Intégration Azure SCIM avec Snowflake¶

Fonctionnalités¶

• Provisionnement automatique d’utilisateurs Azure AD dans Snowflake.

• Provisionnement automatique de groupes Azure AD dans Snowflake.

• Synchronisation des utilisateurs et des groupes Azure AD avec Snowflake.

• Si Azure AD est configuré pour le SSO (authentification unique) SAML sur Snowflake, les utilisateurs Azure AD provisionnés dans Snowflake peuvent accéder à Snowflake à l’aide du SSO SAML.

  Note

  Par défaut, aucun mot de passe n’est attribué dans Snowflake aux utilisateurs Azure AD provisionnés dans Snowflake à l’aide de SCIM. Cela signifie que si le SSO SAML est configuré dans Azure AD, les utilisateurs s’authentifieront auprès de Snowflake en utilisant le SSO.

  Le SSO SAML n’est pas obligatoire si vous utilisez SCIM pour provisionner des utilisateurs et des groupes Azure AD dans Snowflake. Pour plus d’options, voir Configurer l’authentification unique Azure AD.

Conditions préalables¶

Avant d’utiliser SCIM pour provisionner des utilisateurs et des groupes Azure AD dans Snowflake, vérifiez que les conditions suivantes sont respectées :

1. Un client Azure AD existant.

2. Un client Snowflake existant.

   • Lors du processus de configuration dans Microsoft, vous devrez saisir l’URL du point de terminaison SCIM de Snowflake (c’est-à-dire Tenant URL dans le guide de configuration SCIM de Microsoft Azure Active Directory). Le point de terminaison SCIM de Snowflake est constitué de l’URL du compte Snowflake à laquelle s’ajoute /scim/v2/. Par exemple, si vous utilisez le format d’URL du nom de compte, le point de terminaison SCIM est https://myorg-myaccount.snowflakecomputing.com/scim/v2/. Pour une liste des formats pris en charge pour l’URL de compte Snowflake , voir Connexion avec une URL.

3. Au moins un utilisateur dans Snowflake avec le rôle ACCOUNTADMIN

4. Avant de provisionner des utilisateurs ou des groupes, s’agissant de votre compte, assurez-vous que la politique réseau de Snowflake autorise l’accès à partir de toutes les adresses IP Azure AD du Cloud public ou du Cloud du gouvernement US. Actuellement, toutes les adresses IP Azure AD sont requises pour créer une politique réseau Azure SCIM. Pour plus d’informations, voir Gestion des politiques réseau SCIM.

Configuration¶

Le processus de configuration de Snowflake crée une intégration de sécurité SCIM pour permettre aux utilisateurs et aux rôles créés dans Azure AD d’être la propriété du rôle AAD_PROVISIONER SCIM dans Snowflake et crée un jeton d’accès à utiliser dans les demandes API SCIM. Le jeton d’accès (c’est-à-dire le Secret Token dans le guide de configuration de Microsoft Azure Active Directory SCIM) est valable six mois. À l’expiration, créez un nouveau jeton d’accès manuellement à l’aide de SYSTEM$GENERATE_SCIM_ACCESS_TOKEN comme indiqué ci-dessous.

use role accountadmin;
create role if not exists aad_provisioner;
grant create user on account to role aad_provisioner;
grant create role on account to role aad_provisioner;
grant role aad_provisioner to role accountadmin;
create or replace security integration aad_provisioning
    type = scim
    scim_client = 'azure'
    run_as_role = 'AAD_PROVISIONER';
select system$generate_scim_access_token('AAD_PROVISIONING');

Activation de la fonction SSO initiée par Snowflake¶

Le processus de provisionnement SCIM n’active pas automatiquement la connexion unique (SSO).

Pour utiliser SSO une fois le processus de provisionnement SCIM terminé, activez SSO initié par Snowflake.

Gestion des politiques réseau SCIM¶

L’application d’une politique réseau à une intégration de sécurité SCIM permet à la politique réseau SCIM d’être distincte des politiques réseau qui s’appliquent à l’ensemble du compte Snowflake. Elle permet au fournisseur SCIM de mettre à disposition des utilisateurs et des groupes sans ajouter d’adresses IP à une politique réseau qui contrôle l’accès des utilisateurs normaux.

Une politique réseau appliquée à une intégration SCIM est prioritaire sur une politique réseau appliquée à l’ensemble du compte Snowflake, mais elle est prioritaire sur une politique réseau attribuée à un utilisateur.

Après avoir créé l’intégration de sécurité SCIM, créez la politique réseau SCIM à l’aide de cette commande :

alter security integration aad_provisioning set network_policy = <scim_network_policy>;

Copy

Pour annuler la politique réseau SCIM, utilisez cette commande :

alter security integration aad_provisioning unset network_policy;

Copy

Où :

aad_provisioning

Spécifie le nom de l’intégration de sécurité Azure AD SCIM.

scim_network_policy

Spécifie la politique réseau Azure AD SCIM dans Snowflake.

Pour plus d’informations, voir Politiques réseau et ALTER SECURITY INTEGRATION.

Utilisation de rôles secondaires avec SCIM¶

Snowflake prend en charge la configuration de la propriété user DEFAULT_SECONDARY_ROLES sur 'ALL' avec SCIM pour permettre aux utilisateurs d’utiliser des rôles secondaires dans une session Snowflake.

Pour un exemple représentatif, voir PUT scim/v2/Users/{id}.

Réplication de l’intégration de sécurité Azure SCIM¶

Snowflake prend en charge la réplication et le basculement/la restauration avec l’intégration de sécurité SCIM du compte source au compte cible.

Pour plus de détails, voir Réplication des intégrations de sécurité et des politiques réseau sur plusieurs comptes.

Dépannage¶

• Pour vérifier qu’Azure AD envoie des mises à jour à Snowflake, vérifiez les événements de journal dans Azure AD pour l’application Snowflake et les journaux d’audit SCIM dans Snowflake pour vous assurer que Snowflake reçoit les mises à jour d’Azure AD. Utilisez le code SQL suivant pour interroger les journaux d’audit Snowflake SCIM, où demo_db est le nom de votre base de données.

  use role accountadmin;
  use database demo_db;
  use schema information_schema;
  select * from table(rest_event_history('scim'));
  select *
      from table(rest_event_history(
          'scim',
          dateadd('minutes',-5,current_timestamp()),
          current_timestamp(),
          200))
      order by event_timestamp;
  

  Copy

• Si la mise à jour de l’utilisateur échoue, vérifiez à qui appartient l’utilisateur dans Snowflake. S’il n’appartient pas au rôle aad_provisioner (ou au rôle défini dans le paramètre run_as_role lors de la création de l’intégration de sécurité dans Snowflake), la mise à jour échouera. Transférez la propriété en exécutant l’instruction SQL suivante dans Snowflake, puis réessayez.

  grant ownership on user <username> to role AAD_PROVISIONER;
  

  Copy

• En cas de modification de la valeur d’attribut UPN dans Azure AD après le provisionnement SCIM initial, les mises à jour ultérieures de l’utilisateur ne fonctionneront pas. Une modification de la valeur d’attribut UPN rompt le lien entre l’objet utilisateur Azure AD et l’objet utilisateur Snowflake. Si une modification de la valeur d’attribut UPN se produit, réapprovisionnez l’utilisateur avec la valeur d’attribut UPN correcte.

Chapitres suivants :

• Réalisation d’une requête API SCIM