Fédération d’identité de charge de travail¶

Configurer AWS¶

Pour configurer votre service AWS afin qu’il utilise IAM AWS comme fournisseur d’identité, associez-lui un rôle IAM. Pour plus d’informations, consultez la AWS documentation correspondant à votre charge de travail.

• Pour Amazon EC2, consultez Associer un rôle IAM à une instance.

• Pour AWS Lambda, consultez Définition des autorisations des fonctions de Lambda avec un rôle d’exécution.

Configurer Snowflake¶

Pour configurer Snowflake, créez un utilisateur de services Snowflake, c’est-à-dire un utilisateur de type SERVICE, qui utilise la fédération d’identité de charge de travail pour s’authentifier auprès de Snowflake.

Pour créer un utilisateur de services pour votre charge de travail :

1. Connectez-vous à Snowsight.

2. Sélectionnez Projects » Worksheets pour ouvrir la liste des feuilles de calcul.

3. Pour ouvrir une nouvelle feuille de calcul SQL, sélectionnez +.

4. Pour créer un utilisateur de services qui utilise la fédération d’identité de charge de travail pour s’authentifier auprès de Snowflake, exécutez une instruction CREATE USER dans la feuille de calcul :

   CREATE USER <username>
     WORKLOAD_IDENTITY = (
       TYPE = AWS
       ARN = '<amazon_resource_identifier>'
     )
     TYPE = SERVICE
     DEFAULT_ROLE = PUBLIC;
   

   Copy

   Où ARN est la valeur que vous avez obtenue avant de suivre ces étapes.

Configurer votre charge de travail pour utiliser un pilote Snowflake¶

Si votre charge de travail a besoin d’un pilote Python, procédez comme suit :

1. Installez le Snowflake Connector pour Python.

2. Dans votre code d’application Python, ajoutez le code source suivant :

   import os
   import snowflake.connector
   
   
   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='AWS'
   )
   

   Copy

3. Exécutez votre application Python. Elle s’authentifie auprès de Snowflake à l’aide de la fédération d’identité de charge de travail.

Configurer Microsoft Entra ID¶

Un administrateur client Microsoft Entra ID doit suivre les étapes suivantes pour autoriser l’utilisation de l’identité de charge de travail de Snowflake. Ces étapes ne doivent être suivies qu’une seule fois par client Microsoft Entra ID :

1. Connectez-vous au portail Microsoft Azure.

2. Assurez-vous de disposer des privilèges d’administrateur client Azure.

3. Consentez à installer l’application EntraID multi-clients de Snowflake en accédant à l’URI de consentement.

   L’application EntraID multi-clients de Snowflake est vérifiée par l’éditeur et représente Snowflake en tant que ressource. L’application est utilisée comme audience pour le jeton d’accès lors de l’authentification auprès de Snowflake. Cette application ne nécessite que des autorisations de base et n’est pas privilégiée.

4. Sélectionnez Accept pour donner des autorisations à l’application EntraID de Snowflake.

Configurer Microsoft Azure¶

Suivez les étapes suivantes pour configurer votre service Microsoft Azure pour utiliser la fédération d’identité de charge de travail :

1. Connectez-vous au portail Microsoft Azure.

2. Sélectionnez votre charge de travail, par exemple une machine virtuelle ou un service d’application.

3. Dans la barre latérale, accédez à Security » Identity.

4. Activez une identité gérée pour une VM Azure ou une fonction Azure.

5. Enregistrez l’Object (Principal) ID pour plus tard.

Configurer Snowflake¶

Pour configurer Snowflake, créez un utilisateur de services Snowflake, c’est-à-dire un utilisateur de type SERVICE, qui utilise la fédération d’identité de charge de travail pour s’authentifier auprès de Snowflake.

Pour créer un utilisateur de services pour votre charge de travail :

1. Connectez-vous à Snowsight.

2. Sélectionnez Projects » Worksheets pour ouvrir la liste des feuilles de calcul.

3. Pour ouvrir une nouvelle feuille de calcul SQL, sélectionnez +.

4. Pour créer un utilisateur de services qui utilise la fédération d’identité de charge de travail pour s’authentifier auprès de Snowflake, exécutez une instruction CREATE USER dans la feuille de calcul :

   CREATE USER <username>
     WORKLOAD_IDENTITY = (
       TYPE = AZURE
       ISSUER = 'https://login.microsoftonline.com/<tenant_id>/v2.0'
       SUBJECT = '<managed_identity_object_id>'
     )
     TYPE = SERVICE
     DEFAULT_ROLE = PUBLIC;
   

   Copy

   Où ISSUER et SUBJECT sont les valeurs que vous avez obtenues avant de suivre ces étapes.

Configurer votre charge de travail pour utiliser un pilote Snowflake¶

Si votre charge de travail a besoin d’un pilote Python, procédez comme suit :

1. Installez le Snowflake Connector pour Python.

2. Dans votre code d’application Python, ajoutez le code source suivant :

   import snowflake.connector
   
   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='AZURE'
   )
   

   Copy

3. Exécutez votre application Python. Elle s’authentifie auprès de Snowflake à l’aide de la fédération d’identité de charge de travail.

Configurer Google Cloud¶

Pour configurer votre service afin qu’il utilise Google Cloud comme fournisseur d’identité, associez un compte de service à votre instance GCE ou Cloud Run.

Configurer Snowflake¶

Pour configurer Snowflake, créez un utilisateur de services Snowflake, c’est-à-dire un utilisateur de type SERVICE, qui utilise la fédération d’identité de charge de travail pour s’authentifier auprès de Snowflake.

gcloud iam service-accounts describe "<SERVICE_ACCOUNT_EMAIL_ADDRESS>" --format="value(uniqueId)"

Pour créer un utilisateur de services pour votre charge de travail :

1. Connectez-vous à Snowsight.

2. Sélectionnez Projects » Worksheets pour ouvrir la liste des feuilles de calcul.

3. Pour ouvrir une nouvelle feuille de calcul SQL, sélectionnez +.

4. Pour créer un utilisateur de services qui utilise la fédération d’identité de charge de travail pour s’authentifier auprès de Snowflake, exécutez une instruction CREATE USER dans la feuille de calcul :

   CREATE USER <username>
     WORKLOAD_IDENTITY = (
       TYPE = GCP
       SUBJECT = '<unique_id_of_service_account>'
     )
     TYPE = SERVICE
     DEFAULT_ROLE = PUBLIC;
   

   Copy

   Où SUBJECT est la valeur que vous avez obtenue avant de suivre ces étapes.

Configurer votre charge de travail pour utiliser un pilote Snowflake¶

Si votre charge de travail a besoin d’un pilote Python, procédez comme suit :

1. Installez le Snowflake Connector pour Python.

2. Dans votre code d’application Python, ajoutez le code source suivant :

   import snowflake.connector
   
   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='GCP'
   )
   

   Copy

3. Exécutez votre application Python. Elle s’authentifie auprès de Snowflake à l’aide de la fédération d’identité de charge de travail.

Configurer EKS¶

1. Configurez|aws-kubernetes-short| pour qu’il émette des jetons d’ID compatibles avec Snowflake.

   1. Configurez votre déploiement de pod YAML pour inclure un volume de jetons de ServiceAccount projeté.

   2. Configurez les jetons d’ID pour contenir une réclamation d’audience avec snowflakecomputing.com.

      Voici un exemple de configuration YAML avec l’audience appropriée :

      kind: Pod
      metadata:
        name: nginx
      spec:
        containers:
        - image: nginx
          name: nginx
          volumeMounts:
          - mountPath: /var/run/secrets/tokens
            name: snowflake-token
        serviceAccountName: build-robot
        volumes:
        - name: snowflake-token
          projected:
            sources:
            - serviceAccountToken:
                path: snowflake-token
                expirationSeconds: 7200
                audience: snowflakecomputing.com
      

      Copy

Configurer Snowflake¶

Pour configurer Snowflake, créez un utilisateur de services Snowflake, c’est-à-dire un utilisateur de type SERVICE, qui utilise la fédération d’identité de charge de travail pour s’authentifier auprès de Snowflake.

Pour créer un utilisateur de services pour votre charge de travail :

1. Connectez-vous à Snowsight.

2. Sélectionnez Projects » Worksheets pour ouvrir la liste des feuilles de calcul.

3. Pour ouvrir une nouvelle feuille de calcul SQL, sélectionnez +.

4. Pour créer un utilisateur de services qui utilise la fédération d’identité de charge de travail pour s’authentifier auprès de Snowflake, exécutez une instruction CREATE USER dans la feuille de calcul :

   CREATE USER my_eks_service
     WORKLOAD_IDENTITY = (
       TYPE = OIDC
       ISSUER = 'https://oidc.eks.<region>.amazonaws.com/id/<issuer_id>'
       SUBJECT = 'system:serviceaccount:<service_account_namespace>:<service_account_name>'
     )
     TYPE = SERVICE;
   

   Copy

   Où ISSUER et SUBJECT sont les valeurs que vous avez obtenues avant de suivre ces étapes.

Configurer votre charge de travail pour utiliser un pilote Snowflake¶

Si votre charge de travail a besoin d’un pilote Python, procédez comme suit :

1. Installez le Snowflake Connector pour Python.

2. Dans votre code d’application Python, ajoutez le code source suivant :

   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='OIDC',
     token_file_path='<service_account_token_path>'
   )
   

   Copy

   Où service_account_token_path est celui que vous avez créé à l’étape Configurer EKS. Sur la base de l’exemple YAML de cette étape, le chemin du jeton serait /var/run/secrets/tokens/snowflake-token.

3. Exécutez votre application Python. Elle s’authentifie auprès de Snowflake à l’aide de la fédération d’identité de charge de travail.

Configurer AKS¶

Configurez|microsoft-azure-kubernetes-short| pour qu’il émette des jetons d’ID compatibles avec Snowflake :

1. Activez l’émetteur OIDC sur votre cluster AKS.

2. Configurez|microsoft-azure-kubernetes-short| pour qu’il émette des jetons d’ID compatibles avec Snowflake.

   1. Configurez votre déploiement de pod YAML pour inclure un volume de jetons de ServiceAccount projeté.

   2. Configurez les jetons d’ID pour contenir une réclamation d’audience avec snowflakecomputing.com.

      Voici un exemple de configuration YAML avec l’audience appropriée :

      kind: Pod
      metadata:
        name: nginx
      spec:
        containers:
        - image: nginx
          name: nginx
          volumeMounts:
          - mountPath: /var/run/secrets/tokens
            name: snowflake-token
        serviceAccountName: build-robot
        volumes:
        - name: snowflake-token
          projected:
            sources:
            - serviceAccountToken:
                path: snowflake-token
                expirationSeconds: 7200
                audience: snowflakecomputing.com
      

      Copy

Configurer Snowflake¶

Pour configurer Snowflake, créez un utilisateur de services Snowflake, c’est-à-dire un utilisateur de type SERVICE, qui utilise la fédération d’identité de charge de travail pour s’authentifier auprès de Snowflake.

Pour créer un utilisateur de services pour votre charge de travail :

1. Connectez-vous à Snowsight.

2. Sélectionnez Projects » Worksheets pour ouvrir la liste des feuilles de calcul.

3. Pour ouvrir une nouvelle feuille de calcul SQL, sélectionnez +.

4. Pour créer un utilisateur de services qui utilise la fédération d’identité de charge de travail pour s’authentifier auprès de Snowflake, exécutez une instruction CREATE USER dans la feuille de calcul :

   CREATE USER my_aks_service
     WORKLOAD_IDENTITY = (
       TYPE = OIDC
       ISSUER = 'https://<region>.oic.prod-aks.azure.com/<tenant_id>/<uuid>/'
       SUBJECT = 'system:serviceaccount:<service_account_namespace>:<service_account_name>'
     )
     TYPE = SERVICE;
   

   Copy

   Où ISSUER et SUBJECT sont les valeurs que vous avez obtenues avant de suivre ces étapes.

Configurer votre charge de travail pour utiliser un pilote Snowflake¶

Si votre charge de travail a besoin d’un pilote Python, procédez comme suit :

1. Installez le Snowflake Connector pour Python.

2. Dans votre code d’application Python, ajoutez le code source suivant :

   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='OIDC',
     token_file_path='<service_account_token_path>'
   )
   

   Copy

   Où service_account_token_path est celui que vous avez créé à l’étape Configurer AKS. Sur la base de l’exemple YAML de cette étape, le chemin du jeton serait /var/run/secrets/tokens/snowflake-token.

3. Exécutez votre application Python. Elle s’authentifie auprès de Snowflake à l’aide de la fédération d’identité de charge de travail.

Configurer GKE¶

1. Configurez|google-kubernetes-short| pour qu’il émette des jetons d’ID compatibles avec Snowflake.

   1. Configurez votre déploiement de pod YAML pour inclure un volume de jetons de ServiceAccount projeté.

   2. Configurez les jetons d’ID pour contenir une réclamation d’audience avec snowflakecomputing.com.

      Voici un exemple de configuration YAML avec l’audience appropriée :

      kind: Pod
      metadata:
        name: nginx
      spec:
        containers:
        - image: nginx
          name: nginx
          volumeMounts:
          - mountPath: /var/run/secrets/tokens
            name: snowflake-token
        serviceAccountName: build-robot
        volumes:
        - name: snowflake-token
          projected:
            sources:
            - serviceAccountToken:
                path: snowflake-token
                expirationSeconds: 7200
                audience: snowflakecomputing.com
      

      Copy

Configurer Snowflake¶

Pour configurer Snowflake, créez un utilisateur de services Snowflake, c’est-à-dire un utilisateur de type SERVICE, qui utilise la fédération d’identité de charge de travail pour s’authentifier auprès de Snowflake.

Pour créer un utilisateur de services pour votre charge de travail :

1. Connectez-vous à Snowsight.

2. Sélectionnez Projects » Worksheets pour ouvrir la liste des feuilles de calcul.

3. Pour ouvrir une nouvelle feuille de calcul SQL, sélectionnez +.

4. Pour créer un utilisateur de services qui utilise la fédération d’identité de charge de travail pour s’authentifier auprès de Snowflake, exécutez une instruction CREATE USER dans la feuille de calcul :

   CREATE USER my_gke_service
     WORKLOAD_IDENTITY = (
       TYPE = OIDC
       ISSUER = 'https://container.googleapis.com/v1/projects/<project_id>/locations/<region>/clusters/<cluster_name>'
       SUBJECT = 'system:serviceaccount:<service_account_namespace>:<service_account_name>'
     )
     TYPE = SERVICE;
   

   Copy

   Où ISSUER et SUBJECT sont les valeurs que vous avez obtenues avant de suivre ces étapes.

Configurer votre charge de travail pour utiliser un pilote Snowflake¶

Si votre charge de travail a besoin d’un pilote Python, procédez comme suit :

1. Installez le Snowflake Connector pour Python.

2. Dans votre code d’application Python, ajoutez le code source suivant :

   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='OIDC',
     token_file_path='<service_account_token_path>'
   )
   

   Copy

   Où service_account_token_path est celui que vous avez créé à l’étape Configurer GKE. Sur la base de l’exemple YAML de cette étape, le chemin du jeton serait /var/run/secrets/tokens/snowflake-token.

3. Exécutez votre application Python. Elle s’authentifie auprès de Snowflake à l’aide de la fédération d’identité de charge de travail.

Configurer votre fournisseur OIDC¶

1. Assurez-vous que votre fournisseur OIDC prend en charge la ` Configuration OpenID <https://openid.net/specs/openid-connect-discovery-1_0.html#ProviderConfig>`_ comme spécifié dans la spécification de découverte. La configuration et le point de terminaison jwks_uri de la configuration doivent tous deux être accessibles au public.

2. Configurez votre fournisseur OpenID pour qu’il émette des jetons d’ID avec une réclamation d’audience définie sur snowflakecomputing.com ou une liste personnalisée non vide. Si vous définissez une liste personnalisée non vide, vous devez la spécifier lorsque vous créez un utilisateur de service dans Snowflake.

Configurer Snowflake¶

Pour configurer Snowflake, créez un utilisateur de services Snowflake, c’est-à-dire un utilisateur de type SERVICE, qui utilise la fédération d’identité de charge de travail pour s’authentifier auprès de Snowflake.

ID_TOKEN_PATH=<id_token_path>

JWS_PAYLOAD=$(cat $ID_TOKEN_PATH | jq -R 'split(".") | .[1] | gsub("-";"+") | gsub("_";"/") | @base64d | fromjson')
echo "ISSUER = '$(echo $JWS_PAYLOAD | jq -r .iss)'"
echo "SUBJECT = '$(echo $JWS_PAYLOAD | jq -r .sub)'"

Pour créer un utilisateur de services pour votre charge de travail :

1. Connectez-vous à Snowsight.

2. Sélectionnez Projects » Worksheets pour ouvrir la liste des feuilles de calcul.

3. Pour ouvrir une nouvelle feuille de calcul SQL, sélectionnez +.

4. Pour créer un utilisateur de services qui utilise la fédération d’identité de charge de travail pour s’authentifier auprès de Snowflake, exécutez une instruction CREATE USER dans la feuille de calcul :

   CREATE USER my_custom_service
     WORKLOAD_IDENTITY = (
       TYPE = OIDC
       ISSUER = '<issuer>'
       SUBJECT = '<subject>'
       OIDC_AUDIENCE_LIST = ('<custom_audience>')
     )
     TYPE = SERVICE;
   

   Copy

   Où :

   • ISSUER et SUBJECT sont les valeurs que vous avez obtenues avant de suivre ces étapes.

   • OIDC_AUDIENCE_LIST est un sur-ensemble non vide de la réclamation d’audience du jeton d’ID définie dans Configurer votre fournisseur OIDC. Vous n’avez pas besoin de spécifier OIDC_AUDIENCE_LIST si la réclamation d’audience du jeton d’ID est snowflakecomputing.com.

Configurer votre charge de travail pour utiliser un pilote Snowflake¶

Si votre charge de travail a besoin d’un pilote Python, procédez comme suit :

1. Installez le Snowflake Connector pour Python.

2. Dans votre code d’application Python, ajoutez le code source suivant :

   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='OIDC',
     token='<id_token>'
   )
   

   Copy

   Où id_token est un jeton d’ID non expiré reçu de votre fournisseur OIDC pour votre charge de travail. Pour savoir comment obtenir ce jeton, consultez la documentation de votre fournisseur OIDC.

3. Exécutez votre application Python. Elle s’authentifie auprès de Snowflake à l’aide de la fédération d’identité de charge de travail.