AWS VPC-Schnittstellenendpunkte für interne Stagingbereiche¶

Vorteile¶

Die Implementierung von VPC-Schnittstellenendpunkten für den Zugriff auf interne Snowflake-Stagingbereiche bietet die folgenden Vorteile:

• Daten in internen Stagingbereichen werden nicht über das öffentliche Internet übertragen.

• Client- und SaaS-Anwendungen, wie Microsoft PowerBI, die außerhalb der AWS VPC ausgeführt werden, können sich sicher mit Snowflake verbinden.

• Administratoren müssen keine Änderung an den Firewall-Einstellungen vornehmen, um auf die Daten in den internen Stagingbereichen zugreifen zu können.

• Administratoren können konsistente Sicherheit und Überwachung hinsichtlich der Art und Weise implementieren, wie sich Benutzer mit Speicherkonten verbinden.

Einschränkungen¶

• Für AWS Gov Cloud (US) wird keine Unterstützung von AWS PrivateLink für Amazon S3 bereitgestellt.

• Weitere Einschränkungen finden Sie in der AWS-Dokumentation.

Voraussetzungen¶

• AWS PrivateLink für S3.

  Wichtig

  AWS PrivateLink für S3 ist ein AWS-Dienst, der in Ihrer Cloudumgebung aktiviert werden muss.

  Weitere Unterstützung bei der Konfiguration und Implementierung dieses Dienstes erhalten Sie von Ihrem internen AWS-Administrator.

• Aktualisieren Sie die Zulassungsliste der Firewall wie folgt:

  • Wenn Sie eine ausgehende Firewall verwenden, stellen Sie sicher, dass diese alle von Snowflake benötigten URLs zulässt. Weitere Details dazu finden Sie unter SnowCD (Connectivity Diagnostic Tool).

• Nur für us-east-1-Kunden: Wenn Sie einen der folgenden Snowflake-Clients für die Verbindung zu Snowflake verwenden, müssen Sie ein Upgrade auf die folgende Clientversionen vornehmen:

  • JDBC-Treiber: 3.13.3 (oder höher)

  • ODBC-Treiber: 2.23.2 (oder höher)

  • Python-Konnektor für Snowflake: 2.5.1 (oder höher)

  • SnowSQL: 1.2.17 (oder höher)

    • Aktualisieren Sie SnowSQL, bevor Sie dieses Feature verwenden. Weitere Informationen dazu finden Sie unter Installieren von SnowSQL.

    • Beachten Sie, dass bei Verwendung der SnowSQL-Option --noup das automatische Upgrade von SnowSQL deaktiviert ist und keine neue SnowSQL-Version heruntergeladen werden kann. Um ein Upgrade durchzuführen, deaktivieren Sie die Option --noup, und aktivieren Sie diese nach Abschluss des Upgrades wieder.

Verfahren¶

Führen Sie die folgenden Schritte aus, um den sicheren Zugriff auf interne Snowflake-Stagingbereiche über VPC-Endpunkte zu konfigurieren und zu implementieren:

1. Führen Sie als Snowflake-Kontoadministrator die folgenden Anweisungen in Ihrem Snowflake-Konto aus, und notieren Sie sich den durch den Schlüssel privatelink_internal_stage definierten Wert. Beachten Sie, dass der Name des Amazon S3-Buckets im ersten URL-Segment von links definiert ist. Weitere Informationen dazu finden Sie unter ENABLE_INTERNAL_STAGES_PRIVATELINK und SYSTEM$GET_PRIVATELINK_CONFIG.

   use role accountadmin;
   alter account set ENABLE_INTERNAL_STAGES_PRIVATELINK = true;
   select key, value from table(flatten(input=>parse_json(system$get_privatelink_config())));
   

   Copy

2. Erstellen Sie als AWS-Administrator mit der AWS Console einen VPC-Endpunkt für AWS PrivateLink für S3. Notieren Sie sich den VPCE-DNS-Namen zur Verwendung im nächsten Schritt. Notieren Sie sich keine VPCE DNS-Zonennamen.

   Sobald der Endpunkt erstellt ist, kann der VPCE-DNS-Name mithilfe von Beschreibung eines Schnittstellenendpunkts gefunden werden.

   In diesem Beispiel wird ein Platzhalter (d. h. *) als führendes Zeichen im VPCE-DNS-Namen aufgeführt. Ersetzen Sie den führenden Platzhalter durch den Namen des Amazon S3-Buckets aus dem vorherigen Schritt. Beispiel:

   Ersetzen Sie

   *.vpce-000000000000a12-abc00ef0.s3.us-west-2.vpce.amazonaws.com

   durch

   <Bucketname>.vpce-000000000000a12-abc00ef0.s3.us-west-2.vpce.amazonaws.com

3. Ändern Sie als Netzwerkadministrator die DNS-Einstellungen wie folgt, um die folgende URL aufzulösen:

   <Name_des_Buckets>.s3.<Region>.amazonaws.com zum VPCE-DNS-Namen, nachdem der führende Platzhalter durch den Amazon S3-Bucketnamen ersetzt wurde.

   In diesem Beispiel wird <Name_des_Buckets>.s3.<Region>.amazonaws.com in <Name_des_Buckets>.vpce-000000000000a12-abc00ef0.s3.us-west-2.vpce.amazonaws.com aufgelöst.

   Tipp

   • Verwenden Sie keine Platzhalterzeichen (d. h. *) bei der DNS-Zuordnung, da dies möglicherweise Auswirkungen auf den Zugriff auf andere Amazon S3-Buckets außerhalb von Snowflake hat.

   • Verwenden Sie zum Testen des Features ein separates Snowflake-Konto, und konfigurieren Sie eine private DNS-Zone in einer Test-VPC, damit die Tests isoliert sind und sich nicht auf Ihre anderen Workloads auswirken.

   • Wenn die Verwendung eines separaten Snowflake-Kontos nicht möglich ist, verwenden Sie einen Testbenutzer für den Zugriff auf Snowflake von einer Test-VPC aus, in der die DNS-Änderungen vorgenommen werden.

   • Um von lokalen Anwendungen aus zu testen, verwenden Sie die DNS-Weiterleitung, um Anforderungen an die private AWS-Zone in der VPC weiterzuleiten, in der die DNS-Einstellungen vorgenommen werden. Wenn es Clientanwendungen sowohl in der VPC als auch lokal gibt, verwenden Sie AWS Transit Gateway.

   • Führen Sie den folgenden Befehl auf dem Clientcomputer aus, um zu überprüfen, ob die zurückgegebene IP-Adresse die private IP-Adresse des Speicherkontos ist:

     dig <bucket_name>.s3.<region>.amazonaws.com
     

     Copy

4. Überprüfen Sie für Snowflake-Konten in us-east-1, ob Ihre Snowflake-Clients die neueste Version aufweisen.