Übersicht zu Snowflake OAuth¶

Snowflake OAuth-Autorisierungsablauf¶

Der OAuth-Autorisierungsablauf sieht wie folgt aus:

1. Im Client versucht der Benutzer, mit OAuth eine Verbindung zu Snowflake herzustellen.

   Die Anwendung sendet eine Autorisierungsanforderung an den Snowflake-Autorisierungsserver. Daraufhin wird ein Autorisierungsbildschirm angezeigt, in dem der Benutzer aufgefordert wird, den Zugriff zu autorisieren.

2. Der Benutzer gibt seinen Snowflake-Anmeldenamen und sein Kennwort ein. Daraufhin wird ihm ein Zustimmungsdialogfeld angezeigt, in dem er Snowflake den Clientzugriff unter Verwendung einer bestimmten Rolle in einer Benutzersitzung (z. B. SYSADMIN oder CUSTOM_ROLE1) erlaubt.

   Der Benutzer übermittelt seine Zustimmung, die spezifische Rolle in einer Sitzung zu verwenden.

   Der Snowflake-Autorisierungsserver sendet einen Autorisierungscode an den Client zurück.

3. Der Client sendet den Autorisierungscode zurück an den Snowflake-Autorisierungsserver, um ein Zugriffstoken und optional ein Aktualisierungstoken anzufordern, damit der Client neue Zugriffstoken abrufen kann.

   Der Snowflake-Autorisierungsserver akzeptiert den Autorisierungscode und stellt dem Client ein Zugriffstoken zur Verfügung, das für die Benutzerressourcen im Snowflake-Ressourcenserver spezifisch ist. Je nach den Einstellungen in der Autorisierungsanforderung stellt der Autorisierungsserver ein Aktualisierungstoken aus, damit sich neue Zugriffstoken abrufen lassen, die an die bestimmte Ressource gebunden sind.

4. Der Client sendet das Zugriffstoken an den Snowflake-Ressourcenserver.

   Der Ressourcenserver erkennt das gültige Zugriffstoken und richtet eine Benutzersitzung mit der autorisierten Rolle ein. Der Client hat jetzt Zugriff auf die Snowflake-Ressourcen, beschränkt durch die im Zugriffstoken angegebene Rolle.

   Standardmäßig verhindert Snowflake, dass sich die Rollen ACCOUNTADMIN, ORGADMIN, GLOBALORGADMIN und SECURITYADMIN authentifizieren können. Um diesen berechtigten Rollen die Authentifizierung zu ermöglichen, setzen Sie mit dem Befehl ALTER ACCOUNT den Kontoparameter OAUTH_ADD_PRIVILEGED_ROLES_TO_BLOCKED_LIST auf FALSE.

Zugriffstoken haben eine kurze Lebensdauer (normalerweise 10 Minuten). Wenn das Zugriffstoken abläuft, kann der Client ein Aktualisierungstoken senden, um neue Zugriffstoken anzufordern. Ein Aktualisierungstoken wird an den Snowflake-Autorisierungsserver gesendet, um jedes Mal, wenn das aktuelle Zugriffstoken abläuft, ein neues Zugriffstoken anzufordern (Schritte 3-6). Wenn die Integration so konfiguriert ist, dass das Senden von Aktualisierungstoken verhindert wird, muss der Benutzer die oben genannten Schritte wiederholen, um den Client neu zu autorisieren. Wenn Sie das Risiko von langlebigen Token in Ihrem Snowflake OAuth-Ablauf begrenzen möchten, können Sie Aktualisierungstoken für die einmalige Verwendung nutzen.

Einmalige Verwendung von Aktualisierungstoken¶

You can use single-use refresh tokens to mitigate theft or reuse of refresh tokens. For more information, see Verwendung von Aktualisierungstoken zur einmaligen Verwendung für Snowflake OAuth-Sicherheitsintegrationen

Local applications¶

Snowflake bietet eine vereinfachte Möglichkeit, lokale Anwendungen, d. h. Desktop-Anwendungen, so einzurichten, dass Snowflake OAuth zum Authentifizieren verwendet wird. Die Anwendung kann sich durch Festlegen nur einer einzigen Verbindungsoption authentifizieren. Es ist keine zusätzliche Einrichtung erforderlich. Weitere Informationen dazu finden Sie unter Verwenden von Snowflake OAuth für lokale Anwendungen.

Partneranwendungen¶

Informationen zum Konfigurieren der Unterstützung finden Sie unter Snowflake OAuth für Partneranwendungen konfigurieren.

Weitere Informationen zur Verwendung von OAuth unter Umgehung des öffentlichen Internets finden Sie unter Partneranwendungen.

Kundenspezifische Clients¶

Snowflake unterstützt kundenspezifische Clients, die von Ihrer Organisation konfiguriert wurden. Informationen zum Konfigurieren der Unterstützung finden Sie unter Snowflake OAuth für kundenspezifische Clients konfigurieren.

Einschränken des Netzwerkdatenverkehrs für Snowflake OAuth¶

Sie können eine Netzwerkrichtlinie mit der Snowflake OAuth-Sicherheitsintegration zur Einschränkung des Netzwerkdatenverkehrs verknüpfen, wenn der Client ein Token von Snowflake als Autorisierungsserver anfordert. Diese Netzwerkrichtlinie regelt auch den Netzwerkdatenverkehr, wenn der Client Snowflake als Ressourcenserver abfragt.

To associate a network policy with the Snowflake OAuth security integration, set the NETWORK_POLICY parameter when creating or updating the integration. For example:

CREATE SECURITY INTEGRATION td_oauth_int2
  TYPE = oauth
  ENABLED = true
  OAUTH_CLIENT = tableau_desktop
  OAUTH_REFRESH_TOKEN_VALIDITY = 36000
  BLOCKED_ROLES_LIST = ('SYSADMIN');
  NETWORK_POLICY = 'allow_private_ip_only';

Eine Netzwerkrichtlinie, die mit der Snowflake OAuth-Sicherheitsintegration verbunden ist, hat keinen Einfluss auf den Netzwerkdatenverkehr zwischen dem Benutzer und Snowflake als Autorisierungsserver. Wenn sich der Benutzer über einen Browser authentifiziert, wird der Netzwerkdatenverkehr durch eine mit dem Benutzer verbundene Netzwerkrichtlinie eingeschränkt.

Das folgende Diagramm zeigt, welche Netzwerkrichtlinie den Netzwerkdatenverkehr vom Client und Benutzer regelt.

1. Dem Benutzer zugeordnete Netzwerkrichtlinie gilt. Wenn keine Netzwerkrichtlinie auf Benutzerebene vorhanden ist, gilt die Richtlinie auf Kontoebene.

2. Die der Sicherheitsintegration zugeordnete Netzwerkrichtlinie gilt. Wenn keine Netzwerkrichtlinie auf Integrationsebene vorhanden ist, gilt die Richtlinie auf Kontoebene.

Fehlercodes¶

In der folgenden Tabelle finden Sie Beschreibungen der Fehlercodes im Zusammenhang mit Snowflake OAuth:

Darüber hinaus werden die folgenden Fehler aus dem RFC übernommen und im JSON-Blob zurückgegeben, das während einer nicht erfolgreichen Tokenanforderung oder eines fehlgeschlagenen Tokenaustauschs erstellt wurde: