Azure-SCIM-Integration mit Snowflake¶

Funktionen¶

• Automatische Azure AD-Benutzerbereitstellung für Snowflake.

• Automatische Azure AD-Gruppenbereitstellung für Snowflake.

• Synchronisieren von Azure AD-Benutzern und -Gruppen mit Snowflake.

• Wenn Azure AD für SAML SSO für Snowflake konfiguriert ist, können für Snowflake bereitgestellte Azure AD-Benutzer mit SAML SSO auf Snowflake zugreifen.

  Bemerkung

  Standardmäßig wird Azure AD-Benutzern, die mit SCIM für Snowflake bereitgestellt wurden, in Snowflake kein Kennwort zugewiesen. Dies bedeutet, dass sich Benutzer mit SSO bei Snowflake authentifizieren, wenn SAML SSO in Azure AD konfiguriert ist.

  SAML SSO ist nicht erforderlich, wenn Sie SCIM verwenden, um Benutzer und Gruppen von Azure AD für Snowflake bereitzustellen. Weitere Optionen finden Sie unter Azure AD Single-Sign On konfigurieren.

Voraussetzungen¶

Überprüfen Sie Folgendes, bevor Sie SCIM verwenden, um Azure AD-Benutzer und -Gruppen für Snowflake bereitzustellen:

1. Es ist ein Azure AD-Mandant vorhanden.

2. Es ist ein Snowflake-Mandant vorhanden.

   • Während des Konfigurationsprozesses in Microsoft müssen Sie die URL des Snowflake-SCIM-Endpunkts eingeben (d. h. Tenant URL gemäß Microsoft Azure Active Directory SCIM-Konfigurationsleitfaden). Der Snowflake-SCIM-Endpunkt besteht aus der Snowflake-Konto-URL mit angehängtem /scim/v2/. Wenn Sie beispielsweise das URL-Format mit Kontonamen verwenden, ist der SCIM-Endpunkt https://myorg-myaccount.snowflakecomputing.com/scim/v2/. Eine Liste der unterstützten Formate für die Snowflake-Konto-URL finden Sie unter Verbinden mittels URL.

3. Mindestens ein Benutzer in Snowflake hat die Rolle ACCOUNTADMIN.

4. Falls dies Ihr Konto betrifft, stellen Sie vor der Bereitstellung von Benutzern und Gruppen sicher, dass die Netzwerkrichtlinie in Snowflake den Zugriff von allen Azure AD-IP-Adressen für die Public Cloud oder die US Government Cloud aus zulässt. Derzeit sind alle Azure AD-IP-Adressen erforderlich, um eine Azure SCIM-Netzwerkrichtlinie zu erstellen. Weitere Informationen dazu finden Sie unter Verwalten von SCIM-Netzwerkrichtlinien.

Konfiguration¶

Bei der Konfiguration in Snowflake wird eine SCIM-Sicherheitsintegration erstellt, damit die in Azure AD erstellten Benutzer und Rollen Eigentum der Snowflake-Rolle AAD_PROVISIONER SCIM sind. Außerdem wird ein Zugriffstoken zur Verwendung in SCIM-API-Anforderungen erstellt. Das Zugriffstoken (d. h. das Secret Token gemäß Microsoft Azure Active Directory SCIM-Konfigurationsleitfaden) ist sechs Monate lang gültig. Nach Ablauf müssen Sie ein neues Zugriffstoken manuell mit SYSTEM$GENERATE_SCIM_ACCESS_TOKEN erstellen, wie unten gezeigt.

use role accountadmin;
create role if not exists aad_provisioner;
grant create user on account to role aad_provisioner;
grant create role on account to role aad_provisioner;
grant role aad_provisioner to role accountadmin;
create or replace security integration aad_provisioning
    type = scim
    scim_client = 'azure'
    run_as_role = 'AAD_PROVISIONER';
select system$generate_scim_access_token('AAD_PROVISIONING');

Von Snowflake initiiertes SSO aktivieren¶

Der SCIM-Bereitstellungsprozess aktiviert Single Sign-On (SSO) nicht automatisch.

Um SSO nach Abschluss des SCIM-Bereitstellungsprozesses zu verwenden, aktivieren Sie Von Snowflake initiiertes SSO.

Verwalten von SCIM-Netzwerkrichtlinien¶

Durch das Anwenden einer Netzwerkrichtlinie auf einer SCIM-Sicherheitsintegration kann die SCIM-Netzwerkrichtlinie von den Netzwerkrichtlinien, die für das gesamte Snowflake-Konto gelten, unterschieden werden. Dadurch kann der SCIM-Anbieter Benutzer und Gruppen bereitstellen, ohne IP-Adressen zu der Netzwerkrichtlinie hinzuzufügen, mit der der Zugriff für normale Benutzer kontrolliert wird.

Eine Netzwerkrichtlinie, die auf eine SCIM-Integration angewendet wird, überschreibt die Netzwerkrichtlinie, die auf das gesamte Snowflake-Konto angewendet wird, sie kann aber selbst von einer Netzwerkrichtlinie überschieben werden, die einem Benutzer zugewiesen ist.

Erstellen Sie zuerst die SCIM-Sicherheitsintegration und danach die SCIM-Netzwerkrichtlinie mit dem folgenden Befehl:

alter security integration aad_provisioning set network_policy = <scim_network_policy>;

Copy

Verwenden Sie folgenden Befehl, um die SCIM-Netzwerkrichtlinie zu deaktivieren:

alter security integration aad_provisioning unset network_policy;

Copy

Wobei:

aad_provisioning

Gibt den Namen der Azure AD-SCIM-Sicherheitsintegration an.

scim_network_policy

Gibt die Azure AD-SCIM-Netzwerkrichtlinie in Snowflake an.

Weitere Informationen dazu finden Sie unter Netzwerkrichtlinien und ALTER SECURITY INTEGRATION.

Verwenden von Sekundärrollen mit SCIM¶

Snowflake unterstützt das Festlegen der Benutzer-Eigenschaft DEFAULT_SECONDARY_ROLES auf 'ALL' mit SCIM, um Benutzern die Verwendung von Sekundärrollen in einer Snowflake-Sitzung zu ermöglichen.

Ein typisches Beispiel finden Sie unter PUT scim/v2/Users/{ID}.

Replizieren der Azure-SCIM-Sicherheitsintegration¶

Snowflake unterstützt Replikation und Failover/Failback der SCIM-Sicherheitsintegration vom Quellkonto in das Zielkonto.

Weitere Details dazu finden Sie unter Replikation von Sicherheitsintegrationen und Netzwerkrichtlinien über mehrere Konten hinweg.

Problembehandlung¶

• Um sicherzustellen, dass Azure AD Aktualisierungen an Snowflake sendet, überprüfen Sie die Protokollereignisse in Azure AD für die Snowflake-Anwendung, und überprüfen Sie die SCIM-Überwachungsprotokolle in Snowflake, um sicherzustellen, dass Snowflake Aktualisierungen von Azure AD empfängt. Verwenden Sie folgende SQL-Anweisung, um die Snowflake-SCIM-Überwachungsprotokolle abzufragen, wobei demo_db der Name der Datenbank ist.

  use role accountadmin;
  use database demo_db;
  use schema information_schema;
  select * from table(rest_event_history('scim'));
  select *
      from table(rest_event_history(
          'scim',
          dateadd('minutes',-5,current_timestamp()),
          current_timestamp(),
          200))
      order by event_timestamp;
  

  Copy

• Wenn die Benutzeraktualisierung fehlschlägt, überprüfen Sie die Eigentümerschaft des Benutzers in Snowflake. Wenn der Benutzer nicht der Rolle aad_provisioner gehört (oder der Rolle, die beim Erstellen der Sicherheitsintegration in Snowflake im Parameter run_as_role festgelegt wurde), schlägt die Aktualisierung fehl. Übertragen Sie die Eigentümerschaft, indem Sie die folgende SQL-Anweisung in Snowflake ausführen, und versuchen Sie es erneut.

  grant ownership on user <username> to role AAD_PROVISIONER;
  

  Copy

• Wenn nach der ersten SCIM-Bereitstellung Änderungen am UPN-Attributwert in Azure AD vorgenommen wurden, funktionieren nachfolgende Aktualisierungen für den Benutzer nicht. Durch eine Änderung des Attributwerts UPN wird die Verbindung zwischen dem Azure AD-Benutzerobjekt und dem Snowflake-Benutzerobjekt unterbrochen. Wenn eine Änderung am UPN-Attributwert auftritt, stellen Sie dem Benutzer den korrekten UPN-Attributwert erneut zur Verfügung.

Nächste Themen:

• Erstellen einer SCIM-API-Anforderung