegration erstellen (mit CREATE SECURITY INTEGRATION) oder später (mit ALTER SECURITY INTEGRATION).

Verwenden der Clientumleitung mit Power BI-SSO zu Snowflake¶

Snowflake unterstützt die Verwendung der Clientumleitung mit Power BI-SSO zu Snowflake.

Weitere Informationen dazu finden Sie unter Umleiten von Clientverbindungen.

Verwenden der Replikation mit Power BI SSO¶

Snowflake unterstützt Replikation und Failover/Failback der External OAuth-Sicherheitsintegration von einem Quellkonto in ein Zielkonto.

Weitere Details dazu finden Sie unter Replikation von Sicherheitsintegrationen und Netzwerkrichtlinien über mehrere Konten hinweg.

Herstellen einer Verbindung zu Snowflake über Power BI¶

Weitere Informationen zum Herstellen einer Verbindung zu Snowflake über Power BI finden Sie in der Power BI-Dokumentation.

• Dokumentation zu Power BI Desktop

• Dokumentation zum Power BI Service

Verwenden von Netzwerkrichtlinien mit External OAuth¶

Derzeit können Netzwerkrichtlinien nicht zu einer External OAuth-Sicherheitsintegration hinzugefügt werden, was bedeutet, dass Sie keine Netzwerkrichtlinie definieren können, die nur für die Power BI-Integration gilt. Sie können jedoch auch Netzwerkrichtlinien implementieren, die für das gesamte Snowflake-Konto gelten. Weitere Informationen zum Microsoft-IP-Bereich, der in die Netzwerkrichtlinie aufgenommen werden muss, finden Sie im Abschnitt Voraussetzungen (unter diesem Thema).

Fehlermeldungen¶

In der folgenden Tabelle werden Fehlermeldungen beschrieben, die Snowflake zurückgibt, wenn sich ein Benutzer in Power BI authentifiziert:

Anmeldeverlauf¶

Wenn ein Benutzer zwar auf Power BI zugreifen kann, aber keine Snowflake-Sitzung instanziiert, können Sie ermitteln, wann der Benutzer zuletzt auf Snowflake zugegriffen hat, indem Sie die folgenden Befehle über einen unterstützten Konnektor oder die Snowflake-Weboberfläche ausführen. Beachten Sie, dass nur erfolgreiche Authentifizierungen protokolliert werden.

use role accountadmin;
select *
from table(information_schema.login_history(dateadd('hours',-1,current_timestamp()),current_timestamp()))
order by event_timestamp;

Prüfen Sie für jedes Ergebnis die Spalten USER_NAME und FIRST_AUTHENTICATION_FACTOR.

• Der Wert USER_NAME sollte mit den Attributzuordnungen übereinstimmen, die im Abschnitt Voraussetzungen beschrieben sind.

• Das Attribut FIRST_AUTHENTICATION_FACTOR sollte auf OAUTH_ACCESS_TOKEN gesetzt sein.