SSO Power BI pour Snowflake¶

Workflow général¶

Le diagramme suivant résume le flux d’autorisation pour instancier une session Snowflake à partir de Power BI :

1. L’utilisateur se connecte au service Power BI à l’aide de Microsoft Azure Active Directory (Azure AD).

2. En option, Azure AD peut vérifier l’utilisateur par l’intermédiaire d’un IdP via SAML. Actuellement, Microsoft ne prend en charge qu’Azure AD en tant que IdP pour Power BI SSO.

3. Lorsque l’utilisateur se connecte à Snowflake, le service Power BI demande à Azure AD de lui donner un jeton pour Snowflake.

4. Le service Power BI utilise le pilote Snowflake intégré pour envoyer le jeton Azure AD à Snowflake dans le cadre de la chaîne de connexion.

5. Snowflake valide le jeton, extrait le nom d’utilisateur du jeton, le mappe à l’utilisateur Snowflake et crée une session Snowflake pour le service Power BI en utilisant le rôle par défaut de l’utilisateur.

Création d’une intégration de sécurité Power BI¶

Pour utiliser Power BI afin d’accéder aux données Snowflake via SSO, il est nécessaire de créer une intégration de sécurité pour Power BI à l’aide de CREATE SECURITY INTEGRATION comme illustré ci-dessous.

L’intégration de sécurité doit avoir la valeur correcte pour le paramètre external_oauth_issuer. Une partie de cette valeur correspond à votre client Azure AD. Vous pouvez trouver cette valeur dans la section About de votre client Power BI.

Si votre organisation dispose d’un déploiement avancé du service Power BI, contactez votre administrateur Azure AD pour obtenir la valeur correcte du client Azure AD à utiliser lors de la conception de l’URL de l’émetteur.

Par exemple, si l’ID de votre client Azure AD est a828b821-f44f-4698-85b2-3c6749302698, créez la valeur AZURE_AD_ISSUER similaire à https://sts.windows.net/a828b821-f44f-4698-85b2-3c6749302698/. Il est important d’inclure la barre oblique (c’est-à-dire /) à la fin de la valeur.

Après avoir construit la valeur de AZURE_AD_ISSUER, exécutez la commande CREATE SECURITY INTEGRATION.

Si votre compte Snowflake ou votre service Microsoft Power BI se trouve dans la région du Cloud Microsoft Azure Government, définissez la valeur de la propriété external_oauth_audience_list sur https://analysis.usgovcloudapi.net/powerbi/connector/Snowflake.

Intégration de la sécurité pour Microsoft Power BI

create security integration powerbi
    type = external_oauth
    enabled = true
    external_oauth_type = azure
    external_oauth_issuer = '<AZURE_AD_ISSUER>'
    external_oauth_jws_keys_url = 'https://login.windows.net/common/discovery/keys'
    external_oauth_audience_list = ('https://analysis.windows.net/powerbi/connector/Snowflake', 'https://analysis.windows.net/powerbi/connector/snowflake')
    external_oauth_token_user_mapping_claim = 'upn'
    external_oauth_snowflake_user_mapping_attribute = 'login_name'

Copy

Intégration de la sécurité Microsoft Azure Government pour Microsoft Power BI

create security integration powerbi_mag
    type = external_oauth
    enabled = true
    external_oauth_type = azure
    external_oauth_issuer = '<AZURE_AD_ISSUER>'
    external_oauth_jws_keys_url = 'https://login.windows.net/common/discovery/keys'
    external_oauth_audience_list = ('https://analysis.usgovcloudapi.net/powerbi/connector/Snowflake', 'https://analysis.usgovcloudapi.net/powerbi/connector/snowflake')
    external_oauth_token_user_mapping_claim = 'upn'
    external_oauth_snowflake_user_mapping_attribute = 'login_name'

Copy

create security integration powerbi
    type = external_oauth
    ...
    external_oauth_snowflake_user_mapping_attribute = 'email_address';

Utilisation de SSO de Power BI avec des utilisateurs hôtes B2B¶

Pour permettre aux utilisateurs invités business to business (c’est-à-dire B2B) d’Azure AD d’accéder à Snowflake en utilisant SSO depuis Microsoft Power BI, définissez la valeur de la propriété EXTERNAL_OAUTH_TOKEN_USER_MAPPING_CLAIM sur 'unique_name'. Par exemple :

create security integration powerbi
  type = external_oauth
  enabled = true
  external_oauth_type = azure
  external_oauth_issuer = '<AZURE_AD_ISSUER>'
  external_oauth_jws_keys_url = 'https://login.windows.net/common/discovery/keys'
  external_oauth_audience_list = ('https://analysis.windows.net/powerbi/connector/Snowflake', 'https://analysis.windows.net/powerbi/connector/snowflake')
  external_oauth_token_user_mapping_claim = 'unique_name'
  external_oauth_snowflake_user_mapping_attribute = 'login_name';

Copy

Pour plus d’informations, voir Comprendre l’utilisateur B2B.

Modification de votre intégration de sécurité externe OAuth¶

Vous pouvez mettre à jour votre intégration de sécurité externe OAuth en exécutant une instruction ALTER sur l’intégration de sécurité.

Pour plus d’informations, voir ALTER SECURITY INTEGRATION (External OAuth).

Utilisation de rôles secondaires avec SSO de Power BI pour Snowflake¶

Le champ d’application souhaité pour le rôle primaire est transmis dans le jeton externe. Ce rôle est un rôle spécifique qui a été accordé à l’utilisateur (session:role:<nom_du_rôle>).

Par défaut, les rôles secondaires par défaut d’un utilisateur (c’est-à-dire la propriété utilisateur DEFAULT_SECONDARY_ROLES) ne sont pas activés dans la session.

Pour activer les rôles secondaires par défaut pour un utilisateur dans une session et autoriser l’exécution de la commande USE SECONDARY ROLES tout en utilisant External OAuth, effectuez cette étape :

1. Configurez l’intégration de la sécurité pour la connexion. Définissez la valeur du paramètre EXTERNAL_OAUTH_ANY_ROLE_MODE comme ENABLE ou ENABLE_FOR_PRIVILEGE lorsque vous créez l’intégration de sécurité (à l’aide de CREATE SECURITY INTEGRATION) ou ultérieurement (à l’aide de ALTER SECURITY INTEGRATION).

Utilisation de la redirection des clients avec BI SSO vers Snowflake¶

Snowflake prend en charge l’utilisation de la redirection des clients avec Power BI SSO vers Snowflake.

Pour plus d’informations, voir Rediriger les connexions du client.

Utilisation de la réplication avec SSO de Power BI¶

Snowflake prend en charge la réplication et le basculement/la restauration de l’intégration de sécurité External OAuth d’un compte source à un compte cible.

Pour plus de détails, voir Réplication des intégrations de sécurité et des politiques réseau sur plusieurs comptes.

Connexion à Snowflake depuis Power BI¶

Pour plus de détails sur la connexion à Snowflake depuis Power BI, reportez-vous à la documentation Power BI.

• Power BI Desktop : documentation

• Power BI Service : documentation

Utilisation de politiques réseau avec External OAuth¶

Actuellement, les politiques de réseau ne peuvent pas être ajoutées à une intégration de sécurité OAuth externe, ce qui signifie que vous ne pouvez pas définir une politique réseau qui s’applique uniquement à l’intégration Power BI. Cependant, vous pouvez toujours mettre en œuvre des politiques de réseau qui s’appliquent largement à l’ensemble du compte Snowflake. Pour plus d’informations sur la plage d’IP Microsoft qui doit être incluse dans la politique réseau, voir la section Conditions préalables (dans cette rubrique).

Messages d’erreur¶

Le tableau suivant décrit les messages d’erreur renvoyés par Snowflake pendant qu’un utilisateur s’authentifie dans Power BI :

Historique de connexion¶

Si un utilisateur est en mesure d’accéder à Power BI, mais pas d’instancier une session Snowflake, vous pouvez déterminer quand l’utilisateur a accédé à Snowflake pour la dernière fois en exécutant les commandes suivantes à l’aide de n’importe quel connecteur pris en charge ou de l’interface Web Snowflake. Notez que seules les authentifications réussies sont enregistrées.

use role accountadmin;
select *
from table(information_schema.login_history(dateadd('hours',-1,current_timestamp()),current_timestamp()))
order by event_timestamp;

Pour chaque résultat, testez les colonnes USER_NAME et FIRST_AUTHENTICATION_FACTOR.

• La valeur USER_NAME doit s’aligner aux mappages d’attributs décrits dans la section Conditions préalables.

• Le FIRST_AUTHENTICATION_FACTOR doit être défini sur OAUTH_ACCESS_TOKEN.