AWS-VPC-Schnittstellenendpunkte für interne Stagingbereiche¶

Vorteile¶

Die Implementierung von VPC-Schnittstellenendpunkten für den Zugriff auf interne Snowflake-Stagingbereiche bietet die folgenden Vorteile:

• Daten in internen Stagingbereichen werden nicht über das öffentliche Internet übertragen.

• Client- und SaaS-Anwendungen, wie Microsoft PowerBI, die außerhalb der AWS VPC ausgeführt werden, können sich sicher mit Snowflake verbinden.

• Administratoren müssen keine Änderung an den Firewall-Einstellungen vornehmen, um auf die Daten in den internen Stagingbereichen zugreifen zu können.

• Administratoren können konsistente Sicherheit und Überwachung hinsichtlich der Art und Weise implementieren, wie sich Benutzer mit Speicherkonten verbinden.

Einschränkungen¶

Weitere Informationen zu Einschränkungen von AWS PrivateLink finden Sie in der AWS-Dokumentation.

Voraussetzungen¶

• Setzen Sie den Parameter ENABLE_INTERNAL_STAGES_PRIVATELINK, um die Unterstützung für die Verbindung mit einem internen Stagingbereich über AWS PrivateLink zu aktivieren. Bei beiden unter diesem Thema erörterten Implementierungsstrategien muss der Kontoadministrator die Ausführung übernehmen:

  use role accountadmin;
  alter account set ENABLE_INTERNAL_STAGES_PRIVATELINK = true;
  

  Copy

• AWS PrivateLink für S3.

  Wichtig

  AWS PrivateLink für S3 ist ein AWS-Dienst, der in Ihrer Cloudumgebung aktiviert werden muss.

  Weitere Unterstützung bei der Konfiguration und Implementierung dieses Dienstes erhalten Sie von Ihrem internen AWS-Administrator.

• Aktualisieren Sie die Zulassungsliste der Firewall wie folgt:

  • Wenn Sie eine ausgehende Firewall verwenden, stellen Sie sicher, dass diese alle von Snowflake benötigten URLs zulässt. Weitere Details dazu finden Sie unter SnowCD (Connectivity Diagnostic Tool).

• Nur für us-east-1-Kunden: Wenn Sie einen der folgenden Snowflake-Clients für die Verbindung zu Snowflake verwenden, müssen Sie ein Upgrade auf die folgende Clientversionen vornehmen:

  • JDBC-Treiber: 3.13.3 (oder höher)

  • ODBC-Treiber: 2.23.2 (oder höher)

  • Python-Konnektor für Snowflake: 2.5.1 (oder höher)

  • SnowSQL: 1.2.17 (oder höher)

    • Aktualisieren Sie SnowSQL, bevor Sie dieses Feature verwenden. Weitere Informationen dazu finden Sie unter Installieren von SnowSQL.

    • Beachten Sie, dass bei Verwendung der SnowSQL-Option --noup das automatische Upgrade von SnowSQL deaktiviert ist und keine neue SnowSQL-Version heruntergeladen werden kann. Um ein Upgrade durchzuführen, deaktivieren Sie die Option --noup, und aktivieren Sie diese nach Abschluss des Upgrades wieder.

Auswählen einer Implementierungsstrategie¶

Die Wahl der passenden Implementierungsstrategie hängt davon ab, ob Ihre Organisation AWS PrivateLink für den Zugriff auf einen einzelnen internen Stagingbereich oder für mehrere interne Stagingbereiche verwendet.

• Wenn Ihre Organisation auf den internen Stagingbereich eines einzelnen Kontos zugreift, finden Sie entsprechende Informationen unter Zugriff auf einen internen Stagingbereich mit einem Schnittstellenendpunkt.

• Wenn Ihre Organisation auf die internen Stagingbereiche mehrerer Konten zugreift, finden Sie entsprechende Informationen unter Zugriff auf interne Stagingbereiche mit dedizierten Schnittstellenendpunkten. Bei dieser Strategie werden mehrere Schnittstellenendpunkte für die Verbindung verwendet, einer für jeden internen Stagingbereich.

Verfahren¶

Führen Sie die folgenden Schritte aus, um den sicheren Zugriff auf einen internen Snowflake-Stagingbereich über einen VPC-Endpunkt zu konfigurieren und zu implementieren:

1. Führen Sie als Snowflake-Kontoadministrator die folgenden Anweisungen in Ihrem Snowflake-Konto aus, und notieren Sie sich den durch den Schlüssel privatelink_internal_stage definierten Wert. Beachten Sie, dass der Name des Amazon S3-Buckets im ersten URL-Segment von links definiert ist. Weitere Informationen dazu finden Sie unter ENABLE_INTERNAL_STAGES_PRIVATELINK und SYSTEM$GET_PRIVATELINK_CONFIG.

   use role accountadmin;
   alter account set ENABLE_INTERNAL_STAGES_PRIVATELINK = true;
   select key, value from table(flatten(input=>parse_json(system$get_privatelink_config())));
   

   Copy

2. Erstellen Sie als AWS-Administrator mit der AWS Console einen VPC-Endpunkt für AWS PrivateLink für S3. Notieren Sie sich den VPCE-DNS-Namen zur Verwendung im nächsten Schritt. Notieren Sie sich keine VPCE DNS-Zonennamen.

   Sobald der Endpunkt erstellt ist, kann der VPCE-DNS-Name mithilfe von Beschreibung eines Schnittstellenendpunkts gefunden werden.

   In diesem Beispiel wird ein Platzhalter (d. h. *) als führendes Zeichen im VPCE-DNS-Namen aufgeführt. Ersetzen Sie den führenden Platzhalter durch den Namen des Amazon S3-Buckets aus dem vorherigen Schritt. Beispiel:

   Ersetzen Sie:

   *.vpce-000000000000a12-abc00ef0.s3.us-west-2.vpce.amazonaws.com

   durch:

   <Bucketname>.vpce-000000000000a12-abc00ef0.s3.us-west-2.vpce.amazonaws.com

3. Ändern Sie als Netzwerkadministrator die DNS-Einstellungen wie folgt, um die folgende URL aufzulösen:

   <Name_des_Buckets>.s3.<Region>.amazonaws.com zum VPCE-DNS-Namen, nachdem der führende Platzhalter durch den Amazon S3-Bucketnamen ersetzt wurde.

   In diesem Beispiel wird <Name_des_Buckets>.s3.<Region>.amazonaws.com in <Name_des_Buckets>.vpce-000000000000a12-abc00ef0.s3.us-west-2.vpce.amazonaws.com aufgelöst.

   Tipp

   • Verwenden Sie keine Platzhalterzeichen (d. h. *) bei der DNS-Zuordnung, da dies möglicherweise Auswirkungen auf den Zugriff auf andere Amazon S3-Buckets außerhalb von Snowflake hat.

   • Verwenden Sie zum Testen des Features ein separates Snowflake-Konto, und konfigurieren Sie eine private DNS-Zone in einer Test-VPC, damit die Tests isoliert sind und sich nicht auf Ihre anderen Workloads auswirken.

   • Wenn die Verwendung eines separaten Snowflake-Kontos nicht möglich ist, verwenden Sie einen Testbenutzer für den Zugriff auf Snowflake von einer Test-VPC aus, in der die DNS-Änderungen vorgenommen werden.

   • Um von lokalen Anwendungen aus zu testen, verwenden Sie die DNS-Weiterleitung, um Anforderungen an die private AWS-Zone in der VPC weiterzuleiten, in der die DNS-Einstellungen vorgenommen werden. Wenn es Clientanwendungen sowohl in der VPC als auch lokal gibt, verwenden Sie AWS Transit Gateway.

   • Führen Sie den folgenden Befehl auf dem Clientcomputer aus, um zu überprüfen, ob die zurückgegebene IP-Adresse die private IP-Adresse des Speicherkontos ist:

     dig <bucket_name>.s3.<region>.amazonaws.com
     

     Copy

4. Überprüfen Sie für Snowflake-Konten in us-east-1, ob Ihre Snowflake-Clients die neueste Version aufweisen.

Vorteile¶

Die Strategie, bei der ein interner Stagingbereich innerhalb einer AWS-Bereitstellung über einen dedizierten Amazon S3-Schnittstellenendpunkt verfügt, hat die folgenden Vorteile:

Sicherheit:

Jedes Konto kann eine andere Sicherheitsstrategie haben, da einzelne Schnittstellenendpunkte unterschiedliche Sicherheitskonfigurationen haben können.

Chargeback-Modelle:

Unternehmen können den Netzwerkdatenverkehr je nach Kontotyp isolieren (z. B. Produktion vs. Entwicklung) und die Kosten, die mit den über einen Endpunkt übertragenen Daten verbunden sind, dem passenden Konto zuordnen.

DNS-Verwaltung:

Der DNS-Name eines Amazon S3 Schnittstellenendpunkts ist ein global eindeutiger Name, der den spezifischen Endpunkt innerhalb einer bestimmten Region lokalisiert. AWS registriert diesen DNS-Namen automatisch in seinem öffentlichen DNS-Dienst, sodass dieser öffentlich auflösbar ist. Aus diesen Gründen muss ein Administrator keine zusätzliche DNS-Konfiguration vornehmen, um den Datenverkehr über einen Amazon S3-Schnittstellenendpunkt zu einem internen Stagingbereich zu leiten. So muss der Administrator beispielsweise bei der Konfiguration des Amazon Route 53-DNS-Dienstes keine private gehostete Zone (PHZ) einrichten oder einen DNS-Namen registrieren, der auf einen Endpunkt verweist.

Konfiguration¶

Die Strategie zur Isolation des Netzwerks umfasst die folgenden Elemente:

1. In AWS erstellt ein Administrator für jedes Snowflake-Konto in der Organisation einen neuen Amazon S3-Schnittstellenendpunkt. Wenn eine Organisation beispielsweise zwei Konten in der Snowflake-Bereitstellung hat, erstellt der Administrator zwei Schnittstellenendpunkte.

2. In Snowflake verwendet ein Administrator den Parameter S3_STAGE_VPCE_DNS_NAME, um jedes Snowflake-Konto mit dem DNS-Namen seines dedizierten Schnittstellenendpunkts zu verknüpfen. Der gesamte Datenverkehr zum internen Stagingbereich des Kontos wird über diesen Schnittstellenendpunkt geleitet.

alter account set S3_STAGE_VPCE_DNS_NAME='*.vpce-sd98fs0d9f8g.s3.us-west2.vpce.amazonaws.com';

Endgültiger DNS-Wert¶

Der endgültige DNS-Name, der mit einem Konto verknüpft ist, hat das Format: <bucketname>.bucket.vpce-<vpceid>.s3.<region>.vpce.amazonaws.com

Wobei:

• <bucketname> ist der Name des Amazon S3-Buckets des internen Stagingbereichs.

• <vpceid> ist der eindeutige Bezeichner des mit dem Konto verknüpften Amazon S3-Schnittstellenendpunkts.

• <region> ist die Cloudregion, in der Ihr Snowflake-Konto gehostet wird.

Der endgültige DNS-Name wird in den Protokollen jedes Treibers angezeigt, der eine Verbindung zu dem internen Stagingbereich herstellt.