Okta-SCIM-Integration mit Snowflake¶

Funktionen¶

Die Benutzer- und Rollenverwaltung wird für die Snowflake-Anwendung unterstützt.

Okta bietet Folgendes:

• Verwalten des Benutzerlebenszyklus (d. h. Erstellen, Aktualisieren und Löschen) in Snowflake.

• Verwalten des Rollenlebenszyklus (d. h. Erstellen, Aktualisieren und Löschen) in Snowflake.

• Verwalten der Zuweisungen von Benutzer zu Rollen in Snowflake.

Die folgenden Bereitstellungsfunktionen werden unterstützt:

Neue Benutzer mit Push übertragen:

Neue Benutzer, die mit OKTA erstellt wurden, werden auch in Snowflake erstellt.

Profilaktualisierungen mit Push übertragen:

Über OKTA am Benutzerprofil vorgenommene Aktualisierungen werden an Snowflake weitergeleitet.

Benutzerdeaktivierung mit Push übertragen:

Bei Deaktivieren des Benutzers oder des Benutzerzugriffs auf Snowflake über OKTA wird der Benutzer in Snowflake deaktiviert.

Bemerkung

Bei Snowflake bedeutet das Deaktivieren eines Benutzers, dass die Eigenschaft DISABLED für den Benutzer auf TRUE gesetzt wird.

Benutzer reaktivieren:

Benutzerkonten können in Snowflake reaktiviert werden.

Kennwort synchronisieren:

Das Benutzerkennwort kann bei Bedarf von Okta an Snowflake übertragen werden.

Tipp

In der Standardeinstellung wird ein zufälliges Kennwort für Benutzer erstellt, wobei dem Benutzer die Attributeinstellung has_Password=true zugewiesen wird. Ohne Kennwort müssen Benutzer über Okta SSO auf Snowflake zugreifen. Um zu verhindern, dass ein Kennwort für Benutzer generiert wird, können Sie vor dem Bereitstellen von Benutzern diese Einstellung wie folgt deaktivieren:

1. Klicken Sie auf Edit.

2. Deaktivieren Sie unter Sync Password die Einstellung Generate a new random password whenever the user’s Okta password changes.

3. Speichern Sie die Änderung.

Wenn Sie diese Einstellung in Okta aktivieren, wird ein Kennwort erstellt, mit dem der Benutzer auf Snowflake zugreifen kann. Dies kann dazu führen, dass Benutzer ohne SSO auf Snowflake zugreifen können.

Um die Kennwortsynchronisierung zu deaktivieren, müssen Sie diese Option in Okta deaktivieren und die Snowflake-Okta-SCIM-Sicherheitsintegration aktualisieren, um die Eigenschaft SYNC_PASSWORD auf False zu setzen.

Gruppen mit Push übertragen (Push Groups):

Die „Push Groups“-Funktion erstellt Rollen in Snowflake und erleichtert die Rollenverwaltung. Die in Snowflake mit Okta Push Groups erstellten Rollen haben in Okta und Snowflake die gleichen Namen. Erstellen Sie immer zuerst Rollen in Okta, und aktualisieren Sie dann Snowflake mithilfe von „Push Groups“, um sicherzustellen, dass Okta und Snowflake synchronisiert werden können. Okta und die kundenspezifische Snowflake-Rolle OKTA_PROVISIONER können manuell erstellte Rollen nicht in Snowflake verwalten. „Push Groups“ erstellen keine Benutzer in Snowflake.

Tipp

Okta kann Benutzer in Snowflake erstellen, wenn die Snowflake-Anwendung in Okta einem Benutzer in Okta zugewiesen ist.

Weitere Informationen dazu finden Sie unter Zuweisen einer Anwendung zu einem Benutzer.

Die folgenden Benutzerattribute werden unterstützt:

Voraussetzungen¶

1. Stellen Sie vor dem Bereitstellen von Benutzern oder Gruppen sicher, dass die Netzwerkrichtlinie in Snowflake den Zugriff über die IP-Adressen von Okta ermöglicht, die hier dokumentiert sind. Weitere Informationen dazu finden Sie unter Verwalten von SCIM-Netzwerkrichtlinien.

2. Stellen Sie vor dem Konfigurieren der Bereitstellung für Snowflake sicher, dass Sie General Settings und alle Sign-On Options für die Snowflake-Anwendung in Okta konfiguriert haben.

Wenn die obigen Schritte abgeschlossen sind, klicken Sie in Okta auf Next, um zur Registerkarte Provisioning zurückzukehren.

Konfigurationsschritte¶

Für die Konfiguration müssen Sie Schritte in Snowflake und in Okta ausführen.

use role accountadmin;
create role if not exists okta_provisioner;
grant create user on account to role okta_provisioner;
grant create role on account to role okta_provisioner;
grant role okta_provisioner to role accountadmin;
create or replace security integration okta_provisioning
    type = scim
    scim_client = 'okta'
    run_as_role = 'OKTA_PROVISIONER';
select system$generate_scim_access_token('OKTA_PROVISIONING');

Von Snowflake initiiertes SSO aktivieren¶

Der SCIM-Bereitstellungsprozess aktiviert Single Sign-On (SSO) nicht automatisch.

Um SSO nach Abschluss des SCIM-Bereitstellungsprozesses zu verwenden, aktivieren Sie Von Snowflake initiiertes SSO.

Verwalten von SCIM-Netzwerkrichtlinien¶

Durch das Anwenden einer Netzwerkrichtlinie auf einer SCIM-Sicherheitsintegration kann die SCIM-Netzwerkrichtlinie von den Netzwerkrichtlinien, die für das gesamte Snowflake-Konto gelten, unterschieden werden. Dadurch kann der SCIM-Anbieter Benutzer und Gruppen bereitstellen, ohne IP-Adressen zu der Netzwerkrichtlinie hinzuzufügen, mit der der Zugriff für normale Benutzer kontrolliert wird.

Eine Netzwerkrichtlinie, die auf eine SCIM-Integration angewendet wird, überschreibt die Netzwerkrichtlinie, die auf das gesamte Snowflake-Konto angewendet wird, sie kann aber selbst von einer Netzwerkrichtlinie überschieben werden, die einem Benutzer zugewiesen ist.

Erstellen Sie zuerst die SCIM-Sicherheitsintegration und danach die SCIM-Netzwerkrichtlinie mit dem folgenden Befehl:

alter security integration okta_provisioning set network_policy = <scim_network_policy>;

Copy

Verwenden Sie folgenden Befehl, um die SCIM-Netzwerkrichtlinie zu deaktivieren:

alter security integration okta_provisioning unset network_policy;

Copy

Wobei:

okta_provisioning

Gibt den Namen der Okta-SCIM-Sicherheitsintegration an.

scim_network_policy

Gibt die Okta-SCIM-Netzwerkrichtlinie in Snowflake an.

Weitere Informationen dazu finden Sie unter Steuern des Netzwerkdatenverkehrs mit Netzwerkrichtlinien und ALTER SECURITY INTEGRATION.

Verwenden von Sekundärrollen mit SCIM¶

Snowflake unterstützt das Festlegen der Benutzer-Eigenschaft DEFAULT_SECONDARY_ROLES auf 'ALL' mit SCIM, um Benutzern die Verwendung von Sekundärrollen in einer Snowflake-Sitzung zu ermöglichen.

Ein typisches Beispiel finden Sie unter PUT scim/v2/Users/{ID}.

Replizieren der Okta-SCIM-Sicherheitsintegration¶

Snowflake unterstützt Replikation und Failover/Failback der SCIM-Sicherheitsintegration vom Quellkonto in das Zielkonto.

Weitere Details dazu finden Sie unter Replikation von Sicherheitsintegrationen und Netzwerkrichtlinien über mehrere Konten hinweg.

Problembehandlung¶

• Übertragen der Eigentümerschaft. Wenn die Benutzeraktualisierung fehlschlägt, überprüfen Sie die Eigentümerschaft des Benutzers in Snowflake. Wenn der Benutzer nicht der Rolle okta_provisioner gehört (oder der Rolle, die beim Erstellen der Sicherheitsintegration in Snowflake im Parameter run_as_role festgelegt wurde), schlägt die Aktualisierung fehl. Übertragen Sie die Eigentümerschaft, indem Sie die folgende SQL-Anweisung in Snowflake ausführen und es erneut versuchen.

  grant ownership on user <username> to role OKTA_PROVISIONER;
  

  Copy

• Stellen Sie sicher, dass die Eigenschaft login_name für vorhandene Benutzer festgelegt ist. Sie sollte bereits festgelegt sein, bevor diese vorhandenen Snowflake-Benutzer Okta-SSO verwenden.

• Um sicherzustellen, dass Okta Aktualisierungen an Snowflake sendet, überprüfen Sie die Protokollereignisse in Okta für die Snowflake-Anwendung, und überprüfen Sie die SCIM-Überwachungsprotokolle in Snowflake, um sicherzustellen, dass Snowflake Aktualisierungen von Okta empfängt. Verwenden Sie Folgendes, um die Snowflake SCIM-Überwachungsprotokolle abzufragen.

  use role accountadmin;
  use database demo_db;
  use schema information_schema;
  select * from table(rest_event_history('scim'));
  select *
      from table(rest_event_history(
          'scim',
          dateadd('minutes',-5,current_timestamp()),
          current_timestamp(),
          200))
      order by event_timestamp;
  

  Copy

• Möglicherweise tritt während des Bereitstellungsvorgangs ein Authentifizierungsfehler auf. Eine mögliche Fehlermeldung lautet wie folgt:

  Error authenticating: Forbidden. Errors reported by remote server: Invalid JSON: Unexpected character ('<' (code 60)): expected a valid value (number, String, array, object, 'true', 'false' or 'null') at [Source: java.io.StringReader@4c76ba04; line: 1, column: 2]
  

  Copy

  Wenn diese Fehlermeldung oder andere Authentifizierungsfehlermeldungen auftreten, versuchen Sie Folgendes:

  1. Entfernen Sie in Okta die aktuelle Snowflake-Anwendung, und erstellen Sie eine neue Snowflake-Anwendung.

  2. Erstellen Sie in Snowflake eine neue SCIM-Sicherheitsintegration, und generieren Sie ein neues Zugriffstoken.

  3. Kopieren Sie das neue Token, indem Sie auf Copy klicken.

  4. Fügen Sie in Okta das neue Zugriffstoken ein, und überprüfen Sie es, wie unter Konfigurieren von Okta als SCIM-Identitätsanbieter beschrieben.

  5. Stellen Sie Benutzer und Rollen von Okta für Snowflake mit der neuen Snowflake-Anwendung in Okta bereit.

Nächste Themen:

• Erstellen einer SCIM-API-Anforderung