AWS PrivateLink et Snowflake¶

AWS PrivateLink : aperçu¶

AWS PrivateLink est un service AWS pour créer des points de terminaison VPC privées qui permettent une connectivité directe et sécurisée entre vos VPCs AWS et le VPC Snowflake sans passer par l’Internet public. La connectivité AWS PrivateLink prend en charge les services de point de terminaison VPC et les VPCs AWS situés dans la même ou dans différentes régions AWS. La connectivité interrégionale pour AWS PrivateLink vous permet d’utiliser un service de point de terminaison personnalisé pour connecter un compte Snowflake dans une région différente de votre région AWS VPC. La connectivité interrégionale n’est actuellement prise en charge pour aucune plateforme en tant que service (PaaS), notamment les services, tels que Amazon Simple Storage Service (Amazon S3) ou le service de gestion de clés (KMS).

For more information, see the AWS blog page, Introducing Cross-Region Connectivity for AWS PrivateLink. For information about finding the region names for your account, see Find the cloud-provider’s name of the region for your account.

Lorsque vous écrivez des fonctions externes, vous pouvez également utiliser AWS PrivateLink avec des points de terminaison privés.

Si vous disposez d’un environnement sur site (par exemple, un centre de données non hébergé), vous pouvez utiliser AWS Direct Connect, avec AWS PrivateLink, pour connecter tous vos environnements virtuels et physiques dans un réseau unique et privé.

Activer AWS PrivateLink¶

Pour activer AWS PrivateLink pour votre compte Snowflake, effectuez les étapes suivantes :

1. Générez un jeton fédéré, puis enregistrez la sortie.

   1. Pour générer un jeton, exécutez la commande AWS CLI STS sur la ligne de commande. get-federation-token requiert un utilisateur de gestion des identités et des accès dans AWS ou l’utilisateur racine du compte AWS. Pour plus de détails, reportez-vous à la documentation AWS.

      Important

      Le jeton fédéré expire après 12 heures. Si vous appelez l’une des fonctions système pour autoriser, vérifier ou désactiver votre compte Snowflake afin d’utiliser AWS PrivateLink et que le jeton a expiré, régénérez le jeton en exécutant à nouveau la commande AWS CLI STS.

      aws sts get-federation-token --name sam
      

      Copy

      Dans une étape ultérieure, vous fournirez la sortie de cette commande comme argument federated_token pour la fonction SYSTEM$AUTHORIZE_PRIVATELINK.

   2. À partir de votre jeton généré, extrayez la valeur du champ "FederatedUserId". Par exemple, si votre jeton contient les valeurs suivantes :

      {
       ...
         "FederatedUser": {
           "FederatedUserId": "185...:sam",
           "Arn": "arn:aws:sts::185...:federated-user/sam"
         },
       "PackedPolicySize": 0
      }
      

      Copy

      Extrayez 185.... Dans l’étape suivante, vous fournirez ce numéro à 12 chiffres comme argument aws_id pour la fonction SYSTEM$AUTHORIZE_PRIVATELINK.

2. En utilisant le rôle système Snowflake ACCOUNTADMIN, appelez la fonction SYSTEM$AUTHORIZE_PRIVATELINK pour autoriser (activer) AWS PrivateLink pour votre compte Snowflake :

   SELECT SYSTEM$AUTHORIZE_PRIVATELINK ( '<aws_id>' , '<federated_token>' );
   

   Copy

   Où :

   • 'aws_id'

     L’identificateur à 12 chiffres qui identifie de manière unique votre compte Amazon Web Services (AWS) sous forme de chaîne.

   • 'federated_token'

     La valeur du jeton fédéré qui contient les identifiants d’accès pour un utilisateur fédéré sous forme de chaîne.

   Par exemple :

   USE ROLE ACCOUNTADMIN;
   
   SELECT SYSTEM$AUTHORIZE_PRIVATELINK (
     '185...',
       '{
         "Credentials": {
           "AccessKeyId": "ASI...",
           "SecretAccessKey": "enw...",
           "SessionToken": "Fwo...",
           "Expiration": "2021-01-07T19:06:23+00:00"
         },
         "FederatedUser": {
           "FederatedUserId": "185...:sam",
           "Arn": "arn:aws:sts::185...:federated-user/sam"
         },
         "PackedPolicySize": 0
        }'
     );
   

   Copy

   Pour vérifier votre configuration, appelez la fonction SYSTEM$GET_PRIVATELINK de votre compte Snowflake sur AWS. Cette fonction utilise les mêmes valeurs d’argument pour 'aws_id' et 'federated_token' que celles utilisées pour autoriser votre compte Snowflake.

   SYSTEM$GET_PRIVATELINK renvoie Account is authorized for PrivateLink. pour une autorisation réussie.

3. Facultativement, s’il est nécessaire de désactiver AWS PrivateLink dans votre compte Snowflake, appelez la fonction SYSTEM$REVOKE_PRIVATELINK en utilisant les mêmes valeurs d’argument pour 'aws_id' et 'federated_token'.

Pour renforcer votre posture de sécurité, Snowflake recommande d’épingler des points de terminaison privés pour votre compte Snowflake. Pour plus d’informations, voir. Épingler les points de terminaison de la connectivité privée pour le trafic entrant.

Configurer votre environnement VPC AWS¶

SELECT CURRENT_REGION();

+------------------+
| CURRENT_REGION() |
|------------------|
| AWS_US_WEST_2    |
+------------------+

SHOW REGIONS;

+------------------+-------+-----------|-----------------+
| snowflake_region | cloud | region    | display_name    |
|------------------|-------|-----------|-----------------|
| AWS_US_WEST_2    | aws   | us-west-2 | US West (Oregon)|
+------------------+-------+-----------+-----------------+

Se connecter à Snowflake¶

Avant de vous connecter à Snowflake, vous pouvez éventuellement utiliser l’outil de diagnostic de la connectivité Snowflake (SnowCD) pour évaluer la connexion réseau avec Snowflake et AWS PrivateLink.

Pour plus d’informations, voir SnowCD et SYSTEM$ALLOWLIST_PRIVATELINK.

Sinon, connectez-vous à Snowflake avec votre URL de compte de connectivité privée.

Si vous souhaitez vous connecter à Snowsight via AWS PrivateLink, suivez les instructions de la documentation Snowsight.

Bloquer l’accès public — Recommandé¶

Après avoir testé la connectivité privée à Snowflake en utilisant AWS PrivateLink, vous pouvez éventuellement bloquer l’accès public à Snowflake. Cela signifie que les utilisateurs ne peuvent accéder à Snowflake que si leur demande de connexion provient d’une adresse IP située dans une plage de blocs CIDR particulière spécifiée dans une politique réseau Snowflake.

Pour bloquer l’accès public à l’aide d’une politique réseau :

1. Créez une politique réseau ou modifiez une politique réseau existante.

2. Ajoutez la plage de blocage CIDR pour votre organisation.

3. Activez la politique réseau pour votre compte.

Pour plus d’informations, voir Contrôle du trafic réseau avec des politiques réseau.

Configurer vos clients Snowflake¶

Les sections suivantes décrivent comment configurer les clients Snowflake pour des cas d’utilisation spécifiques.

Utilisation de SSO avec AWS PrivateLink¶

Snowflake prend en charge l’utilisation de SSO avec AWS PrivateLink. Pour plus d’informations, voir :

• SSO avec connectivité privée

• Applications partenaires

Utilisation de la redirection des clients avec AWS PrivateLink¶

Snowflake prend en charge l’utilisation de la redirection des clients avec AWS PrivateLink.

Pour plus d’informations, voir Redirection des connexions des clients.

Utilisation de la réplication et de Tri-Secret Secure avec une connectivité privée¶

Snowflake prend en charge la réplication de vos données du compte source vers le compte cible, que vous activiez ou non Tri-Secret Secure ou cette fonctionnalité dans le compte cible.

Résolution des problèmes¶

Pour résoudre les problèmes que vous pourriez rencontrer avec PrivateLink, consultez les articles suivants de la communauté Snowflake :

• Comment récupérer un jeton de fédération de AWS pour le libre-service PrivateLink

• FAQ : Libre-service PrivateLink avec AWS

• Dépannage : les fonctions de libre-service de Snowflake pour AWS PrivateLink