AWS PrivateLink et Snowflake¶

AWS PrivateLink: Overview¶

AWS PrivateLink is an AWS service for creating private VPC endpoints that allow direct, secure connectivity between your AWS VPCs and the Snowflake VPC without traversing the public internet. AWS PrivateLink connectivity supports VPC endpoint services and AWS VPCs that are located in the same or in different AWS regions. Cross-region connectivity for AWS PrivateLink allows you to use a custom endpoint service to connect a Snowflake account in a region that is different from your AWS VPC region. Cross-region connectivity isn’t currently supported for any platform as a service (PaaS) services, such as Amazon Simple Storage Service (Amazon S3) or key management service (KMS).

Pour plus d’informations, voir la page de blog AWS intitulée Présentation de la connectivité interrégionale pour AWS PrivateLink.

When writing external functions, you can also use AWS PrivateLink with private endpoints.

If you have an on-premises environment, such as a non-hosted data center, you can use AWS Direct Connect with AWS PrivateLink to connect all your virtual and physical environments in a single, private network.

Enable AWS PrivateLink¶

Pour activer AWS PrivateLink pour votre compte Snowflake, effectuez les étapes suivantes :

1. Générez un jeton fédéré, puis enregistrez la sortie.

   1. To generate a token, run the AWS CLI STS command on the command line. get-federation-token requires either an identity and access management user in AWS or the AWS account root user. For details, refer to the AWS documentation.

      Important

      The federated token expires after 12 hours. If you call any of the system functions to authorize, verify, or disable your Snowflake account to use AWS PrivateLink and the token has expired, regenerate the token by running the AWS CLI STS command again.

      aws sts get-federation-token --name sam
      

      Copy

      Dans une étape ultérieure, vous fournirez la sortie de cette commande comme argument federated_token pour la fonction SYSTEM$AUTHORIZE_PRIVATELINK.

   2. From your generated token, extract the value of the "FederatedUserId" field. For example, if your token contains the following values:

      {
       ...
         "FederatedUser": {
           "FederatedUserId": "185...:sam",
           "Arn": "arn:aws:sts::185...:federated-user/sam"
         },
       "PackedPolicySize": 0
      }
      

      Copy

      Extract 185.... In the next step, you provide this 12-digit number as the aws_id argument for the SYSTEM$AUTHORIZE_PRIVATELINK function.

2. Using the ACCOUNTADMIN Snowflake system role, call the SYSTEM$AUTHORIZE_PRIVATELINK function to authorize (enable) AWS PrivateLink for your Snowflake account:

   SELECT SYSTEM$AUTHORIZE_PRIVATELINK ( '<aws_id>' , '<federated_token>' );
   

   Copy

   Où :

   • 'aws_id'

     L’identificateur à 12 chiffres qui identifie de manière unique votre compte Amazon Web Services (AWS) sous forme de chaîne.

   • 'federated_token'

     La valeur du jeton fédéré qui contient les identifiants d’accès pour un utilisateur fédéré sous forme de chaîne.

   Par exemple :

   USE ROLE ACCOUNTADMIN;
   
   SELECT SYSTEM$AUTHORIZE_PRIVATELINK (
     '185...',
       '{
         "Credentials": {
           "AccessKeyId": "ASI...",
           "SecretAccessKey": "enw...",
           "SessionToken": "Fwo...",
           "Expiration": "2021-01-07T19:06:23+00:00"
         },
         "FederatedUser": {
           "FederatedUserId": "185...:sam",
           "Arn": "arn:aws:sts::185...:federated-user/sam"
         },
         "PackedPolicySize": 0
        }'
     );
   

   Copy

   To verify your configuration, call the SYSTEM$GET_PRIVATELINK function in your Snowflake account on AWS. This function uses the same argument values for 'aws_id' and 'federated_token' that were used to authorize your Snowflake account.

   SYSTEM$GET_PRIVATELINK returns Account is authorized for PrivateLink. for a successful authorization.

3. Optional: If you need to disable AWS PrivateLink in your Snowflake account, call the SYSTEM$REVOKE_PRIVATELINK function by using the same argument values for 'aws_id' and 'federated_token'.

To further harden your security posture, Snowflake recommends pinning private endpoints for your Snowflake account. For more information, see Épingler les points de terminaison de la connectivité privée pour le trafic entrant.

Configure your AWS VPC environment¶

Se connecter à Snowflake¶

Before you connect to Snowflake, you can optionally use the Snowflake Connectivity Diagnostic tool (SnowCD) to evaluate the network connection with Snowflake and AWS PrivateLink.

Pour plus d’informations, voir SnowCD et SYSTEM$ALLOWLIST_PRIVATELINK.

Sinon, connectez-vous à Snowflake avec votre URL de compte de connectivité privée.

If you want to connect to Snowsight through AWS PrivateLink, follow the instructions in the Snowsight documentation.

Block public access — Recommended¶

After you test private connectivity to Snowflake by using AWS PrivateLink, you can optionally block public access to Snowflake. This means that users can access Snowflake only if their connection request originates from an IP address within a particular CIDR block range specified in a Snowflake network policy.

To block public access by using a network policy:

1. Create a new network policy or edit an existing network policy.

2. Ajoutez la plage de blocage CIDR pour votre organisation.

3. Activez la politique réseau pour votre compte.

For more information, see Contrôle du trafic réseau avec des politiques réseau.

Configure your Snowflake clients¶

Les sections suivantes décrivent comment configurer les clients Snowflake pour des cas d’utilisation spécifiques.

Utilisation de SSO avec AWS PrivateLink¶

Snowflake prend en charge l’utilisation de SSO avec AWS PrivateLink. Pour plus d’informations, voir :

• SSO avec connectivité privée

• Applications partenaires

Utilisation de la redirection des clients avec AWS PrivateLink¶

Snowflake prend en charge l’utilisation de la redirection des clients avec AWS PrivateLink.

Pour plus d’informations, voir Redirection des connexions des clients.

Utilisation de la réplication et de Tri-Secret Secure avec une connectivité privée¶

Snowflake prend en charge la réplication de vos données du compte source vers le compte cible, que vous activiez ou non Tri-Secret Secure ou cette fonctionnalité dans le compte cible.

Résolution des problèmes¶

Pour résoudre les problèmes que vous pourriez rencontrer avec PrivateLink, consultez les articles suivants de la communauté Snowflake :

• Comment récupérer un jeton de fédération de AWS pour le libre-service PrivateLink

• FAQ : Libre-service PrivateLink avec AWS

• Dépannage : les fonctions de libre-service de Snowflake pour AWS PrivateLink