Points de terminaison d’interface AWS VPC pour les zones de préparation internes¶

Avantages¶

L’implémentation de points de terminaison d’interface VPC pour accéder à des zones de préparation internes Snowflake apporte les avantages suivants :

• Les données de la zone de préparation interne ne transitent pas par l’Internet public.

• Les applications client et SaaS, par exemple Microsoft PowerBI, exécutées en dehors d’AWS VPC peuvent se connecter à Snowflake de manière sécurisée.

• Les administrateurs n’ont pas besoin de modifier les paramètres de pare-feu pour accéder aux données de la zone de préparation interne.

• Les administrateurs peuvent assurer une sécurité et une surveillance cohérentes concernant la connexion des utilisateurs aux comptes de stockage.

Limitations¶

Pour les limitations de AWS PrivateLink, consultez la documentation AWS.

Conditions préalables¶

• Définissez le paramètre ENABLE_INTERNAL_STAGES_PRIVATELINK pour activer la prise en charge de la connexion à une zone de préparation interne via AWS PrivateLink. Pour les deux stratégies de mise en œuvre présentées dans cette rubrique, l’administrateur de compte doit exécuter :

  use role accountadmin;
  alter account set ENABLE_INTERNAL_STAGES_PRIVATELINK = true;
  

  Copy

• AWS PrivateLink pour S3.

  Important

  AWS PrivateLink pour S3 est un service AWS qui doit être activé dans votre environnement Cloud.

  Pour obtenir de l’aide sur la configuration et la mise en œuvre de ce service, contactez votre administrateur AWS interne.

• Mettez à jour la liste des autorisations du pare-feu comme suit :

  • Si vous utilisez un pare-feu sortant, assurez-vous qu’il autorise toutes les URLs requises par Snowflake. Pour plus de détails, voir SnowCD (Connectivity Diagnostic Tool).

• Pour les clients us-east-1 seulement : si vous utilisez l’un des clients Snowflake suivants pour vous connecter à Snowflake, veuillez effectuer une mise à niveau vers la version du client comme suit :

  • Pilote JDBC 3.13.3 (ou supérieur)

  • ilote ODBC 2.23.2 (ou supérieur)

  • Connecteur Python pour Snowflake : 2.5.1 (ou supérieur)

  • SnowSQL : 1.2.17 (ou supérieur)

    • Mettez à niveau SnowSQL avant d’utiliser cette fonction. Pour plus d’informations, voir Installation de SnowSQL.

    • Notez que si vous utilisez l’option SnowSQL --noup, la mise à niveau automatique SnowSQL est désactivée et une nouvelle version SnowSQL ne peut être téléchargée. Pour la mise à niveau, désactivez l’option --noup et réactivez-la une fois la mise à niveau terminée.

Choix d’une stratégie de mise en œuvre¶

Le choix de la bonne stratégie de mise en œuvre dépend de la question de savoir si votre organisation utilise AWS PrivateLink pour accéder à une seule zone de préparation interne ou à plusieurs zones de préparation internes.

• Si votre organisation accède à la zone de préparation interne d’un seul compte unique, consultez Accès à une zone de préparation interne avec un point de terminaison d’interface.

• Si votre organisation accède aux zones de préparation internes de plusieurs comptes, consultez Accès à des zones de préparation internes avec des points de terminaison d’interface dédiés. Cette stratégie utilise plusieurs points de terminaison d’interface pour se connecter, une pour chaque zone de préparation interne.

Procédure¶

Exécutez les étapes suivantes pour configurer et implémenter l’accès sécurisé à une zone de préparation interne Snowflake par le biais de points de terminaison VPC :

1. En tant qu’administrateur de compte Snowflake, exécutez les instructions suivantes dans votre compte Snowflake et enregistrez la valeur définie par la clé privatelink_internal_stage. Notez que le nom du compartiment Amazon S3 est défini dans le premier segment de l’URL lorsqu’il est lu de gauche à droite. Pour plus d’informations, voir ENABLE_INTERNAL_STAGES_PRIVATELINK et SYSTEM$GET_PRIVATELINK_CONFIG.

   use role accountadmin;
   alter account set ENABLE_INTERNAL_STAGES_PRIVATELINK = true;
   select key, value from table(flatten(input=>parse_json(system$get_privatelink_config())));
   

   Copy

2. En tant qu’administrateur AWS, créez un point de terminaison VPC pour AWS PrivateLink pour S3 en utilisant la console AWS. Enregistrez le nom DNS VPCE à utiliser à l’étape suivante ; n’enregistrez pas de noms de zones DNS VPCE.

   Le nom DNS VPCE peut être trouvé en décrivant un point de terminaison d’interface une fois le point de terminaison créé.

   Dans cet exemple, un caractère générique (c’est-à-dire *) est répertorié comme le caractère de tête du nom DNS VPCE. Remplacez le caractère générique de tête par le nom du compartiment Amazon S3 de l’étape précédente. Par exemple :

   Remplacer:

   *.vpce-000000000000a12-abc00ef0.s3.us-west-2.vpce.amazonaws.com

   Avec:

   <nom_compartiment>.vpce-000000000000a12-abc00ef0.s3.us-west-2.vpce.amazonaws.com

3. En tant qu’administrateur réseau, mettez à jour les paramètres DNS pour résoudre l’URL suivante :

   <nom_compartiment>.s3.<région>.amazonaws.com au nom DNS VPCE après que le caractère générique de tête soit remplacé par le nom du compartiment Amazon S3.

   Dans cet exemple, résolvez <nom_du_compartiment>.s3.<région>.amazonaws.com en <nom_du_compartiment>.vpce-000000000000a12-abc00ef0.s3.us-west-2.vpce.amazonaws.com.

   Astuce

   • N’utilisez pas de caractères de remplacement (c’est-à-dire *) avec le mappage DNS en raison de l’impact possible de l’accès à d’autres compartiments Amazon S3 en dehors de Snowflake.

   • Utilisez un compte Snowflake distinct pour les tests et configurez une zone DNS hébergée privée dans un VPC de test pour tester la fonctionnalité afin de ne pas perturber les autres charges de travail.

   • Si vous ne pouvez pas utiliser de compte Snowflake distinct, utilisez un utilisateur test pour accéder à Snowflake à partir d’un VPC de test où les modifications DNS sont effectuées.

   • Pour effectuer des tests à partir d’applications sur site, utilisez le transfert de DNS pour rediriger les requêtes vers la zone hébergée privée AWS dans le VPC où les réglages du DNS sont effectués. S’il y a des applications clientes à la fois dans le VPC et sur site, utilisez AWS Transit Gateway.

   • Exécutez la commande suivante à partir de la machine client pour vérifier que l’adresse IP renvoyée correspond à l’adresse IP privée du compte de stockage :

     dig <bucket_name>.s3.<region>.amazonaws.com
     

     Copy

4. Pour les comptes Snowflake en us-east-1, vérifiez que vos clients Snowflake sont sur leurs dernières versions.

Avantages¶

La stratégie dans laquelle une zone de préparation interne au sein d’un déploiement AWS dispose d’un point de terminaison d’interface Amazon S3 présente les avantages suivants :

Sécurité:

Chaque compte peut avoir une stratégie de sécurité différente parce que les points de terminaison d’interface peuvent avoir des configurations de sécurité différentes.

Modèles de rétrofacturation:

Les entreprises peuvent isoler le trafic réseau en fonction du type de compte (par exemple, production ou développement) et attribuer les coûts associés aux données qui transitent par un point de terminaison au compte approprié.

Gestion des DNS:

Le nom DNS d’un point de terminaison de l’interface Amazon S3 est un nom unique à l’échelle globale qui localise le point de terminaison spécifique dans une région spécifique. AWS enregistre automatiquement ce nom DNS dans son service DNS public, ce qui signifie qu’il peut être résolu publiquement. Pour ces raisons, un administrateur n’a pas besoin d’effectuer une configuration DNS supplémentaire pour acheminer le trafic via un point de terminaison d’interface Amazon S3 vers une zone de préparation interne. Par exemple, l’administrateur n’a pas besoin de configurer une zone hébergée privée (PHZ) lors de la configuration du service DNS Amazon Route 53 ou d’enregistrer un nom DNS pour pointer vers un point de terminaison.

Configuration¶

La stratégie d’isolation du réseau comprend les éléments suivants :

1. Dans AWS, un administrateur crée un nouveau point de terminaison d’interface Amazon S3 pour chaque compte Snowflake de l’organisation. Par exemple, si une organisation dispose de deux comptes dans le déploiement de Snowflake, l’administrateur crée deux points de terminaison d’interface.

2. Dans Snowflake, un administrateur utilise le paramètre S3_STAGE_VPCE_DNS_NAME pour associer chaque compte Snowflake au nom DNS du point de terminaison d’interface dédié. Tout le trafic vers la zone de préparation interne du compte passe par ce point de terminaison d’interface.

alter account set S3_STAGE_VPCE_DNS_NAME='*.vpce-sd98fs0d9f8g.s3.us-west2.vpce.amazonaws.com';

Valeur DNS finale¶

Le nom DNS final associé à un compte a la forme suivante : <nom_compartiment>.bucket.vpce-<vpceid>.s3.<région>.vpce.amazonaws.com

Où :

• <nom_compartiment> est le nom du compartiment Amazon S3 de la zone de préparation interne.

• <vpceid> est l’identificateur unique du point de terminaison d’interface Amazon S3 associé au compte.

• <région> est la région Cloud qui héberge votre compte Snowflake.

Le nom DNS final apparaît dans les journaux pour chaque pilote qui se connecte à la zone de préparation interne.