Aperçu de OAuth Snowflake¶

Flux d’autorisation OAuth Snowflake¶

Le flux d’autorisation OAuth est le suivant :

1. Dans le client, l’utilisateur tente de se connecter à Snowflake en utilisant OAuth.

   L’application envoie une demande d’autorisation au serveur d’autorisation Snowflake, qui affiche à son tour un écran d’autorisation demandant à l’utilisateur d’autoriser l’accès.

2. L’utilisateur soumet le nom d’utilisateur et le mot de passe Snowflake. Un écran de consentement lui est alors présenté pour permettre au client d’accéder à Snowflake en utilisant un rôle spécifique dans une session utilisateur (par exemple SYSADMIN ou CUSTOM_ROLE1).

   L’utilisateur soumet son consentement à utiliser le rôle spécifique dans une session.

   Le serveur d’autorisation Snowflake renvoie un code d’autorisation au client.

3. Le client renvoie le code d’autorisation au serveur d’autorisation Snowflake pour demander un jeton d’accès et, éventuellement, un jeton d’actualisation permettant au client d’obtenir de nouveaux jetons d’accès.

   Le serveur d’autorisation Snowflake accepte le code d’autorisation et fournit au client un jeton d’accès spécifique aux ressources utilisateur du serveur de ressources Snowflake. En fonction des paramètres de la demande d’autorisation, le serveur d’autorisation émet un jeton d’actualisation pour obtenir de nouveaux jetons d’accès liés à la ressource spécifique.

4. Le client envoie le jeton d’accès au serveur de ressources Snowflake.

   Le serveur de ressources reconnaît le jeton d’accès valide et crée une session utilisateur avec le rôle autorisé. Le client a maintenant accès aux ressources Snowflake limitées par le rôle spécifié par le jeton d’accès.

   Par défaut, Snowflake empêche les rôles ACCOUNTADMIN, ORGADMIN, GLOBALORGADMIN et SECURITYADMIN de s’authentifier. Pour permettre à ces rôles privilèges de s’authentifier, utilisez la commande ALTER ACCOUNT pour définir le paramètre de compte OAUTH_ADD_PRIVILEGED_ROLES_TO_BLOCKED_LIST sur FALSE.

Les jetons d’accès ont une vie courte ; en général 10 minutes. Lorsque le jeton d’accès arrive à expiration, le client peut envoyer un jeton d’actualisation pour obtenir de nouveaux jetons d’accès. Un jeton d’actualisation est envoyé au serveur d’autorisation Snowflake pour demander un nouveau jeton d’accès à chaque expiration du jeton d’accès actuel (étapes 3 à 6). Si l’intégration est configurée pour empêcher l’envoi de jetons d’actualisation, l’utilisateur doit répéter les étapes ci-dessus pour réautoriser le client. Si vous souhaitez limiter le risque lié aux jetons de longue durée dans votre flux Snowflake OAuth, vous pouvez utiliser des jetons d’actualisation à usage unique..

Jetons d’actualisation à usage unique¶

You can use single-use refresh tokens to mitigate theft or reuse of refresh tokens. For more information, see Jetons d’actualisation à usage unique pour les intégrations de sécurité OAuth de Snowflake

Local applications¶

Snowflake fournit un moyen simplifié de configurer des applications locales (c’est-à-dire des applications de bureau) afin qu’elles utilisent l’OAuth Snowflake pour s’authentifier. L’application peut s’authentifier en définissant une seule option de connexion ; aucune configuration supplémentaire n’est requise. Pour plus d’informations, voir Utilisation de Snowflake OAuth pour les applications locales.

Applications partenaires¶

Pour configurer la prise en charge, reportez-vous à Configurer Snowflake OAuth pour les applications partenaires.

Pour savoir comment utiliser OAuth sans passer par l’Internet public, reportez-vous à Applications partenaires.

Clients personnalisés¶

Snowflake prend en charge les clients personnalisés configurés par votre organisation. Pour configurer la prise en charge, reportez-vous à Configurer Snowflake OAuth pour les clients personnalisés.

Restriction du trafic réseau pour l’OAuth Snowflake¶

Vous pouvez associer une politique réseau avec l’intégration de sécurité de l’OAuth Snowflake afin de restreindre le trafic réseau lorsque le client demande un jeton à Snowflake en tant que serveur d’autorisations. Cette politique réseau régit également le trafic réseau lorsque le client interroge Snowflake en tant que serveur de ressources.

To associate a network policy with the Snowflake OAuth security integration, set the NETWORK_POLICY parameter when creating or updating the integration. For example:

CREATE SECURITY INTEGRATION td_oauth_int2
  TYPE = oauth
  ENABLED = true
  OAUTH_CLIENT = tableau_desktop
  OAUTH_REFRESH_TOKEN_VALIDITY = 36000
  BLOCKED_ROLES_LIST = ('SYSADMIN');
  NETWORK_POLICY = 'allow_private_ip_only';

Une politique réseau associée à l’intégration de sécurité de l’OAuth Snowflake n’affecte pas le trafic réseau entre l’utilisateur et Snowflake en tant que serveur d’autorisations. Lorsque l’utilisateur s’authentifie en utilisant un navigateur, le trafic réseau est limité par une politique réseau associée à l’utilisateur.

Le schéma suivant montre quelle politique réseau régit le trafic réseau du client et de l’utilisateur.

1. La politique réseau associée à l’utilisateur prévaut. S’il n’existe aucune politique réseau au niveau de l’utilisateur, la politique au niveau du compte prévaut.

2. La politique réseau associée à l’intégration de sécurité prévaut. S’il n’existe aucune politique réseau au niveau de l’intégration, la politique au niveau du compte prévaut.

Codes d’erreur¶

Reportez-vous au tableau ci-dessous pour les descriptions des codes d’erreur associés à Snowflake OAuth :

De plus, les erreurs suivantes proviennent du RFC et sont renvoyées dans le blob JSON créé lors d’une demande ou d’un échange de jetons infructueux :