Utilisation de jetons d’accès programmatique pour l’authentification¶

Exigences en matière de politique réseau¶

Par défaut, l’utilisateur doit être soumis à une politique réseau avec une ou plusieurs règles réseau pour générer ou utiliser des jetons d’accès programmatique :

• Pour les utilisateurs de services (où TYPE = SERVICE pour l’utilisateur), vous ne pouvez générer ou utiliser un jeton que si l’utilisateur est soumis à une politique réseau.

  Cette condition préalable limite l’utilisation du jeton aux requêtes provenant d’un ensemble spécifique d’adresses ou d’identificateurs de réseau.

• Pour les utilisateurs humains (où TYPE = PERSON pour l’utilisateur), vous pouvez générer un jeton même si l’utilisateur n’est pas soumis à une politique réseau, mais l’utilisateur doit être soumis à une politique réseau pour s’authentifier avec ce jeton.

  Si un utilisateur humain qui n’est pas soumis à une politique réseau doit utiliser un jeton d’accès programmatique pour l’authentification, vous pouvez contourner temporairement l’exigence d’une politique réseau, mais nous ne le recommandons pas. Voir Génération d’un jeton d’accès programmatique.

  Note

  Les utilisateurs ne peuvent pas contourner la politique réseau elle-même.

La politique réseau peut être activée pour tous les utilisateurs du compte ou pour un utilisateur spécifique.

Pour modifier cette exigence, créez ou modifiez une politique d’authentification qui spécifie une politique de jeton d’accès programmatique.

Exécutez la commande CREATE AUTHENTICATION POLICY ou ALTER AUTHENTICATION POLICY. Dans la clause PAT_POLICY, définissez NETWORK_POLICY_EVALUATION sur l’une des valeurs suivantes :

ENFORCED_REQUIRED (comportement par défaut)

L’utilisateur doit être soumis à une politique réseau pour générer et utiliser des jetons d’accès programmatiques.

Si l’utilisateur est soumis à une politique réseau, celle-ci est appliquée lors de l’authentification.

ENFORCED_NOT_REQUIRED

L’utilisateur ne doit pas être soumis à une politique réseau pour générer et utiliser des jetons d’accès programmatiques.

Si l’utilisateur est soumis à une politique réseau, celle-ci est appliquée lors de l’authentification.

NOT_ENFORCED

L’utilisateur ne doit pas être soumis à une politique réseau pour générer et utiliser des jetons d’accès programmatiques.

Si l’utilisateur est soumis à une politique réseau, celle-ci n’est pas appliquée lors de l’authentification.

Par exemple, pour créer une politique d’authentification qui supprime l’exigence de politique réseau mais applique toute politique réseau à laquelle l’utilisateur est soumis :

CREATE AUTHENTICATION POLICY my_authentication_policy
  PAT_POLICY=(
    NETWORK_POLICY_EVALUATION = ENFORCED_NOT_REQUIRED
  );

Ensuite, appliquez la politique d’authentification à un compte ou à un utilisateur.

Autre exemple, pour modifier une politique d’authentification existante afin de supprimer l’exigence de politique réseau et empêcher l’application de toute politique réseau à laquelle l’utilisateur est soumis :

ALTER AUTHENTICATION POLICY my_authentication_policy
  SET PAT_POLICY = (
    NETWORK_POLICY_EVALUATION = NOT_ENFORCED
  );

Exigences de la politique d’authentification¶

S’il existe une politique d’authentification qui limite les méthodes d’authentification d’un utilisateur, celui-ci ne peut générer et utiliser des jetons d’accès programmatique que si la AUTHENTICATION_METHODS liste de cette politique inclut 'PROGRAMMATIC_ACCESS_TOKEN'.

Par exemple, supposons qu’une politique d’authentification limite les utilisateurs à l’utilisation des méthodes OAuth et de mot de passe pour s’authentifier :

CREATE AUTHENTICATION POLICY my_auth_policy
  ...
  AUTHENTICATION_METHODS = ('OAUTH', 'PASSWORD')
  ...

Les utilisateurs ne peuvent pas générer et utiliser des jetons d’accès programmatique à moins que vous n’ajoutiez 'PROGRAMMATIC_ACCESS_TOKEN' à la liste AUTHENTICATION_METHODS. Vous pouvez utiliser la commande ALTER AUTHENTICATION POLICY pour mettre à jour cette liste.

Par exemple :

ALTER AUTHENTICATION POLICY my_auth_policy
  SET AUTHENTICATION_METHODS = ('OAUTH', 'PASSWORD', 'PROGRAMMATIC_ACCESS_TOKEN');

Définition du délai d’expiration maximal¶

Par défaut, vous pouvez spécifier un délai d’expiration allant jusqu’à 365 jours pour un jeton. Si vous souhaitez réduire ce délai, créez ou modifiez une politique d’authentification qui spécifie une politique de jeton d’accès programmatique avec un délai d’expiration maximal.

Exécutez la commande CREATE AUTHENTICATION POLICY ou ALTER AUTHENTICATION POLICY. Dans la clause PAT_POLICY, définissez MAX_EXPIRY_IN_DAYS sur valeur comprise entre 1 et 365.

Par exemple, pour créer une politique d’authentification qui définit la valeur maximale sur 100 jours :

CREATE AUTHENTICATION POLICY my_authentication_policy
  PAT_POLICY=(
    MAX_EXPIRY_IN_DAYS=100
  );

Ensuite, appliquez la politique d’authentification à un compte ou à un utilisateur.

Autre exemple, pour modifier une politique d’authentification existante afin de définir une valeur maximale sur 90 jours :

ALTER AUTHENTICATION POLICY my_authentication_policy
  SET PAT_POLICY = (
    MAX_EXPIRY_IN_DAYS=90
  );

Définition du délai d’expiration par défaut¶

Par défaut, un jeton d’accès programmatique expire au bout de 15 jours. Si vous voulez modifier cette valeur, créez ou modifiez une politique d’authentification qui spécifie une politique de jeton d’accès programmatique avec une expiration par défaut.

Exécutez la commande CREATE AUTHENTICATION POLICY ou ALTER AUTHENTICATION POLICY. Dans la clause PAT_POLICY, définissez DEFAULT_EXPIRY_IN_DAYS sur une valeur initiale de 1 pour le délai d’expiration maximum.

Par exemple, pour créer une politique d’authentification qui définit la valeur par défaut sur 5 jours :

CREATE AUTHENTICATION POLICY my_authentication_policy
  PAT_POLICY=(
    DEFAULT_EXPIRY_IN_DAYS=5
  );

Ensuite, appliquez la politique d’authentification à un compte ou à un utilisateur.

Autre exemple, pour modifier une politique d’authentification existante afin de définir la valeur par défaut sur 30 jours :

ALTER AUTHENTICATION POLICY my_authentication_policy
  SET PAT_POLICY = (
    DEFAULT_EXPIRY_IN_DAYS=30
  );

Utilisation d’un jeton d’accès programmatique comme mot de passe¶

Pour s’authentifier avec un jeton d’accès programmatique comme mot de passe, vous pouvez spécifier le jeton pour la valeur du mot de passe dans les paramètres du pilote ou lors de l’appel pour se connecter à Snowflake.

Par exemple, si vous utilisez Snowflake Connector pour Python, vous pouvez spécifier le jeton d’accès programmatique comme argument password lorsque vous appelez la méthode snowflake.connector.connect.

conn = snowflake.connector.connect(
    user=USER,
    password=<programmatic_access_token>,
    account=ACCOUNT,
    warehouse=WAREHOUSE,
    database=DATABASE,
    schema=SCHEMA
)

De la même manière, vous pouvez utiliser des jetons d’accès programmatiques à la place d’un mot de passe dans des applications tierces (telles que Tableau ou PowerBI). Collez le jeton d’accès programmatique dans le champ réservé au mot de passe.

Utilisation d’un jeton d’accès programmatique pour s’authentifier à un point de terminaison¶

Pour s’authentifier à l’aide d’un jeton d’accès programmatique, il convient de paramétrer les en-têtes HTTP suivants dans la requête :

• Authorization: Bearer token_secret

• X-Snowflake-Authorization-Token-Type: PROGRAMMATIC_ACCESS_TOKEN (facultatif)

Par exemple, si vous utilisez cURL pour envoyer une requête à un point de terminaison Snowflake REST API :

curl --location 'https://myorganization-myaccount.snowflakecomputing.com/api/v2/databases' \
  --header "Authorization: Bearer <token_secret>"

Autre exemple, si vous utilisez cURL pour envoyer une requête au point de terminaison Snowflake SQL API:

curl -si -X POST https://myorganization-myaccount.snowflakecomputing.com/api/v2/statements \
  --header "Content-Type: application/json" \
  --header "Accept: application/json" \
  --header "Authorization: Bearer <token_secret>" \
  --data '{"statement": "select 1"}'

Si la requête échoue avec une erreur PAT_INVALID, l’erreur peut s’être produite pour l’une des raisons suivantes :

• L’utilisateur associé au jeton d’accès programmatique n’a pas été trouvé.

• Échec de validation.

• Le rôle associé au jeton d’accès programmatique n’a pas été trouvé.

• L’utilisateur n’est pas associé au jeton d’accès programmatique spécifié.

Listing des jetons d’accès programmatique¶

Vous pouvez dresser la liste des jetons d’accès programmatique d’un utilisateur dans Snowsight ou en exécutant des commandes SQL.

SHOW USER PROGRAMMATIC ACCESS TOKENS FOR USER example_user;

Changement de nom d’un jeton d’accès programmatique¶

Vous pouvez modifier le nom d’un jeton d’accès programmatique dans Snowsight ou en exécutant les commandes SQL.

Rotation d’un jeton d’accès programmatique¶

Vous pouvez faire pivoter un jeton d’accès programmatique dans Snowsight ou en exécutant les commandes SQL.

La rotation d’un jeton renvoie un nouveau secret de jeton qui porte le même nom et dont le délai d’expiration est prolongé. La rotation d’un jeton entraîne également l’expiration du secret du jeton existant. Utilisez le nouveau jeton pour vous authentifier auprès de Snowflake.

ALTER USER IF EXISTS example_user ROTATE PROGRAMMATIC ACCESS TOKEN example_token;

ALTER USER IF EXISTS example_user
  ROTATE PROGRAMMATIC ACCESS TOKEN example_token
  EXPIRE_ROTATED_TOKEN_AFTER_HOURS = 0;

+---------------+-----------------+-------------------------------------+
| token_name    | token_secret    | rotated_token_name                  |
|---------------+-----------------+-------------------------------------|
| EXAMPLE_TOKEN | ... (token) ... | EXAMPLE_TOKEN_ROTATED_1744239049066 |
+---------------+-----------------+-------------------------------------+

Révocation d’un jeton d’accès programmatique¶

Vous pouvez révoquer un jeton d’accès programmatique dans Snowsight ou en exécutant les commandes SQL.

ALTER USER IF EXISTS example_user REMOVE PROGRAMMATIC ACCESS TOKEN example_token;