Authentification multifactorielle (MFA)¶

Invitation de l’utilisateur à ajouter une nouvelle méthode MFA¶

Si un utilisateur perd l’accès à la méthode MFA qu’il utilise comme deuxième facteur d’authentification (par exemple, en perdant le YubiKey qui stocke sa clé d’accès), un administrateur peut aider l’utilisateur à configurer une nouvelle méthode MFA afin qu’il puisse se connecter à Snowflake.

Lorsqu’un utilisateur n’a pas accès à sa méthode MFA et doit en configurer une nouvelle, l’administrateur exécute une instruction ALTER USER … ENROLL MFA. Par exemple, si l’utilisateur joe doit établir une nouvelle méthode MFA, l’administrateur peut exécuter ce qui suit :

ALTER USER joe ENROLL MFA;

• Si l’utilisateur dispose d’une adresse électronique vérifiée, Snowflake lui envoie un courriel l’invitant à ajouter une méthode d’authentification MFA.

• Si l’utilisateur n’a pas d’adresse électronique vérifiée, Snowflake renvoie l’URL d’une page qui invite l’utilisateur à ajouter une méthode d’authentification MFA. Les administrateurs peuvent envoyer cette URL à l’utilisateur bloqué.

Désactivation temporaire de la MFA¶

Si un administrateur doit désactiver temporairement la MFA pour un utilisateur, il peut exécuter une instruction ALTER USER … SET MINS_TO_BYPASS_MFA. Par exemple, pour désactiver temporairement la MFA afin que l’utilisateur joe puisse s’authentifier avec un mot de passe à facteur unique pendant 30 minutes, exécutez ce qui suit :

ALTER USER joe SET MINS_TO_BYPASS_MFA = 30;

Utilisation de la mise en cache des jetons MFA pour réduire le nombre d’invites lors de l’authentification — Facultatif¶

La mise en cache des jetons MFA peut contribuer à réduire le nombre d’invites qui doivent être réceptionnées lors de la connexion et de l’authentification à Snowflake, en particulier lorsque plusieurs tentatives de connexion sont effectuées dans un intervalle de temps relativement court.

Un jeton MFA mis en cache est valable pendant quatre heures au maximum.

Le jeton MFA mis en cache n’est pas valable si l’une des conditions suivantes est remplie :

1. Le paramètre ALLOW_CLIENT_MFA_CACHING est défini sur FALSE pour le compte ou l’utilisateur.

2. La méthode d’authentification change.

3. Les données identifiants de connexion d’authentification changent (c’est-à-dire le nom d’utilisateur et/ou le mot de passe).

4. Les identifiants de connexion d’authentification ne sont pas valables.

5. Le jeton mis en cache expire ou n’est pas valide sur le plan cryptographique.

6. Le nom de compte associé au jeton mis en cache change.

Le processus global que Snowflake utilise pour mettre en cache les jetons MFA est similaire à celui utilisé pour mettre en cache les jetons de connexion pour la connexion unique fédérée par navigateur. L’application cliente stocke le jeton MFA dans le keystore du système d’exploitation côté client. Les utilisateurs peuvent à tout moment supprimer le jeton MFA mis en cache dans le keystore.

Snowflake prend en charge la mise en cache des jetons MFA avec les pilotes, le connecteurs et les outils suivants sur macOS et Windows. Cette fonctionnalité n’est pas prise en charge sur Linux.

• Snowflake CLI version 3.0 (ou ultérieure)

• Version du pilote ODBC 2.23.0 (ou ultérieure).

• Version du pilote JDBC 3.12.16 (ou ultérieure).

• Connecteur Python pour la version Snowflake 2.3.7 (ou ultérieure).

Snowflake recommande de consulter des responsables de la sécurité interne et de la conformité avant d’activer la mise en cache des jetons MFA.

Pour activer la mise en cache du jeton MFA, suivez ces étapes :

1. En tant qu’administrateur de compte (c’est-à-dire un utilisateur avec le rôle système ACCOUNTADMIN), définissez le paramètre ALLOW_CLIENT_MFA_CACHING sur true pour un compte en utilisant la commande ALTER ACCOUNT.

   ALTER ACCOUNT SET ALLOW_CLIENT_MFA_CACHING = TRUE;
   

   Copy

2. Dans la chaîne de connexion du client, mettez à jour la valeur de l’authentificateur sur authenticator = username_password_mfa.

3. Ajoutez le paquet ou les bibliothèques requis par le pilote ou le connecteur :

   • Si vous utilisez le connecteur Snowflake pour Python, installez le paquet du « trousseau » facultatif en exécutant :

     pip install "snowflake-connector-python[secure-local-storage]"
     

     Copy

     Vous devez saisir les crochets ([ et ]) comme indiqué dans la commande. Les crochets spécifient la partie supplémentaire du paquet qui doit être installée.

     Utilisez des guillemets autour du nom du paquet (comme indiqué) pour éviter que les crochets ne soient interprétés comme des caractères génériques.

     Si vous devez installer d’autres « extras » (par exemple, pandas pour à l’aide des APIs du connecteur Python pour Pandas), utilisez une virgule entre les extras :

     pip install "snowflake-connector-python[secure-local-storage,pandas]"
     

     Copy

   • Pour le pilote JDBC Snowflake, voir Ajouter les classes JNA à votre classpath.

Pour désactiver la mise en cache des jetons MFA, il convient de désactiver le paramètre ALLOW_CLIENT_MFA_CACHING :

ALTER ACCOUNT UNSET ALLOW_CLIENT_MFA_CACHING;

Pour trouver tous les utilisateurs qui utilisent la mise en cache des jetons MFA comme authentification de deuxième facteur pour se connecter, vous pouvez exécuter l’instruction SQL suivante en tant qu’administrateur de compte (un utilisateur ayant le rôle ACCOUNTADMIN) :

SELECT EVENT_TIMESTAMP,
       USER_NAME,
       IS_SUCCESS
  FROM SNOWFLAKE.ACCOUNT_USAGE.LOGIN_HISTORY
  WHERE SECOND_AUTHENTICATION_FACTOR = 'MFA_TOKEN';

Utilisation de MFA avec SnowSQL¶

La MFA peut être utilisée pour se connecter à Snowflake par SnowSQL. Par défaut, le mécanisme d’authentification Duo Push est utilisé lorsqu’un utilisateur est inscrit dans la MFA.

Pour utiliser un code d’accès généré par Duo à la place du mécanisme Push, les paramètres de connexion doivent inclure l’une des options de connexion suivantes :

--mfa-passcode <chaîne> OR --mfa-passcode-in-password

Pour plus de détails, voir SnowSQL (CLI client).

Utilisation de MFA avec JDBC¶

La MFA peut être utilisée pour se connecter à Snowflake via le pilote Snowflake JDBC. Par défaut, le mécanisme d’authentification Duo Push est utilisé lorsqu’un utilisateur est inscrit dans la MFA. Aucune modification de la chaîne de connexion JDBC n’est nécessaire.

Pour utiliser un code d’accès généré par Duo à la place du mécanisme Push, l’un des paramètres suivants doit être inclus dans la chaîne de connexion JDBC :

passcode=<passcode_string> OR passcodeInPassword=on

Où :

• passcode_string est un mot de passe généré par Duo pour l’utilisateur qui se connecte. Il peut s’agir d’un mot de passe généré par l’application Duo Mobile ou d’un mot de passe SMS.

• Si passcodeInPassword=on, le mot de passe et le code d’accès sont concaténés, sous la forme de <password_string><passcode_string>.

Pour plus de détails, voir Pilote JDBC.

Utilisation de la MFA avec Node.js¶

La MFA peut être utilisée pour se connecter à Snowflake par l’intermédiaire du pilote Node.js de Snowflake. Par défaut, le mécanisme d’authentification Duo Push est utilisé lorsqu’un utilisateur est inscrit dans la MFA.

Pour utiliser un code d’accès généré par Duo à la place du mécanisme Push, les paramètres de connexion doivent inclure l’une des options de connexion suivantes. Les deux exemples utilisent le mot de passe abc123 et le code d’accès MFA 987654 pour illustrer la configuration.

• Définissez l’option passcodeInPassword sur true et incluez le code d’accès dans la chaîne de mot de passe, comme suit :

  authenticator: 'USERNAME_PASSWORD_MFA',
  password: "abc123987654", // passcode 987654 is part of the password
  passcodeInPassword: true  // because passcodeInPassword is true
  

  Copy

• Définissez l’option passcode sur la valeur du code d’accès pour spécifier le mot de passe et le code d’accès séparément, de façon similaire à ce qui suit :

  authenticator: 'USERNAME_PASSWORD_MFA',
  password: "abc123", // password and MFA passcode are input separately
  passcode: "987654"
  

  Copy

  Pour utiliser cette approche, assurez-vous que l’option codenowrap:passcodeInPassword est false (la valeur par défaut). Si le passcodeInPassword est défini sur true et que le code d'accès :codenowrap: est également configuré, le paramètre passcodeInPassword :codenowrap: a la priorité et le pilote suppose que le mot de passe :codenowrap: contient à la fois le mot de passe et le code d’accès MFA lors de l’authentification.

Pour plus de détails, voir Utiliser un code d’accès de MFA.

Utilisation de MFA avec ODBC¶

La MFA peut être utilisée pour se connecter à Snowflake via le pilote Snowflake ODBC. Par défaut, le mécanisme d’authentification Duo Push est utilisé lorsqu’un utilisateur est inscrit dans la MFA. Aucune modification des paramètres ODBC n’est nécessaire.

Pour utiliser un code d’accès généré par Duo à la place du mécanisme Push, l’un des paramètres suivants doit être spécifié pour le pilote :

passcode=<passcode_string> OR passcodeInPassword=on

Où :

• passcode_string est un mot de passe généré par Duo pour l’utilisateur qui se connecte. Il peut s’agir d’un mot de passe généré par l’application Duo Mobile ou d’un mot de passe SMS.

• Si passcodeInPassword=on, le mot de passe et le code d’accès sont concaténés, sous la forme de <password_string><passcode_string>.

Pour plus de détails, voir Pilote ODBC.

Utilisation de la MFA avec Python¶

La MFA peut être utilisée pour se connecter à Snowflake via le connecteur Python de Snowflake. Par défaut, le mécanisme d’authentification Duo Push est utilisé lorsqu’un utilisateur est inscrit dans la MFA. Aucune modification des appels API Python n’est nécessaire.

Pour utiliser un code d’accès généré par Duo à la place du mécanisme Push, l’un des paramètres suivants doit être spécifié pour le pilote dans la méthode de connexion () :

passcode=<passcode_string> OR passcode_in_password=True

Où :

• passcode_string est un mot de passe généré par Duo pour l’utilisateur qui se connecte. Il peut s’agir d’un mot de passe généré par l’application Duo Mobile ou d’un mot de passe SMS.

• Si passcode_in_password=True, le mot de passe et le code d’accès sont concaténés, sous la forme de <password_string><passcode_string>.

Pour plus de détails, voir la description de la méthode connect() dans la section Fonctions de la documentation sur le connecteur API Python.