GitHub Action Snowflake CLI¶

Fonctionnement¶

Cette action effectue les opérations suivantes sur le runner :

1. Installe Python 3.11 et le ``uv``gestionnaire de paquets utilisant astral-sh/setup-uv.

2. Installe la Snowflake CLI dans un environnement isolé (uv tool install snowflake-cli).

3. Copie config.toml du référentiel vers ~/.snowflake/config.toml (0600 sous Linux/macOS). Ignoré si le fichier est absent.

4. Lorsque l’authentification OIDC est activée, le système récupère un jeton OIDC émis par GitHub et définit les variables d’environnement d’identité de la charge de travail Snowflake pour les étapes suivantes.

Une fois l’action terminée, la commande snow est disponible sur PATH pour chaque étape suivante de la tâche.

Exemple d’utilisation rapide¶

Le flux de travail suivant s’authentifie auprès de Snowflake à l’aide d’OIDC et exécute un test de connexion :

name: Deploy to Snowflake
on:
  push:
    branches:
      - main

permissions:
  id-token: write
  contents: read

jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          persist-credentials: false

      - uses: snowflakedb/snowflake-cli-action@v2
        with:
          use-oidc: true
          cli-version: "3.16"

      - name: Deploy
        env:
          SNOWFLAKE_ACCOUNT: ${{ secrets.SNOWFLAKE_ACCOUNT }}
        run: |
          snow connection test -x
          snow dcm deploy --target PROD -x

Pour d’autres méthodes d’authentification, voir Méthodes d’authentification.

Épinglage de la version¶

L’action prend en charge trois style d’épinglage :

• Valider SHA (@a1b2c3d...) : épingle sur une validation spécifique.

• Balise de la version de correctif (@v2.0.2) : épingle sur une version spécifique.

• Balise majeure flottante (@v2) : suit la dernière version de cette version majeure.

# Pinned commit SHA.
- uses: snowflakedb/snowflake-cli-action@a1b2c3d4e5f67890abcdef1234567890abcdef12

# Patch version tag.
- uses: snowflakedb/snowflake-cli-action@v2.0.2

# Floating major tag.
- uses: snowflakedb/snowflake-cli-action@v2

Entrées¶

L’action accepte les entrées suivantes, spécifiées sous with: dans votre workflow YAML :

Méthodes d’authentification¶

L’action prend en charge trois méthodes d’authentification auprès de Snowflake. Snowflake recommande OIDC, car cela évite de stocker des secrets à longue durée de vie dans GitHub.

CREATE USER <username>
  TYPE = SERVICE
  WORKLOAD_IDENTITY = (
    TYPE = OIDC
    ISSUER = 'https://token.actions.githubusercontent.com'
    SUBJECT = '<your_subject>'
  );

name: Snowflake OIDC
on:
  push:
    branches:
      - main

permissions:
  id-token: write
  contents: read

jobs:
  oidc-job:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          persist-credentials: false
      - uses: snowflakedb/snowflake-cli-action@v2
        with:
          use-oidc: true
          cli-version: "3.16"
      - name: Test connection
        env:
          SNOWFLAKE_ACCOUNT: ${{ secrets.SNOWFLAKE_ACCOUNT }}
        run: snow connection test -x

- uses: snowflakedb/snowflake-cli-action@v2
  with:
    cli-version: "3.16.0"
- name: Deploy
  env:
    SNOWFLAKE_AUTHENTICATOR: SNOWFLAKE_JWT
    SNOWFLAKE_USER: ${{ secrets.SNOWFLAKE_USER }}
    SNOWFLAKE_ACCOUNT: ${{ secrets.SNOWFLAKE_ACCOUNT }}
    SNOWFLAKE_PRIVATE_KEY_RAW: ${{ secrets.SNOWFLAKE_PRIVATE_KEY_RAW }}
    PRIVATE_KEY_PASSPHRASE: ${{ secrets.PRIVATE_KEY_PASSPHRASE }}
  run: |
    snow connection test -x
    snow dcm deploy --target PROD -x

default_connection_name = "myconnection"

[connections.myconnection]

- uses: snowflakedb/snowflake-cli-action@v2
  with:
    default-config-file-path: "config.toml"
- name: Deploy
  env:
    SNOWFLAKE_CONNECTIONS_MYCONNECTION_AUTHENTICATOR: SNOWFLAKE_JWT
    SNOWFLAKE_CONNECTIONS_MYCONNECTION_USER: ${{ secrets.SNOWFLAKE_USER }}
    SNOWFLAKE_CONNECTIONS_MYCONNECTION_ACCOUNT: ${{ secrets.SNOWFLAKE_ACCOUNT }}
    SNOWFLAKE_CONNECTIONS_MYCONNECTION_PRIVATE_KEY_RAW: ${{ secrets.SNOWFLAKE_PRIVATE_KEY_RAW }}
    PRIVATE_KEY_PASSPHRASE: ${{ secrets.PRIVATE_KEY_PASSPHRASE }}
  run: snow connection test

- uses: snowflakedb/snowflake-cli-action@v2
- name: Deploy
  env:
    SNOWFLAKE_USER: ${{ secrets.SNOWFLAKE_USER }}
    SNOWFLAKE_ACCOUNT: ${{ secrets.SNOWFLAKE_ACCOUNT }}
    SNOWFLAKE_PASSWORD: ${{ secrets.SNOWFLAKE_PASSWORD }}
  run: snow connection test -x

Installation à partir d’une branche, d’une balise ou d’une validation¶

Pour tester une modification de la Snowflake CLI qui n’a pas encore été publiée ou un fork, utilisez custom-github-ref :

- uses: snowflakedb/snowflake-cli-action@v2
  with:
    custom-github-ref: "feature/my-branch"  # or a tag/commit hash

Prise en charge de plateforme¶

Cette action fonctionne sur les runners hébergés par GitHub sous Ubuntu, macOS et Windows, et a été testée avec Python 3.10 et 3.13. Notez le comportement suivant spécifique à la plateforme :

• Linux et macOS : le config.toml copié est défini sur les autorisations 0600.

• Windows : les autorisations de fichiers sur config.toml ne sont pas modifiées. Utilisez les secrets GitHub pour les identifiants de connexion ; évitez de valider des secrets dans config.toml quel que soit le runner.

Ressources associées¶

• Configurer les intégrations CI/CD avec Snowflake. Procédure de configuration de la Snowflake CLI étape par étape dans un pipeline GitHub Actions.

• Référentiel d’action snowflake-cli. Notes de version et source d’action.

• Intégration de CI/CD à Snowflake CLI. Aperçu de toutes les intégrations CI/CD prises en charge par Snowflake.

• DevOps avec Snowflake. DevOps avec les concepts Snowflake et des conseils de workflow.

• Fédération d’identité de charge de travail. Référence de fédération d’identité de charge de travail Snowflake.