Authentification multifactorielle (MFA)¶

Utilisation de la mise en cache des jetons MFA pour réduire le nombre d’invites lors de l’authentification — Facultatif¶

La mise en cache des jetons MFA peut contribuer à réduire le nombre d’invites qui doivent être réceptionnées lors de la connexion et de l’authentification à Snowflake, en particulier lorsque plusieurs tentatives de connexion sont effectuées dans un intervalle de temps relativement court.

Un jeton MFA mis en cache est valable pendant quatre heures au maximum.

Le jeton MFA mis en cache n’est pas valable si l’une des conditions suivantes est remplie :

1. Le paramètre ALLOW_CLIENT_MFA_CACHING est défini sur FALSE pour le compte ou l’utilisateur.

2. La méthode d’authentification change.

3. Les données identifiants de connexion d’authentification changent (c’est-à-dire le nom d’utilisateur et/ou le mot de passe).

4. Les identifiants de connexion d’authentification ne sont pas valables.

5. Le jeton mis en cache expire ou n’est pas valide sur le plan cryptographique.

6. Le nom de compte associé au jeton mis en cache change.

Le processus global que Snowflake utilise pour mettre en cache les jetons MFA est similaire à celui utilisé pour mettre en cache les jetons de connexion pour la connexion unique fédérée par navigateur. L’application cliente stocke le jeton MFA dans le keystore du système d’exploitation côté client. Les utilisateurs peuvent à tout moment supprimer le jeton MFA mis en cache dans le keystore.

Snowflake prend en charge la mise en cache des jetons MFA avec les pilotes et connecteurs suivants sur macOS et Windows. Cette fonctionnalité n’est pas prise en charge sur Linux.

• Version du pilote ODBC 2.23.0 (ou ultérieure).

• Version du pilote JDBC 3.12.16 (ou ultérieure).

• Connecteur Python pour la version Snowflake 2.3.7 (ou ultérieure).

Snowflake recommande de consulter des responsables de la sécurité interne et de la conformité avant d’activer la mise en cache des jetons MFA.

Pour activer la mise en cache du jeton MFA, suivez ces étapes :

1. En tant qu’administrateur de compte (c’est-à-dire un utilisateur avec le rôle système ACCOUNTADMIN), définissez le paramètre ALLOW_CLIENT_MFA_CACHING sur true pour un compte en utilisant la commande ALTER ACCOUNT.

   ALTER ACCOUNT SET ALLOW_CLIENT_MFA_CACHING = TRUE;
   

   Copy

2. Dans la chaîne de connexion du client, mettez à jour la valeur de l’authentificateur sur authenticator = username_password_mfa.

3. Ajoutez le paquet ou les bibliothèques requis par le pilote ou le connecteur :

   • Si vous utilisez le connecteur Snowflake pour Python, installez le paquet du « trousseau » facultatif en exécutant :

     pip install "snowflake-connector-python[secure-local-storage]"
     

     Copy

     Vous devez saisir les crochets ([ et ]) comme indiqué dans la commande. Les crochets spécifient la partie supplémentaire du paquet qui doit être installée.

     Utilisez des guillemets autour du nom du paquet (comme indiqué) pour éviter que les crochets ne soient interprétés comme des caractères génériques.

     Si vous devez installer d’autres « extras » (par exemple, pandas pour à l’aide des APIs du connecteur Python pour Pandas), utilisez une virgule entre les extras :

     pip install "snowflake-connector-python[secure-local-storage,pandas]"
     

     Copy

   • Pour le pilote JDBC Snowflake, voir Ajout de classes JNA à votre classpath.

Pour désactiver la mise en cache des jetons MFA, il convient de désactiver le paramètre ALLOW_CLIENT_MFA_CACHING :

ALTER ACCOUNT UNSET ALLOW_CLIENT_MFA_CACHING;

Pour trouver tous les utilisateurs qui utilisent la mise en cache des jetons MFA comme authentification de deuxième facteur pour se connecter, vous pouvez exécuter l’instruction SQL suivante en tant qu’administrateur de compte (un utilisateur ayant le rôle ACCOUNTADMIN) :

SELECT EVENT_TIMESTAMP,
       USER_NAME,
       IS_SUCCESS
  FROM SNOWFLAKE.ACCOUNT_USAGE.LOGIN_HISTORY
  WHERE SECOND_AUTHENTICATION_FACTOR = 'MFA_TOKEN';

Utilisation de MFA avec Snowsight¶

Pour vous connecter directement à Snowsight avec MFA :

1. Connectez-vous à Snowsight.

2. Saisissez vos identifiants (nom d’utilisateur et mot de passe).

3. Si la fonction Duo Push est activée, vous pouvez sélectionner une méthode de notification. Si Send Me a Push est sélectionné, une notification push est envoyée à votre application Duo Mobile. Lorsque vous recevez la notification, sélectionnez Approve et vous serez connecté à Snowflake.

   

   Comme le montre la capture d’écran ci-dessus, au lieu d’utiliser la notification Push, vous avez également les choix suivants :

   • Sélectionnez Call Me pour recevoir les instructions de connexion lors d’un appel téléphonique vers l’appareil mobile enregistré.

   • Sélectionnez Enter a Passcode pour vous connecter en entrant manuellement un code d’accès fourni par l’application Duo Mobile.

Utilisation de MFA avec l’interface Web Classic Console¶

Pour se connecter à la Classic Console avec MFA :

1. Dirigez votre navigateur sur l’URL de votre compte. Par exemple : https://myorg-account1.snowflakecomputing.com.

2. Saisissez vos identifiants (nom d’utilisateur et mot de passe).

3. Si la fonction Duo Push est activée, une notification Push est envoyée à votre application Duo Mobile. Lorsque vous recevez la notification, sélectionnez Approve et vous serez connecté à Snowflake.

   

   Comme le montre la capture d’écran ci-dessus, au lieu d’utiliser la notification Push, vous pouvez également choisir de :

   • Sélectionnez Call Me pour recevoir les instructions de connexion lors d’un appel téléphonique vers l’appareil mobile enregistré.

   • Sélectionnez Enter a Passcode pour vous connecter en entrant manuellement un code d’accès fourni par l’application Duo Mobile.

Utilisation de MFA avec SnowSQL¶

La MFA peut être utilisée pour se connecter à Snowflake par SnowSQL. Par défaut, le mécanisme d’authentification Duo Push est utilisé lorsqu’un utilisateur est inscrit dans la MFA.

Pour utiliser un code d’accès généré par Duo à la place du mécanisme Push, les paramètres de connexion doivent inclure l’une des options de connexion suivantes :

--mfa-passcode <chaîne> OR --mfa-passcode-in-password

Pour plus de détails, voir SnowSQL (CLI client).

Utilisation de MFA avec JDBC¶

La MFA peut être utilisée pour se connecter à Snowflake via le pilote Snowflake JDBC. Par défaut, le mécanisme d’authentification Duo Push est utilisé lorsqu’un utilisateur est inscrit dans la MFA. Aucune modification de la chaîne de connexion JDBC n’est nécessaire.

Pour utiliser un code d’accès généré par Duo à la place du mécanisme Push, l’un des paramètres suivants doit être inclus dans la chaîne de connexion JDBC :

passcode=<chaîne_code_accès> OR passcodeInPassword=on

Où :

• passcode_string est un mot de passe généré par Duo pour l’utilisateur qui se connecte. Il peut s’agir d’un mot de passe généré par l’application Duo Mobile ou d’un mot de passe SMS.

• Si passcodeInPassword=on, le mot de passe et le code d’accès sont concaténés, sous la forme de <chaîne_mdp><chaîne_code_accès>.

Pour plus de détails, voir Pilote JDBC.

Utilisation de MFA avec ODBC¶

La MFA peut être utilisée pour se connecter à Snowflake via le pilote Snowflake ODBC. Par défaut, le mécanisme d’authentification Duo Push est utilisé lorsqu’un utilisateur est inscrit dans la MFA. Aucune modification des paramètres ODBC n’est nécessaire.

Pour utiliser un code d’accès généré par Duo à la place du mécanisme Push, l’un des paramètres suivants doit être spécifié pour le pilote :

passcode=<chaîne_code_accès> OR passcodeInPassword=on

Où :

• passcode_string est un mot de passe généré par Duo pour l’utilisateur qui se connecte. Il peut s’agir d’un mot de passe généré par l’application Duo Mobile ou d’un mot de passe SMS.

• Si passcodeInPassword=on, le mot de passe et le code d’accès sont concaténés, sous la forme de <chaîne_mdp><chaîne_code_accès>.

Pour plus de détails, voir Pilote ODBC.

Utilisation de la MFA avec Python¶

La MFA peut être utilisée pour se connecter à Snowflake via le connecteur Python de Snowflake. Par défaut, le mécanisme d’authentification Duo Push est utilisé lorsqu’un utilisateur est inscrit dans la MFA. Aucune modification des appels API Python n’est nécessaire.

Pour utiliser un code d’accès généré par Duo à la place du mécanisme Push, l’un des paramètres suivants doit être spécifié pour le pilote dans la méthode de connexion () :

passcode=<chaîne_code_accès> OR passcode_in_password=True

Où :

• passcode_string est un mot de passe généré par Duo pour l’utilisateur qui se connecte. Il peut s’agir d’un mot de passe généré par l’application Duo Mobile ou d’un mot de passe SMS.

• Si passcode_in_password=True, le mot de passe et le code d’accès sont concaténés, sous la forme de <chaîne_mdp><chaîne_code_accès>.

Pour plus de détails, voir la description de la méthode connect() dans la section Fonctions de la documentation sur le connecteur API Python.