Intégration SCIM Okta avec Snowflake¶

Fonctionnalités¶

L’administration des utilisateurs et des rôles est prise en charge pour l’application Snowflake.

Cela permet à Okta de :

• Gérer le cycle de vie des utilisateurs (c’est-à-dire création, mise à jour et suppression) dans Snowflake.

• Gérer le cycle de vie des rôles (c’est-à-dire création, mise à jour et suppression) dans Snowflake.

• Gérer les attributions de rôles aux utilisateurs dans Snowflake.

Les fonctionnalités de provisionnement suivantes sont prises en charge :

Effectuer une transmission de type push pour de nouveaux utilisateurs:

Les nouveaux utilisateurs créés via OKTA seront également créés dans Snowflake.

Effectuer une transmission de type push pour les mises à jour de profil:

Les mises à jour apportées au profil d’un utilisateur via OKTA seront transmises par push à Snowflake.

Effectuer une transmission de type push pour la désactivation d’un utilisateur:

La désactivation de l’utilisateur ou la désactivation de son accès à Snowflake via OKTA désactivera l’utilisateur dans Snowflake.

Note

Pour Snowflake, la désactivation d’un utilisateur signifie la définition de la propriété DISABLED de l’utilisateur sur TRUE.

Réactiver des utilisateurs:

Les comptes utilisateur peuvent être réactivés Snowflake.

Synchroniser mot de passe:

Le mot de passe de l’utilisateur peut être transmis par push d’Okta dans Snowflake, si nécessaire.

Astuce

La configuration par défaut consiste à créer un mot de passe aléatoire pour les utilisateurs en leur attribuant un paramètre d’attribut has_Password=true. Sans mot de passe, les utilisateurs doivent accéder à Snowflake via Okta SSO. Pour empêcher la génération d’un mot de passe pour les utilisateurs, désactivez ce paramètre avant de provisionner des utilisateurs comme suit :

1. Cliquez sur Edit.

2. Sous Sync Password, décochez le paramètre Generate a new random password whenever the user’s Okta password changes.

3. Enregistrez la modification.

L’activation de ce paramètre dans Okta crée un mot de passe permettant à l’utilisateur d’accéder à Snowflake. Cela pourrait donner aux utilisateurs un chemin pour accéder à Snowflake sans SSO.

Pour désactiver la synchronisation des mots de passe, désactivez cette option dans Okta et mettez à jour l’intégration de sécurité SCIM Okta Snowflake pour définir la propriété SYNC_PASSWORD sur False.

Pousser des groupes:

La fonction Push Groups crée des rôles dans Snowflake et facilite la gestion des rôles. Les rôles créés dans Snowflake à l’aide d’Okta Push Groups ont les mêmes noms dans Okta et Snowflake. Créez toujours des rôles dans Okta en premier et utilisez Push Groups pour mettre à jour Snowflake afin de vous assurer qu’Okta et Snowflake puissent se synchroniser. Okta et le rôle personnalisé OKTA_PROVISIONER dans Snowflake ne peuvent pas gérer les rôles créés manuellement dans Snowflake. La fonction Push Groups ne crée pas d’utilisateurs dans Snowflake.

Astuce

Okta peut créer des utilisateurs dans Snowflake si l’application Snowflake dans Okta est attribuée à un utilisateur dans Okta.

Pour plus d’informations, consultez Attribuer une application à un utilisateur.

Les attributs utilisateur suivants sont pris en charge :

Conditions préalables¶

1. Avant de provisionner des utilisateurs ou des groupes, assurez-vous que la politique réseau dans Snowflake autorise l’accès à partir des adresses IP d’Okta documentées ici. Pour plus d’informations, voir Gestion des politiques réseau SCIM.

2. Avant de configurer le provisionnement pour Snowflake, assurez-vous que vous avez configuré les General Settings et toutes les Sign-On Options pour l’application Snowflake dans Okta.

Une fois les étapes ci-dessus terminées, cliquez sur Next dans Okta pour revenir à l’onglet Provisioning.

Étapes de configuration¶

Le processus de configuration nécessite d’effectuer des étapes dans Snowflake et dans Okta.

use role accountadmin;
create role if not exists okta_provisioner;
grant create user on account to role okta_provisioner;
grant create role on account to role okta_provisioner;
grant role okta_provisioner to role accountadmin;
create or replace security integration okta_provisioning
    type = scim
    scim_client = 'okta'
    run_as_role = 'OKTA_PROVISIONER';
select system$generate_scim_access_token('OKTA_PROVISIONING');

Activation de la fonction SSO initiée par Snowflake¶

Le processus de provisionnement SCIM n’active pas automatiquement la connexion unique (SSO).

Pour utiliser SSO une fois le processus de provisionnement SCIM terminé, activez SSO initié par Snowflake.

Gestion des politiques réseau SCIM¶

L’application d’une politique réseau à une intégration de sécurité SCIM permet à la politique réseau SCIM d’être distincte des politiques réseau qui s’appliquent à l’ensemble du compte Snowflake. Elle permet au fournisseur SCIM de mettre à disposition des utilisateurs et des groupes sans ajouter d’adresses IP à une politique réseau qui contrôle l’accès des utilisateurs normaux.

Une politique réseau appliquée à une intégration SCIM est prioritaire sur une politique réseau appliquée à l’ensemble du compte Snowflake, mais elle est prioritaire sur une politique réseau attribuée à un utilisateur.

Après avoir créé l’intégration de sécurité SCIM, créez la politique réseau SCIM à l’aide de cette commande :

alter security integration okta_provisioning set network_policy = <scim_network_policy>;

Copy

Pour annuler la politique réseau SCIM, utilisez cette commande :

alter security integration okta_provisioning unset network_policy;

Copy

Où :

okta_provisioning

Spécifie le nom de l’intégration de sécurité Okta SCIM.

scim_network_policy

Spécifie la politique réseau SCIM d’Okta dans Snowflake.

Pour plus d’informations, voir Contrôle du trafic réseau avec des politiques réseau et ALTER SECURITY INTEGRATION.

Utilisation de rôles secondaires avec SCIM¶

Snowflake prend en charge la configuration de la propriété user DEFAULT_SECONDARY_ROLES sur 'ALL' avec SCIM pour permettre aux utilisateurs d’utiliser des rôles secondaires dans une session Snowflake.

Pour un exemple représentatif, voir PUT scim/v2/Users/{id}.

Réplication de l’intégration de sécurité SCIM Okta¶

Snowflake prend en charge la réplication et le basculement/la restauration avec l’intégration de sécurité SCIM du compte source au compte cible.

Pour plus de détails, voir Réplication des intégrations de sécurité et des politiques réseau sur plusieurs comptes.

Dépannage¶

• Transfert de propriété. Si la mise à jour de l’utilisateur échoue, vérifiez l’appartenance de l’utilisateur dans Snowflake. S’il n’appartient pas au rôle okta_provisioner (ou au rôle défini dans le paramètre run_as_role lors de la création de l’intégration de sécurité dans Snowflake), la mise à jour échouera. Transférez l’appartenance en exécutant l’instruction SQL suivante dans Snowflake, puis réessayez.

  grant ownership on user <username> to role OKTA_PROVISIONER;
  

  Copy

• Assurez-vous que la propriété login_name est définie pour les utilisateurs existants. Cette propriété doit déjà l’être si ces utilisateurs Snowflake existants utilisent le service SSO Okta.

• Pour vérifier qu’Okta envoie des mises à jour à Snowflake, vérifiez les événements de journal dans Okta pour l’application Snowflake et les journaux d’audit SCIM dans Snowflake pour vous assurer que Snowflake reçoit les mises à jour d’Okta. Utilisez le code suivant pour interroger les journaux d’audit Snowflake SCIM.

  use role accountadmin;
  use database demo_db;
  use schema information_schema;
  select * from table(rest_event_history('scim'));
  select *
      from table(rest_event_history(
          'scim',
          dateadd('minutes',-5,current_timestamp()),
          current_timestamp(),
          200))
      order by event_timestamp;
  

  Copy

• Il est possible qu’une erreur d’authentification se produise pendant le processus de provisionnement. Un message d’erreur possible est le suivant :

  Error authenticating: Forbidden. Errors reported by remote server: Invalid JSON: Unexpected character ('<' (code 60)): expected a valid value (number, String, array, object, 'true', 'false' or 'null') at [Source: java.io.StringReader@4c76ba04; line: 1, column: 2]
  

  Copy

  Si ce message d’erreur ou d’autres messages d’erreur d’authentification se produisent, essayez cette procédure de dépannage :

  1. Dans Okta, supprimez l’application Snowflake actuelle et créez une nouvelle application Snowflake.

  2. Dans Snowflake, créez une nouvelle intégration de sécurité SCIM et générez un nouveau jeton d’accès.

  3. Copiez le nouveau jeton en cliquant sur Copy.

  4. Dans Okta, collez et vérifiez le nouveau jeton d’accès en suivant les instructions de la procédure de configuration d’Okta en tant que fournisseur d’identité SCIM.

  5. Provisionnez des utilisateurs et des rôles d’Okta à Snowflake à l’aide de la nouvelle application Snowflake d’Okta.

Chapitres suivants :

• Réalisation d’une requête API SCIM