CREATE SECURITY INTEGRATION (SCIM)¶

Syntaxe¶

CREATE [ OR REPLACE ] SECURITY INTEGRATION [ IF NOT EXISTS ]
    <name>
    TYPE = SCIM
    ENABLED = { TRUE | FALSE }
    SCIM_CLIENT = { 'OKTA' | 'AZURE' | 'GENERIC' }
    RUN_AS_ROLE = { 'OKTA_PROVISIONER' | 'AAD_PROVISIONER' | 'GENERIC_SCIM_PROVISIONER' }
    [ NETWORK_POLICY = '<network_policy>' ]
    [ SYNC_PASSWORD = { TRUE | FALSE } ]
    [ COMMENT = '<string_literal>' ]

Paramètres requis¶

name

Chaîne spécifiant l’identificateur (c’est-à-dire le nom) de l’intégration ; elle doit être unique sur votre compte.

De plus, l’identificateur doit commencer par un caractère alphabétique et ne peut pas contenir d’espaces ou de caractères spéciaux à moins que toute la chaîne d’identificateur soit délimitée par des guillemets doubles (p. ex. "My object"). Les identificateurs entre guillemets doubles sont également sensibles à la casse.

Pour plus de détails, voir Exigences relatives à l’identificateur.

TYPE = SCIM

Spécifiez le type d’intégration :

• SCIM : crée une interface de sécurité entre Snowflake et un client prenant en charge SCIM.

ENABLED = { TRUE | FALSE }

Indiquez si l’intégration de sécurité est activée. Pour créer une intégration de sécurité désactivée, définissez ENABLED = FALSE.

Par défaut : TRUE

SCIM_CLIENT = { 'OKTA' | 'AZURE' | 'GENERIC' }

Spécifiez le client SCIM.

RUN_AS_ROLE = { 'OKTA_PROVISIONER' | 'AAD_PROVISIONER' | 'GENERIC_SCIM_PROVISIONER' }

Spécifiez le rôle SCIM dans Snowflake qui possède les utilisateurs et les rôles importés du fournisseur d’identité dans Snowflake à l’aide de SCIM.

Les valeurs OKTA_PROVISIONER, AAD_PROVISIONER et GENERIC_SCIM_PROVISIONER sont sensibles à la casse et doivent toujours être mises en majuscule.

Paramètres facultatifs¶

NETWORK_POLICY = 'network_policy'

Spécifie une politique réseau existante qui contrôle le trafic réseau SCIM.

Si des politiques réseau sont également définies pour le compte ou l’utilisateur, voir Priorité de la politique réseau.

SYNC_PASSWORD = { TRUE | FALSE }

Indique s’il faut activer ou désactiver la synchronisation des mots de passe des utilisateurs à partir d’un client SCIM Okta dans le cadre de la requête API vers Snowflake.

• TRUE active la synchronisation des mots de passe.

• FALSE désactive la synchronisation des mots de passe.

Par défaut : FALSE. Si une intégration de sécurité est créée sans définir ce paramètre, Snowflake définit ce paramètre sur FALSE.

Si les mots de passe des utilisateurs ne doivent pas être synchronisés du client vers Snowflake, assurez-vous que la valeur de cette propriété est définie sur FALSE et désactivez la synchronisation des mots de passe dans le client.

Notez que cette propriété est prise en charge pour les intégrations SCIM Okta et personnalisées. Les intégrations Microsoft Entra ID SCIM ne sont pas prises en charge, car Microsoft Entra ID ne prend pas en charge la synchronisation des mots de passe. Pour demander de l’assistance, contactez Microsoft Azure.

Pour plus d’informations, voir Prise en charge de SCIM par Snowflake.

COMMENT = 'string_literal'

Spécifie un commentaire pour l’intégration.

Par défaut : aucune valeur

Exigences en matière de contrôle d’accès¶

Un rôle utilisé pour exécuter cette opération doit au minimum disposer des privilèges suivants :

Pour obtenir des instructions sur la création d’un rôle personnalisé avec un ensemble spécifique de privilèges, voir Création de rôles personnalisés.

Pour des informations générales sur les rôles et les privilèges accordés pour effectuer des actions SQL sur des objets sécurisables, voir Aperçu du contrôle d’accès.

Notes sur l’utilisation¶

• Concernant les métadonnées :

  Attention

  Les clients doivent s’assurer qu’aucune donnée personnelle (autre que pour un objet utilisateur), donnée sensible, donnée à exportation contrôlée ou autre donnée réglementée n’est saisie comme métadonnée lors de l’utilisation du service Snowflake. Pour plus d’informations, voir Champs de métadonnées dans Snowflake.

• Les clauses OR REPLACE et IF NOT EXISTS s’excluent mutuellement. Elles ne peuvent pas être utilisées dans la même instruction.

• Les instructions CREATE OR REPLACE <objet> sont atomiques. En d’autres termes, lorsqu’un objet est remplacé, l’ancien objet est supprimé et le nouvel objet est créé dans une seule transaction.

Exemples¶

CREATE OR REPLACE SECURITY INTEGRATION okta_provisioning
    TYPE = scim
    SCIM_CLIENT = 'AZURE'
    RUN_AS_ROLE = 'AAD_PROVISIONER';

DESC SECURITY INTEGRATION aad_provisioning;

CREATE OR REPLACE SECURITY INTEGRATION okta_provisioning
    TYPE = scim
    SCIM_CLIENT = 'OKTA'
    RUN_AS_ROLE = 'OKTA_PROVISIONER';