Microsoft Entra ID SCIM-Integration mit Snowflake¶

Features¶

• Automatische Microsoft Entra ID Benutzerbereitstellung für Snowflake.

• Automatische Microsoft Entra ID-Gruppenbereitstellung für Snowflake.

• Synchronisieren von Microsoft Entra ID-Benutzern und -Gruppen mit Snowflake

• Wenn Microsoft Entra ID für SAML SSO für Snowflake konfiguriert ist, können für Snowflake bereitgestellte Microsoft Entra ID-Benutzer mit SAML SSO auf Snowflake zugreifen.

  Bemerkung

  Standardmäßig wird Microsoft Entra ID-Benutzern, die mit SCIM für Snowflake bereitgestellt wurden, in Snowflake kein Kennwort zugewiesen. Das bedeutet, dass, wenn SAML SSO in Microsoft Entra ID konfiguriert ist, die Benutzer sich bei Snowflake mit SSO authentifizieren.

  SAML SSO ist keine Anforderung, wenn Sie SCIM verwenden, um Benutzer und Gruppen von Microsoft Entra ID auf Snowflake bereitzustellen. Weitere Optionen finden Sie unter Entra ID-Single-Sign-On konfigurieren.

Voraussetzungen¶

Bevor Sie SCIM verwenden, um Microsoft Entra ID-Benutzer und -Gruppen für Snowflake bereitzustellen, überprüfen Sie Folgendes:

1. Ein bestehender Microsoft Entra ID-Mandant.

2. Es ist ein Snowflake-Mandant vorhanden.

   • Während des Konfigurationsprozesses in Microsoft müssen Sie die URL des Snowflake-SCIM-Endpunkts eingeben (d. h. Tenant URL gemäß Microsoft Entra ID SCIM-Konfigurationsleitfaden). Der Snowflake-SCIM-Endpunkt besteht aus der Snowflake-Konto-URL mit angehängtem /scim/v2/. Wenn Sie beispielsweise das URL-Format mit Kontonamen verwenden, ist der SCIM-Endpunkt https://myorg-myaccount.snowflakecomputing.com/scim/v2/. Eine Liste der unterstützten Formate für die Snowflake-Konto-URL finden Sie unter Verbinden mittels URL.

3. Mindestens ein Benutzer in Snowflake hat die Rolle ACCOUNTADMIN.

4. Falls dies Ihr Konto betrifft, stellen Sie vor der Bereitstellung von Benutzern und Gruppen sicher, dass die Netzwerkrichtlinie in Snowflake den Zugriff von allen Azure -IP-Adressen für die Public Cloud oder die US Government Cloud aus zulässt. Derzeit ist für alle Azure IP-Adressen die Erstellung einer Microsoft Entra ID SCIM-Netzwerkrichtlinie erforderlich. Weitere Informationen dazu finden Sie unter Verwalten von SCIM-Netzwerkrichtlinien.

Konfiguration¶

Bei der Konfiguration in Snowflake wird eine SCIM-Sicherheitsintegration erstellt, damit die in Microsoft Entra ID erstellten Benutzer und Rollen Eigentum der Snowflake-Rolle AAD_PROVISIONER SCIM sind. Außerdem wird ein Zugriffstoken zur Verwendung in SCIM-API-Anforderungen erstellt. Das Zugangstoken (d. h. das Secret Token in der Microsoft Entra ID SCIM-Konfigurationsanleitung) ist sechs Monate lang gültig. Nach Ablauf müssen Sie ein neues Zugriffstoken manuell mit SYSTEM$GENERATE_SCIM_ACCESS_TOKEN erstellen, wie unten gezeigt.

use role accountadmin;
create role if not exists aad_provisioner;
grant create user on account to role aad_provisioner;
grant create role on account to role aad_provisioner;
grant role aad_provisioner to role accountadmin;
create or replace security integration aad_provisioning
    type = scim
    scim_client = 'azure'
    run_as_role = 'AAD_PROVISIONER';
select system$generate_scim_access_token('AAD_PROVISIONING');

Von Snowflake initiiertes SSO aktivieren¶

Der SCIM-Bereitstellungsprozess aktiviert Single Sign-On (SSO) nicht automatisch.

Um SSO nach Abschluss des SCIM-Bereitstellungsprozesses zu verwenden, aktivieren Sie Von Snowflake initiiertes SSO.

Verwalten von SCIM-Netzwerkrichtlinien¶

Durch das Anwenden einer Netzwerkrichtlinie auf einer SCIM-Sicherheitsintegration kann die SCIM-Netzwerkrichtlinie von den Netzwerkrichtlinien, die für das gesamte Snowflake-Konto gelten, unterschieden werden. Dadurch kann der SCIM-Anbieter Benutzer und Gruppen bereitstellen, ohne IP-Adressen zu der Netzwerkrichtlinie hinzuzufügen, mit der der Zugriff für normale Benutzer kontrolliert wird.

Eine Netzwerkrichtlinie, die auf eine SCIM-Integration angewendet wird, überschreibt die Netzwerkrichtlinie, die auf das gesamte Snowflake-Konto angewendet wird, sie kann aber selbst von einer Netzwerkrichtlinie überschieben werden, die einem Benutzer zugewiesen ist.

Erstellen Sie zuerst die SCIM-Sicherheitsintegration und danach die SCIM-Netzwerkrichtlinie mit dem folgenden Befehl:

alter security integration aad_provisioning set network_policy = <scim_network_policy>;

Copy

Verwenden Sie folgenden Befehl, um die SCIM-Netzwerkrichtlinie zu deaktivieren:

alter security integration aad_provisioning unset network_policy;

Copy

Wobei:

aad_provisioning

Gibt den Namen der Microsoft Entra ID SCIM-Sicherheitsintegration an.

scim_network_policy

Gibt die Microsoft Entra ID SCIM-Netzwerkrichtlinie in Snowflake an.

Weitere Informationen dazu finden Sie unter Steuern des Netzwerkdatenverkehrs mit Netzwerkrichtlinien und ALTER SECURITY INTEGRATION.

Verwenden von Sekundärrollen mit SCIM¶

Snowflake unterstützt das Festlegen der Benutzer-Eigenschaft DEFAULT_SECONDARY_ROLES auf 'ALL' mit SCIM, um Benutzern die Verwendung von Sekundärrollen in einer Snowflake-Sitzung zu ermöglichen.

Ein typisches Beispiel finden Sie unter Benutzer aktualisieren.

Replizieren der Microsoft Entra ID SCIM-Sicherheitsintegration¶

Snowflake unterstützt Replikation und Failover/Failback der SCIM-Sicherheitsintegration vom Quellkonto in das Zielkonto.

Weitere Details dazu finden Sie unter Replikation von Sicherheitsintegrationen und Netzwerkrichtlinien über mehrere Konten hinweg.

Problembehandlung¶

• Um sicherzustellen, dass Microsoft Entra ID Aktualisierungen an Snowflake sendet, überprüfen Sie die Protokollereignisse in Microsoft Entra ID für die Snowflake-Anwendung, und überprüfen Sie die SCIM-Überwachungsprotokolle in Snowflake, um sicherzustellen, dass Snowflake Aktualisierungen von Microsoft Entra ID empfängt. Verwenden Sie folgende SQL-Anweisung, um die Snowflake-SCIM-Überwachungsprotokolle abzufragen, wobei demo_db der Name der Datenbank ist.

  use role accountadmin;
  use database demo_db;
  use schema information_schema;
  select * from table(rest_event_history('scim'));
  select *
      from table(rest_event_history(
          'scim',
          dateadd('minutes',-5,current_timestamp()),
          current_timestamp(),
          200))
      order by event_timestamp;
  

  Copy

• Wenn die Benutzeraktualisierung fehlschlägt, überprüfen Sie die Eigentümerschaft des Benutzers in Snowflake. Wenn der Benutzer nicht der Rolle aad_provisioner gehört (oder der Rolle, die beim Erstellen der Sicherheitsintegration in Snowflake im Parameter run_as_role festgelegt wurde), schlägt die Aktualisierung fehl. Übertragen Sie die Eigentümerschaft, indem Sie die folgende SQL-Anweisung in Snowflake ausführen, und versuchen Sie es erneut.

  grant ownership on user <username> to role AAD_PROVISIONER;
  

  Copy

• Wenn der UPN Attributwert in Microsoft Entra ID nach der ersten Bereitstellung von SCIM geändert wird, funktionieren nachfolgende Aktualisierungen des Benutzers nicht. Eine Änderung des UPN-Attributwerts unterbricht den Link zwischen dem Microsoft Entra ID-Benutzerobjekt und dem Snowflake-Benutzerobjekt. Wenn eine Änderung am UPN-Attributwert auftritt, stellen Sie dem Benutzer den korrekten UPN-Attributwert erneut zur Verfügung.

Nächste Themen:

• SCIM-API-Referenz