Gestion/Utilisation de l’authentification fédérée¶

Fonctionnement de SSO sur navigateur¶

Lorsqu’une application cliente est configurée pour utiliser un SSO basé sur le navigateur, l’application utilise le workflow suivant pour l’authentification des utilisateurs :

1. L’application lance le navigateur Web par défaut dans le système d’exploitation de l’utilisateur ou ouvre un nouvel onglet/une nouvelle fenêtre de navigateur, affichant la page d’authentification pour l’IdP.

2. L’utilisateur saisit ses identifiants IdP (nom d’utilisateur et mot de passe).

3. Si l’utilisateur est inscrit dans MFA (authentification multi-facteurs) dans Snowflake, il est invité à saisir le mot de passe MFA (envoyé par un autre appareil) ou à confirmer l’authentification (sur l’autre appareil).

4. Après que l’IdP a authentifié les informations d’identification de l’utilisateur, le navigateur affiche un message de confirmation. L’utilisateur peut alors fermer l’onglet ou la fenêtre du navigateur (il n’est pas nécessaire de l’ouvrir après l’authentification), revenir à l’application et utiliser la session Snowflake qui a été lancée.

Conditions requises pour utiliser SSO sur navigateur¶

Avec le SSO basé sur le navigateur, le client fourni par Snowflake (par exemple, le pilote JDBC de Snowflake) doit pouvoir ouvrir le navigateur Web de l’utilisateur. Pour cette raison, le client fourni par Snowflake et l’application cliente qui l’utilise doivent être installés sur le poste de l’utilisateur. Le SSO basé sur le navigateur ne fonctionne pas si le client fourni par Snowflake est utilisé par du code qui s’exécute sur un serveur.

Configuration de SSO sur navigateur¶

Pour configurer le SSO basé sur le navigateur en vue de l’authentification, définissez le paramètre/l’option de connexion authenticator sur externalbrowser pour le client.

Utilisation de la mise en cache de connexion pour réduire le nombre d’invites pour l’authentification — Facultatif¶

Chaque fois qu’une application cliente établit une nouvelle connexion à Snowflake, l’utilisateur est invité à s’authentifier. Cela peut entraîner plusieurs invites d’authentification si l’application cliente établit une connexion plusieurs fois.

Pour réduire le nombre de fois qu’un utilisateur est invité à s’authentifier, l’administrateur du compte peut activer la mise en cache de la connexion.

Lorsque la mise en cache de connexion est activée, l’application cliente stocke un jeton de connexion à utiliser dans les connexions suivantes. Pour des raisons de sécurité, le jeton de connexion est stocké dans le magasin de clés du système d’exploitation. Avant d’activer la mise en cache des connexions, consultez votre équipe de sécurité pour déterminer si cela est conforme à vos politiques de sécurité.

Snowflake prend en charge la mise en cache des connexions avec les pilotes et connecteurs suivants sur macOS et Windows (actuellement, cette fonctionnalité n’est pas prise en charge sous Linux) :

• Version du pilote Go 1.6.15 (ou ultérieure)

• Version du pilote JDBC 3.12.8 (ou ultérieure)

• Version du pilote ODBC 2.21.2 (ou ultérieure)

• Connecteur Snowflake pour Python 2.2.8 (ou supérieur)

Pour activer la mise en cache de connexion :

1. Définissez le paramètre au niveau du compte ALLOW_ID_TOKEN sur true :

   alter account set allow_id_token = true;
   

   Copy

   Note

   Vous devez être un administrateur de compte (c’est-à-dire un utilisateur avec le rôle ACCOUNTADMIN) pour activer la mise en cache des connexions.

2. Ajoutez le paquet ou les bibliothèques requis par le pilote ou le connecteur :

   • Si vous utilisez le connecteur Snowflake pour Python, installez le paquet du « trousseau » facultatif en exécutant :

     pip install "snowflake-connector-python[secure-local-storage]"
     

     Copy

     Vous devez saisir les crochets ([ et ]) comme indiqué dans la commande. Les crochets spécifient la partie supplémentaire du paquet qui doit être installée.

     Utilisez des guillemets autour du nom du paquet (comme indiqué) pour éviter que les crochets ne soient interprétés comme des caractères génériques.

     Si vous devez installer d’autres « extras » (par exemple, pandas pour à l’aide des APIs du connecteur Python pour Pandas), utilisez une virgule entre les extras :

     pip install "snowflake-connector-python[secure-local-storage,pandas]"
     

     Copy

   • Pour le pilote JDBC Snowflake, voir Ajout de classes JNA à votre classpath.

Mise à niveau vers Okta Identity Engine¶

Si vous mettez à jour Okta Classic vers Okta Identity Engine for native SSO, vous devez mettre à jour les pilotes de votre client Snowflake avant la mise à jour.

Si vous rencontrez des erreurs HTTP 429 après votre mise à niveau, vous avez probablement atteint la limite de débit imposée par le point de terminaison d’authentification utilisé par les derniers pilotes clients. Pour plus de détails, voir Erreurs HTTP 429 (dans cette rubrique).

Erreurs HTTP 429¶

Le moteur d’identité Okta nécessite une communication via son point de terminaison d’authentification (/api/v1/authn), qui a actuellement une limite de débit de 20 requêtes par utilisateur toutes les 5 secondes. Pour prendre en charge le moteur d’identité Okta, les derniers pilotes du client Snowflake utilisent ce point de terminaison d’authentification et sont donc soumis à la limite de débit. Si cette limite est prohibitive, contactez le support Okta pour augmenter la limite de débit du point de terminaison d’authentification.

Les pilotes clients Snowflake sont passés au point de terminaison d’authentification dans les versions suivantes :

• Go : 1.6.20

• JDBC : 3.13.22

• .NET : 2.0.20

• Node.js : 1.6.21

• ODBC : 2.25.5

• Python : 2.7.12

• SnowSQL : 1.2.24

• SQLAlchemy : 1.4.6