AWS PrivateLink et Snowflake¶

Qu’est-ce que AWS PrivateLink ?¶

AWS PrivateLink est un service AWS qui sert à créer des points de terminaison VPC privés, qui permettent une connectivité directe et sécurisée entre vos VPCs AWS et le VPC Snowflake sans passer par l’Internet public. La connectivité est pour les VPCs AWS de la même région AWS.

Pour Écriture de fonctions externes, vous pouvez également utiliser AWS PrivateLink avec des points de terminaison privés.

En outre, si vous disposez d’un environnement sur site (par exemple, un centre de données non hébergé), vous pouvez choisir d’utiliser AWS Direct Connect, conjointement avec AWS PrivateLink, pour connecter tous vos environnements virtuels et physiques dans un réseau unique et privé.

Activation d’AWS PrivateLink¶

Pour activer AWS PrivateLink pour votre compte Snowflake, effectuez les étapes suivantes :

1. Dans votre environnement de ligne de commande, exécutez la commande AWS CLI STS suivante et enregistrez la sortie. La sortie sera utilisée comme valeur pour l’argument federated_token dans l’étape suivante.

   aws sts get-federation-token --name sam
   

   Copy

   Notez que get-federation-token nécessite soit un utilisateur de gestion des identités et des accès dans AWS, soit l’utilisateur root du compte AWS. Pour plus de détails, reportez-vous à la documentation AWS.

   Extrayez le nombre à 12 chiffres de la valeur "FederatedUserId" (tronquée). Par exemple, si votre jeton contient :

   {
      ...
      "FederatedUser": {
          "FederatedUserId": "185...:sam",
          "Arn": "arn:aws:sts::185...:federated-user/sam"
      },
      "PackedPolicySize": 0
    }
   

   Copy

   Extrayez 185.... Ce nombre à 12 chiffres sera la valeur de aws_id à l’étape suivante.

2. En tant qu’administrateur de compte Snowflake (c’est-à-dire un utilisateur ayant le rôle système ACCOUNTADMIN), appelez la fonction SYSTEM$AUTHORIZE_PRIVATELINK pour autoriser (c’est-à-dire activer) AWS PrivateLink pour votre compte Snowflake :

   select SYSTEM$AUTHORIZE_PRIVATELINK ( '<aws_id>' , '<federated_token>' );
   

   Copy

   Où :

   • 'aws_id'

     L’identificateur à 12 chiffres qui identifie de manière unique votre compte Amazon Web Services (AWS) sous forme de chaîne.

   • 'federated_token'

     La valeur du jeton fédéré qui contient les identifiants d’accès pour un utilisateur fédéré sous forme de chaîne.

   Par exemple :

   use role accountadmin;
   
   select SYSTEM$AUTHORIZE_PRIVATELINK (
       '185...',
       '{
          "Credentials": {
              "AccessKeyId": "ASI...",
              "SecretAccessKey": "enw...",
              "SessionToken": "Fwo...",
              "Expiration": "2021-01-07T19:06:23+00:00"
          },
          "FederatedUser": {
              "FederatedUserId": "185...:sam",
              "Arn": "arn:aws:sts::185...:federated-user/sam"
          },
          "PackedPolicySize": 0
       }'
     );
   

   Copy

Pour vérifier votre configuration autorisée, appelez la fonction SYSTEM$GET_PRIVATELINK de votre compte Snowflake sur AWS. Cette fonction utilise les mêmes valeurs d’argument pour 'aws_id' et 'federated_token' que celles utilisées pour autoriser votre compte Snowflake.

Snowflake renvoie Account is authorized for PrivateLink. pour une autorisation réussie.

S’il est nécessaire de désactiver AWS PrivateLink dans votre compte Snowflake, appelez la fonction SYSTEM$REVOKE_PRIVATELINK en utilisant les mêmes valeurs d’argument pour 'aws-id' et 'federated_token'.

Configuration de votre environnement VPC AWS¶

Se connecter à Snowflake¶

Avant de vous connecter à Snowflake, vous pouvez éventuellement utiliser SnowCD (outil de diagnostic de la connectivité Snowflake) pour évaluer la connexion réseau avec Snowflake et AWS PrivateLink.

Pour plus d’informations, voir SnowCD et SYSTEM$ALLOWLIST_PRIVATELINK.

Sinon, connectez-vous à Snowflake avec votre URL de compte de connectivité privée.

Notez que si vous souhaitez vous connecter à Snowsight via AWS PrivateLink, suivez les instructions de la documentation Snowsight.

Blocage de l’accès public — Facultatif¶

Après avoir testé la connectivité privée à Snowflake en utilisant AWS PrivateLink, vous pouvez éventuellement bloquer l’accès public à Snowflake. Cela signifie que les utilisateurs ne peuvent accéder à Snowflake que si leur demande de connexion provient d’une adresse IP située dans une plage de blocs CIDR particulière spécifiée dans une politique réseau Snowflake.

Pour bloquer l’accès public à l’aide d’une politique réseau :

1. Créez une politique réseau ou modifiez une politique réseau existante. Ajoutez la plage de blocage CIDR pour votre organisation.

2. Activez la politique réseau pour votre compte.

Pour plus de détails, voir Contrôle du trafic réseau avec des politiques réseau.

Configuration de vos clients Snowflake¶

Utilisation de SSO avec AWS PrivateLink¶

Snowflake prend en charge l’utilisation de SSO avec AWS PrivateLink. Pour plus d’informations, voir :

• SSO avec connectivité privée

• Applications partenaires

Utilisation de la redirection des clients avec AWS PrivateLink¶

Snowflake prend en charge l’utilisation de la redirection des clients avec AWS PrivateLink.

Pour plus d’informations, voir Rediriger les connexions du client.

Utilisation de la réplication et de Tri-Secret Secure avec une connectivité privée¶

Snowflake prend en charge la réplication de vos données du compte source vers le compte cible, que vous activiez ou non Tri-Secret Secure ou cette fonctionnalité dans le compte cible.

Pour plus de détails, reportez-vous à Réplication de base de données et chiffrement.

Dépannage¶

Notez les articles suivants de la communauté Snowflake :

• Comment récupérer un jeton de fédération de AWS pour le libre-service PrivateLink

• FAQ : Libre-service PrivateLink avec AWS

• Dépannage : les fonctions de libre-service de Snowflake pour AWS PrivateLink