Rediriger les connexions du client¶

Présentation de la redirection des clients¶

La redirection des clients est mise en œuvre par le biais d’un objet Snowflake de connexion. L’objet de connexion stocke une URL de connexion sécurisée que vous utilisez avec un client Snowflake pour vous connecter à Snowflake.

Le nom d’hôte de l’URL de connexion est composé du nom de votre organisation et du nom de l’objet de connexion en plus d’un nom de domaine commun :

organization_name-connection_name.snowflakecomputing.com

Notez que ce nom d’hôte ne spécifie pas le compte auquel vous vous connectez. Un administrateur de compte détermine le compte à utiliser en désignant la connexion de ce compte comme étant la connexion primaire. Lorsque vous utilisez l’URL de connexion pour vous connecter à Snowflake, vous vous connectez au compte qui contient la connexion primaire.

Si une panne se produit dans une région ou une plateforme Cloud et que la panne affecte le compte avec la connexion primaire, l’administrateur peut promouvoir une connexion dans un compte différent dans une région ou une plateforme Cloud différents pour servir de connexion primaire.

Pendant cette panne, vous pouvez continuer à utiliser la même URL de connexion pour vous connecter à Snowflake. Snowflake résout l’URL de connexion vers le compte avec la connexion venant d’être promue (le compte situé en dehors de la région ou de la plateforme Cloud affectés par la panne).

Flux de redirection des clients¶

1. Suivez les étapes de la section Configuration de la redirection des clients (dans cette rubrique) pour créer une URL de connexion pour les connexions client. Cela comprend la création d’une connexion primaire et d’une ou plusieurs connexions secondaires liées.

2. Mettez à jour les clients Snowflake pour qu’ils se connectent en utilisant l’URL de connexion. Utilisation d’une URL de connexion (dans cette rubrique) contient une liste des clients pris en charge et des détails de connexion.

3. En cas de panne de service dans la région où se trouve la connexion primaire, effectuez les étapes de Rediriger les connexions du client (dans cette rubrique) pour mettre à jour l’URL de connexion afin de la rediriger vers une connexion secondaire.

4. Lorsque la panne est résolue, effectuez les étapes de Rediriger les connexions du client pour rediriger les connexions des clients vers la connexion primaire d’origine.

Les diagrammes suivants illustrent le flux de redirection des clients pour deux comptes dans la même organisation mais dans des régions différentes (Region A et Region B) sur des plateformes Cloud identiques ou différentes.

La connexion primaire est dans Account 1 dans Region A. Les clients Snowflake utilisant l’URL de connexion se connectent à Account 1.

Une interruption de service dans Region A entraîne l’échec des connexions des clients :

La connexion dans Account 2 dans Region B est promue pour agir en tant que connexion primaire. Les clients Snowflake utilisant l’URL de connexion se connectent désormais à Account 2.

-- Create a new primary connection
CREATE CONNECTION myconnection;

-- View accounts in your organization that are enabled for replication
SHOW REPLICATION ACCOUNTS;

-- Configure failover accounts for the primary connection
ALTER CONNECTION myconnection
  ENABLE FAILOVER TO ACCOUNTS myorg.myaccount2, myorg.myaccount3;

-- View the details for the connection
SHOW CONNECTIONS;

CREATE CONNECTION myconnection
  AS REPLICA OF myorg.myaccount1.myconnection;

ALTER CONNECTION myconnection PRIMARY;

ALTER CONNECTION myconnection PRIMARY;

Configuration de la redirection des clients¶

Cette section décrit comment créer une connexion primaire et une ou plusieurs connexions secondaires dans un groupe de connexions.

Configuration des paramètres DNS pour la connectivité privée au service Snowflake¶

Si une connectivité privée au service Snowflake est activée pour votre compte Snowflake, alors votre administrateur réseau doit créer et gérer un enregistrement DNS pour votre URL de connexion. Votre administrateur réseau peut utiliser un enregistrement CNAME, un enregistrement alias ou un alias en fonction de la configuration de l’architecture réseau.

Pour tous les autres comptes, Snowflake crée et gère l’enregistrement DNS. Par souci de cohérence, l’exemple suivant utilise l’enregistrement CNAME.

Ces étapes utilisent AWS PrivateLink comme exemple. Les étapes sont les mêmes si votre compte Snowflake utilise Azure Private Link ou Google Cloud Private Service Connect :

1. Exécutez SHOW CONNECTIONS dans l’un de vos comptes dans lequel la redirection du client est activée. Par exemple, supposons que AWS PrivateLink est activé pour myaccount1 et myaccount2.

   SHOW CONNECTIONS;
   
   +--------------------+-------------------------------+---------------------+-------------------+-----------------+---------------+-------------------------------+-------------------------------------+-------------------------------------------+-------------------+-------------------+
   | snowflake_region   | created_on                    | account_name        | name              | comment         | is_primary    | primary                       | failover_allowed_to_accounts        | connection_url                            | organization_name | account_locator   |
   |--------------------+-------------------------------+---------------------+-------------------+-----------------+---------------+-------------------------------+-------------------------------------+-------------------------------------------+-------------------+-------------------|
   | AWS_US_WEST_2      | 2020-07-19 14:49:11.183 -0700 | MYORG.MYACCOUNT1    | MYCONNECTION      | NULL            | true          | MYORG.MYACCOUNT1.MYCONNECTION | MYORG.MYACCOUNT2, MYORG.MYACCOUNT3  | myorg-myconnection.snowflakecomputing.com | MYORG             | MYACCOUNTLOCATOR1 |
   |--------------------|-------------------------------|---------------------|-------------------|-----------------|---------------|-------------------------------|-------------------------------------|-------------------------------------------|-------------------|-------------------|
   | AWS_US_WEST_2      | 2020-07-19 14:49:11.183 -0700 | MYORG.MYACCOUNT1    | MYCONNECTION      | NULL            | true          | MYORG.MYACCOUNT1.MYCONNECTION | MYORG.MYACCOUNT2, MYORG.MYACCOUNT3  | myorg-myconnection.snowflakecomputing.com | MYORG             | MYACCOUNTLOCATOR1 |
   | AWS_US_EAST_1      | 2020-07-22 13:52:04.925 -0700 | MYORG.MYACCOUNT2    | MYCONNECTION      | NULL            | false         | MYORG.MYACCOUNT1.MYCONNECTION |                                     | myorg-myconnection.snowflakecomputing.com | MYORG             | MYACCOUNTLOCATOR2 |
   +--------------------+-------------------------------+---------------------+-------------------+-----------------+---------------+-------------------------------+-------------------------------------+-------------------------------------------+-------------------+-------------------+
   

   Copy

   Notez que la sortie de cette commande dans la colonne CONNECTION_URL doit correspondre à la liste privatelink-connection-urls lorsque vous appelez la fonction SYSTEM$GET_PRIVATELINK_CONFIG dans myaccount1 ou myaccount2. Cette liste contient déjà l’URL de connexion formatée avec le segment privatelink (comme indiqué à l’étape suivante). Vous pouvez éventuellement exécuter la commande à cette étape ou appeler la fonction. Si vous appelez la fonction, utilisez les URLs telles quelles, sans autre modification.

2. Enregistrez la valeur de la colonne CONNECTION_URL et créez deux URLs pour prendre en charge la connectivité privée et OCSP.

   1. Ajoutez un segment privatelink à l’URL juste avant snowflakecomputing.com (myorg-myconnection.privatelink.snowflakecomputing.com, dans cet exemple).

   2. Ajoutez un segment ocsp au début de l’URL (ocsp.myorg-myconnection.privatelink.snowflakecomputing.com, dans cet exemple).

3. En utilisant un outil fourni par votre fournisseur DNS, créez un enregistrement CNAME pour l’URL de connexion et l’URL OCSP :

   • Définissez le domaine (ou l’alias) en utilisant la valeur modifiée de la colonne CONNECTION_URL.

   • Configurez l’enregistrement pour que l’URL de connexion soit résolue vers l’URL de compte Snowflake. Veillez à inclure tous les segments d’URL pour la région Cloud et AWS PrivateLink en fonction du format de l’URL que vous avez choisi. Il s’agit de l’URL du compte principal et c’est là que les connexions des clients à l’URL de connexion seront redirigées.

   • Configurez l’enregistrement pour que l’URL OCSP soit résolue soit à l’adresse IP du point de terminaison privé pour un compte sur Azure, soit à la valeur de l’ID du point de terminaison privé pour un compte sur AWS.

   • Dans le cas d’un basculement, vous devez mettre à jour manuellement le paramètre DNS pour que l’URL de connexion pointe vers l’URL de compte secondaire, comme indiqué dans Modification des paramètres DNS pour la connectivité privée au service Snowflake. De même, vous devez mettre à jour vos paramètres OCSP pour qu’ils pointent vers l’adresse IP du point de terminaison privé ou la valeur de l’ID du point de terminaison privé.

     Par exemple :

     myaccount1.us-west-2.privatelink.snowflakecomputing.com.
     ocsp.myaccount1.us-west-2.privatelink.snowflakecomputing.com.
     

     Copy

     Vous pouvez également utiliser l’URL du nom de l’organisation et du compte.

     Par exemple :

     myorg-myaccount1.privatelink.snowflakecomputing.com.
     ocsp.myorg-myaccount1.privatelink.snowflakecomputing.com.
     

     Copy

     Notez le point final, qui doit être inclus.

Les utilisateurs se connectent à Snowflake en utilisant le format d’URL de connexion suivant :

organization_name-connection_name.privatelink.snowflakecomputing.com

Où :

organization_name

Nom de votre organisation Snowflake. Les comptes Snowflake auxquels vos utilisateurs se connectent sont contenus dans cette organisation.

connection_name

Nom de l’objet de connexion.

Pour plus d’informations, voir :

• Utilisation d’une URL de connexion (dans cette rubrique)

• Modification des paramètres DNS pour la connectivité privée au service Snowflake (dans cette rubrique)

Utilisation d’une URL de connexion¶

Cette section fournit des instructions pour référencer une URL de connexion dans la configuration de divers clients Snowflake.

<organization-name>-<connection-name>

myorg-myconnection

https://<organization_name>-<connection_name>.snowflakecomputing.com/

https://myorg-myconnection.snowflakecomputing.com/

accountname = <organization_name>-<connection_name>
username = <username>
password = <password>

accountname = myorg-myconnection
username = jsmith
password = mySecurePassword

con = snowflake.connector.connect (
      account = <organization_name>-<connection_name>
      user = <username>
      password = <password>
)

con = snowflake.connector.connect (
      account = myorg-myconnection
      user = jsmith
      password = mySecurePassword
)

jdbc:snowflake://<organization_name>-<connection_name>.snowflakecomputing.com/?user=<username>&password=<password>

jdbc:snowflake://myorg-myconnection.snowflakecomputing.com/?user=jsmith&password=mySecurePassword

[ODBC Data Sources]
<account_name> = SnowflakeDSIIDriver

[<dsn_name>]
Description     = SnowflakeDB
Driver          = SnowflakeDSIIDriver
Locale          = en-US
SERVER          = <organization_name>-<connection_name>.snowflakecomputing.com

[ODBC Data Sources]
myaccount = SnowflakeDSIIDriver

[client_redirect]
Description     = SnowflakeDB
Driver          = SnowflakeDSIIDriver
Locale          = en-US
SERVER          = myorg-myconnection.snowflakecomputing.com

var configuration = {
  username: '<username>',
  password: '<password>',
  account: <organization_name>-<connection_name>.
}

var connection = snowflake.createConnection(configuration)

var configuration = {
  username: 'jsmith',
  password: 'mySecurePassword',
  account: myorg-myconnection.
}

var connection = snowflake.createConnection(configuration)

cfg := &Config{
  Account: "<organization_name>-<connection_name>",
  User: "<username>",
  Password: "<password>"
}

dsn, err := DSN(cfg)

cfg := &Config{
  Account: "myorg-myconnection",
  User: "jsmith",
  Password: "mySecurePassword"
}

dsn, err := DSN(cfg)

connection_parameters = {
  "account": "<organization_name>-<connection_name>",
  "user": "<snowflake_user>",
  "password": "<snowflake_password>"
}

connection_parameters = {
  "account": "myorg-myconnection",
  "user": "jsmith",
  "password": "mySecurePassword"
}

# Properties file (a text file) for establishing a Snowpark session
URL = https://<organization_name>-<connection_name>.snowflakecomputing.com

# Properties file (a text file) for establishing a Snowpark session
URL = https://myorg-myconnection.snowflakecomputing.com

# Properties file (a text file) for establishing a Snowpark session
URL = https://<organization_name>-<connection_name>.snowflakecomputing.com

# Properties file (a text file) for establishing a Snowpark session
URL = https://myorg-myconnection.snowflakecomputing.com

Authentification et redirection des clients¶

Les utilisateurs doivent être provisionnés dans le compte source et sur chaque compte cible si les intégrations de sécurité ne sont pas répliquées.

Rediriger les connexions du client¶

En cas de panne de service dans la région où se trouve la connexion primaire, redirigez la connexion du client vers un compte qui stocke une connexion secondaire.

-- view all connections
SHOW CONNECTIONS;

+--------------------+-------------------------------+---------------------+-------------------+-----------------+---------------+-------------------------------+-------------------------------------+-------------------------------------------+-------------------+-------------------+
| snowflake_region   | created_on                    | account_name        | name              | comment         | is_primary    | primary                       | failover_allowed_to_accounts        | connection_url                            | organization_name | account_locator   |
|--------------------+-------------------------------+---------------------+-------------------+-----------------+---------------+-------------------------------+-------------------------------------+-------------------------------------------+-------------------+-------------------|
| AWS_US_WEST_2      | 2020-07-19 14:49:11.183 -0700 | MYORG.MYACCOUNT1    | MYCONNECTION      | NULL            | true          | MYORG.MYACCOUNT1.MYCONNECTION | MYORG.MYACCOUNT2, MYORG.MYACCOUNT3  | myorg-myconnection.snowflakecomputing.com | MYORG             | MYACCOUNTLOCATOR1 |
| AWS_US_EAST_1      | 2020-07-22 13:52:04.925 -0700 | MYORG.MYACCOUNT2    | MYCONNECTION      | NULL            | false         | MYORG.MYACCOUNT1.MYCONNECTION |                                     | myorg-myconnection.snowflakecomputing.com | MYORG             | MYACCOUNTLOCATOR2 |
+--------------------+-------------------------------+---------------------+-------------------+-----------------+---------------+-------------------------------+-------------------------------------+-------------------------------------------+-------------------+-------------------+

-- promote the secondary connection to serve as the primary connection
ALTER CONNECTION myconnection PRIMARY;

-- verify that the former secondary connection was promoted successfully
SHOW CONNECTIONS;

+--------------------+-------------------------------+---------------------+-------------------+-----------------+---------------+-------------------------------+-------------------------------------+-------------------------------------------+-------------------+-------------------+
| snowflake_region   | created_on                    | account_name        | name              | comment         | is_primary    | primary                       | failover_allowed_to_accounts        | connection_url                            | organization_name | account_locator   |
|--------------------+-------------------------------+---------------------+-------------------+-----------------+---------------+-------------------------------+-------------------------------------+-------------------------------------------+-------------------+-------------------|
| AWS_US_WEST_2      | 2020-07-19 14:49:11.183 -0700 | MYORG.MYACCOUNT1    | MYCONNECTION      | NULL            | false         | MYORG.MYACCOUNT1.MYCONNECTION | MYORG.MYACCOUNT2, MYORG.MYACCOUNT3  | myorg-myconnection.snowflakecomputing.com | MYORG             | MYACCOUNTLOCATOR1 |
| AWS_US_EAST_1      | 2020-07-22 13:52:04.925 -0700 | MYORG.MYACCOUNT2    | MYCONNECTION      | NULL            | true          | MYORG.MYACCOUNT1.MYCONNECTION |                                     | myorg-myconnection.snowflakecomputing.com | MYORG             | MYACCOUNTLOCATOR2 |
+--------------------+-------------------------------+---------------------+-------------------+-----------------+---------------+-------------------------------+-------------------------------------+-------------------------------------------+-------------------+-------------------+

myaccount1.us-east-1.privatelink.snowflakecomputing.com.
ocsp.myaccount1.us-east-1.privatelink.snowflakecomputing.com.

SELECT CURRENT_REGION();

Modifier une connexion¶

Vous pouvez modifier les comptes cibles d’une connexion après l’avoir créée à l’aide de Snowsight ou SQL.

Supprimer une connexion¶

Vous pouvez supprimer une connexion en utilisant Snowsight ou SQL.

Surveillance de la redirection des clients¶

Vous pouvez surveiller les connexions et l’utilisation de la redirection des clients pour les comptes d’une organisation à l’aide de Snowsight ou SQL.

SHOW CONNECTIONS;

+--------------------+-------------------------------+---------------------+-------------------+-----------------+---------------+-------------------------------+-------------------------------------+-------------------------------------------+-------------------+-------------------+
| snowflake_region   | created_on                    | account_name        | name              | comment         | is_primary    | primary                       | failover_allowed_to_accounts        | connection_url                            | organization_name | account_locator   |
|--------------------+-------------------------------+---------------------+-------------------+-----------------+---------------+-------------------------------+-------------------------------------+-------------------------------------------+-------------------+-------------------|
| AWS_US_WEST_2      | 2023-07-05 08:57:11.143 -0700 | MYORG.MYACCOUNT1    | MYCONNECTION      | NULL            | true          | MYORG.MYACCOUNT1.MYCONNECTION | MYORG.MYACCOUNT2, MYORG.MYACCOUNT3  | myorg-myconnection.snowflakecomputing.com | MYORG             | MYACCOUNTLOCATOR1 |
| AWS_US_EAST_1      | 2023-07-08 09:15:11.143 -0700 | MYORG.MYACCOUNT2    | MYCONNECTION      | NULL            | false         | MYORG.MYACCOUNT1.MYCONNECTION | MYORG.MYACCOUNT2, MYORG.MYACCOUNT3  | myorg-myconnection.snowflakecomputing.com | MYORG             | MYACCOUNTLOCATOR1 |
|--------------------+-------------------------------+---------------------+-------------------+-----------------+---------------+-------------------------------+-------------------------------------+-------------------------------------------+-------------------+-------------------|

SELECT event_timestamp, user_name, client_ip, reported_client_type, is_success, connection
  FROM TABLE(INFORMATION_SCHEMA.LOGIN_HISTORY(
    DATEADD('HOURS',-72,CURRENT_TIMESTAMP()),
    CURRENT_TIMESTAMP()))
  ORDER BY EVENT_TIMESTAMP;

Limites actuelles de la redirection des clients¶

• Les connexions clients utilisant une URL de connexion et une intégration OAuth nécessitent une nouvelle authentification lorsque l’URL de connexion est mise à jour pour pointer vers un compte différent si l’intégration de sécurité OAuth n’est pas répliquée vers ce compte. Pour plus d’informations, reportez-vous à Comportement de redirection OAuth.

• La redirection des navigateurs Web peut prendre plusieurs minutes en raison du cache du navigateur.

  Pour vérifier que la redirection fonctionne, connectez-vous à Snowflake avec un client différent.

  Vous pouvez également ouvrir une nouvelle fenêtre de navigateur privée (par exemple, le mode incognito dans Google Chrome) pour éviter les problèmes de mise en cache du navigateur. Notez que certains navigateurs Web en mode privé ou incognito peuvent quand-même mettre des données en cache. Pour éviter d’utiliser le cache du navigateur, fermez toutes les fenêtres et tous les onglets de navigateur privé ouverts avant d’ouvrir une nouvelle fenêtre de navigateur privé.

• Vous ne pouvez ajouter qu’un seul compte cible en utilisant Snowsight. Pour ajouter plusieurs comptes cibles à la liste des comptes de basculement autorisés, utilisez la commande ALTER CONNECTION… ENABLE FAILOVER TO ACCOUNTS.