Mehrstufige Authentifizierung (MFA)¶

Verwenden von MFA-Tokencaching zur Minimierung der Anzahl von Eingabeaufforderungen bei der Authentifizierung – Optional¶

MFA-Token-Caching kann dazu beitragen, die Anzahl der Eingabeaufforderungen zu reduzieren, die während der Verbindung und Authentifizierung mit Snowflake bestätigt werden müssen, insbesondere wenn mehrere Verbindungsversuche innerhalb eines relativ kurzen Zeitintervalls erfolgen.

Ein zwischengespeicherter MFA-Token ist bis zu vier Stunden lang gültig.

Das zwischengespeicherte MFA-Token ist ungültig, wenn eine der folgenden Bedingungen erfüllt ist:

1. Der Parameter ALLOW_CLIENT_MFA_CACHING ist für das Konto auf FALSE gesetzt.

2. Die Methode der Authentifizierung ändert sich.

3. Die Authentifizierungsdaten ändern sich (d. h. Benutzername und/oder Kennwort).

4. Die Authentifizierungsdaten sind ungültig.

5. Das zwischengespeicherte Token läuft ab oder ist kryptografisch ungültig.

6. Der mit dem zwischengespeicherten Token verknüpfte Kontoname ändert sich.

Der Gesamtprozess, den Snowflake zum Zwischenspeichern von MFA-Token verwendet, ähnelt dem, der zum Zwischenspeichern von Verbindungstoken für die browserbasierte Single Sign-On-Verbundauthentifizierung verwendet wird. Die Clientanwendung speichert das MFA-Token im Keystore des clientseitigen Betriebssystems. Benutzer können das zwischengespeicherte MFA-Token jederzeit aus dem Keystore löschen.

Snowflake unterstützt das MFA-Tokencaching mit den folgenden Treibern und Konnektoren unter macOS und Windows: Dieses Feature wird für Linux derzeit nicht unterstützt.

• ODBC-Treiber, Version 2.23.0 (oder höher)

• JDBC-Treiber, Version 3.12.16 (oder höher)

• Python-Konnektor für Snowflake, Version 2.3.7 (oder höher).

Snowflake empfiehlt, sich vor der Aktivierung des MFA-Token-Cachings mit den internen Sicherheits- und Compliance-Beauftragten zu beraten.

Führen Sie die folgenden Schritte aus, um das MFA-Token-Caching zu aktivieren:

1. Setzen Sie als Kontoadministrator (d. h. als Benutzer mit der Systemrolle ACCOUNTADMIN) mit dem Befehl ALTER ACCOUNT den Parameter ALLOW_CLIENT_MFA_CACHING für ein Konto auf true.

   ALTER ACCOUNT SET ALLOW_CLIENT_MFA_CACHING = TRUE;
   

   Copy

2. Aktualisieren Sie in der Clientverbindungszeichenfolge den Authentifikatorwert auf authenticator = username_password_mfa.

3. Fügen Sie das Paket oder die Bibliotheken hinzu, die der Treiber oder Konnektor benötigt:

   • Wenn Sie den Snowflake-Konnektor für Python verwenden, installieren Sie das optionale Schlüsselbundpaket, indem Sie Folgendes ausführen:

     pip install "snowflake-connector-python[secure-local-storage]"
     

     Copy

     Sie müssen die eckigen Klammern ([ und ]) wie im Befehl angegeben eingeben. Die eckigen Klammern geben den zusätzlichen Teil des Pakets an, der installiert werden soll.

     Schließen Sie den Namen des Pakets wie gezeigt in Anführungszeichen ein, um zu verhindern, dass die eckigen Klammern als Platzhalter interpretiert werden.

     Wenn Sie andere Zusätze installieren müssen (z. B. pandas zur Verwendung der Python-Konnektor-APIs für Pandas), verwenden Sie ein Komma zwischen den Zusätzen:

     pip install "snowflake-connector-python[secure-local-storage,pandas]"
     

     Copy

   • Weitere Informationen zum Snowflake-JDBC-Treiber finden Sie unter Hinzufügen der JNA-Klassen zu Ihrem Klassenpfad.

Um das MFA-Tokencaching zu deaktivieren, entfernen Sie den Parameter ALLOW_CLIENT_MFA_CACHING:

ALTER ACCOUNT UNSET ALLOW_CLIENT_MFA_CACHING;

Um alle Benutzer zu finden, die MFA Tokencaching als Second-Factor-Authentifizierung zur Anmeldung verwenden, können Sie die folgende SQL-Anweisung als Kontoadministrator (Benutzer mit der Rolle ACCOUNTADMIN) ausführen:

SELECT EVENT_TIMESTAMP,
       USER_NAME,
       IS_SUCCESS
  FROM SNOWFLAKE.ACCOUNT_USAGE.LOGIN_HISTORY
  WHERE SECOND_AUTHENTICATION_FACTOR = 'MFA_TOKEN';

Verwenden von MFA mit Snowsight¶

So melden Sie sich mit MFA bei Snowsight an:

1. Melden Sie sich bei Snowsight an.

2. Geben Sie Ihre Anmeldeinformationen (Benutzeranmeldename und Kennwort) ein.

3. Wenn Duo Push aktiviert ist, können Sie eine Benachrichtigungsmethode auswählen. Wenn Send Me a Push ausgewählt ist, wird eine Push-Benachrichtigung an Ihre Duo Mobile-Anwendung gesendet. Wenn Sie die Benachrichtigung erhalten, wählen Sie Approve aus. Sie werden nun bei Snowflake angemeldet.

   

   Wie im obigen Screenshot gezeigt, können Sie anstelle der Push-Benachrichtigung auch Folgendes wählen:

   • Wählen Sie Call Me aus, um Anmeldeanweisungen über einen Telefonanruf auf dem registrierten mobilen Gerät zu erhalten.

   • Wählen Sie Enter a Passcode aus, um sich manuell durch Eingabe einer von der Duo Mobile-Anwendung bereitgestellten Kennung anzumelden.

Verwenden von MFA bei der klassischen Weboberfläche¶

So melden Sie sich bei der klassischen Weboberfläche mit MFA an:

1. Wechseln Sie in Ihrem Browser zur URL Ihres Kontos. Beispiel: https://myorg-account1.snowflakecomputing.com.

2. Geben Sie Ihre Anmeldeinformationen (Benutzeranmeldename und Kennwort) ein.

3. Wenn Duo Push aktiviert ist, wird eine Push-Benachrichtigung an Ihre Duo Mobile-Anwendung gesendet. Wenn Sie die Benachrichtigung erhalten, wählen Sie Approve aus. Sie werden nun bei Snowflake angemeldet.

   

   Wie im obigen Screenshot gezeigt, können Sie anstelle der Push-Benachrichtigung auch Folgendes wählen:

   • Wählen Sie Call Me aus, um Anmeldeanweisungen über einen Telefonanruf auf dem registrierten mobilen Gerät zu erhalten.

   • Wählen Sie Enter a Passcode aus, um sich manuell durch Eingabe einer von der Duo Mobile-Anwendung bereitgestellten Kennung anzumelden.

Verwenden von MFA mit SnowSQL¶

MFA kann für das Verbinden mit Snowflake über SnowSQL verwendet werden. Standardmäßig wird der Duo Push-Authentifizierungsmechanismus verwendet, wenn ein Benutzer in MFA registriert ist.

Um anstelle des Push-Mechanismus eine von Duo generierte Kennung zu verwenden, müssen die Anmeldeparameter eine der folgenden Verbindungsoptionen enthalten:

--mfa-passcode <Zeichenfolge> oder --mfa-passcode-in-password

Weitere Details dazu finden Sie unter SnowSQL (CLI-Client).

Verwenden von MFA mit JDBC¶

MFA kann für die Verbindung mit Snowflake über den Snowflake-JDBC-Treiber verwendet werden. Standardmäßig wird der Duo-Push-Authentifizierungsmechanismus verwendet, wenn ein Benutzer in MFA registriert ist. Dann sind keine Änderungen an der JDBC-Verbindungszeichenfolge erforderlich.

Um anstelle des Push-Mechanismus eine von Duo generierte Kennung zu verwenden, muss in der JDBC-Verbindungszeichenfolge einer der folgenden Parameter enthalten sein:

passcode=<Kennungszeichenfolge> OR passcodeInPassword=on

Wobei:

• passcode_string ist eine in Duo generierte Kennung für den Benutzer, der sich verbindet. Dabei kann es sich um eine von der Duo Mobile-Anwendung generierte Kennung oder um eine SMS-Kennung handeln.

• Wenn passcodeInPassword=on, dann werden Kennwort und Kennung in der Form <Kennwortzeichenfolge><Kennungszeichenfolge> verkettet.

Weitere Details dazu finden Sie unter JDBC-Treiber.

Verwenden von MFA mit ODBC¶

MFA kann für die Verbindung mit Snowflake über den Snowflake-ODBC-Treiber verwendet werden. Standardmäßig wird der Duo-Push-Authentifizierungsmechanismus verwendet, wenn ein Benutzer in MFA registriert ist. Dann sind keine Änderungen an den ODBC-Einstellungen erforderlich.

Um anstelle des Push-Mechanismus eine von Duo generierte Kennung zu verwenden, muss für den Treiber einer der folgenden Parameter angegeben werden:

passcode=<Kennungszeichenfolge> OR passcodeInPassword=on

Wobei:

• passcode_string ist eine in Duo generierte Kennung für den Benutzer, der sich verbindet. Dabei kann es sich um eine von der Duo Mobile-Anwendung generierte Kennung oder um eine SMS-Kennung handeln.

• Wenn passcodeInPassword=on, dann werden Kennwort und Kennung in der Form <Kennwortzeichenfolge><Kennungszeichenfolge> verkettet.

Weitere Details dazu finden Sie unter ODBC-Treiber.

Verwenden von MFA mit Python¶

MFA kann für die Verbindung mit Snowflake über den Snowflake-Konnektor für Python verwendet werden. Standardmäßig wird der Duo-Push-Authentifizierungsmechanismus verwendet, wenn ein Benutzer in MFA registriert ist. Dann sind keine Änderungen an den Python-API-Einstellungen erforderlich.

Um anstelle des Push-Mechanismus eine von Duo generierte Kennung zu verwenden, muss für den Treiber in der Methode connect() einer der folgenden Parameter angegeben werden:

passcode=<Kennungszeichenfolge> OR passcode_in_password=True

Wobei:

• passcode_string ist eine in Duo generierte Kennung für den Benutzer, der sich verbindet. Dabei kann es sich um eine von der Duo Mobile-Anwendung generierte Kennung oder um eine SMS-Kennung handeln.

• Wenn passcode_in_password=True, dann werden Kennwort und Kennung in der Form <Kennwortzeichenfolge><Kennungszeichenfolge> verkettet.

Weitere Details dazu finden Sie in der Beschreibung der connect()-Methode im Abschnitt Funktionen der Dokumentation zur Python-Konnektor-API.