接続の認証¶

ウェブブラウザーを介したシングルサインオン（SSO）を使用する¶

シングルサインオン（SSO）を使用するようにSnowflakeを構成 している場合は、認証にブラウザーベースの SSO を使用するようにクライアントアプリケーションを構成できます。

アプリケーションコード内で、

1. authenticator オプションを EXTERNALBROWSER に設定します。

2. 接続を確立するには、 connect メソッドではなく connectAsync メソッドを呼び出します。

例:

// Use a browser to authenticate via SSO.
var connection = snowflake.createConnection({
  ...,
  authenticator: "EXTERNALBROWSER"
});
// Establish a connection. Use connectAsync, rather than connect.
connection.connectAsync(
  function (err, conn)
  {
    ... // Handle any errors.
  }
).then(() =>
{
  // Execute SQL statements.
  var statement = connection.execute({...});
});

認証にブラウザーベースの SSO を使用する方法の詳細については、 ブラウザーベース SSO をご参照ください。

Oktaを介したネイティブ SSO を使用する¶

Oktaを介して シングルサインオン（SSO）を使用するようにSnowflakeを構成 している場合は、Oktaを介してネイティブ SSO 認証を使用するようにクライアントアプリケーションを構成できます。

アプリケーションコード内で、

1. 次のオプションを設定します。

   • authenticator オプションをOktaアカウントのOkta URL エンドポイントに設定します（例: https://<Oktaアカウント名>.okta.com）。

   • username および password オプションをIDプロバイダー（IdP）のユーザー名とパスワードに設定します。

2. 接続を確立するには、 connect メソッドではなく connectAsync メソッドを呼び出します。

例:

// Use native SSO authentication through Okta.
var connection = snowflake.createConnection({
  ...,
  username: '<user_name_for_okta>',
  password: '<password_for_okta>',
  authenticator: "https://myaccount.okta.com"
});

// Establish a connection.
connection.connectAsync(
  function (err, conn)
  {
    ... // Handle any errors.
  }
);

// Execute SQL statements.
var statement = connection.execute({...});

Oktaを介したネイティブ SSO 認証の使用の詳細については、 ネイティブ SSO --- Oktaのみ をご参照ください。

キーペア認証とキーペアローテーションを使用する¶

ドライバーは、キーペア認証とキーローテーションをサポートします。キーペア認証とキーローテーションを使用するには、次の手順に従います。

1. キーペア認証とキーペアローテーション で説明されているように、キーペア認証を構成します。

2. アプリケーションコード内で、

   1. authenticator オプションを SNOWFLAKE_JWT に設定します。

   2. 秘密キーを使用して、次のいずれかの方法で認証します。

      • privateKey オプションを秘密キーに設定します。

      • privateKeyPath オプションを秘密キーファイルへのパスに設定します。

        ファイルが暗号化されている場合は、 privateKeyPass オプションをパスフレーズに設定して秘密キーを復号化する必要もあります。

次の例では、ファイルから秘密キーをロードし、 privateKey オプションを秘密キーに設定します。

CopyExpand

// Read the private key file from the filesystem.
var crypto = require('crypto');
var fs = require('fs');
var privateKeyFile = fs.readFileSync('<path_to_private_key_file>/rsa_key.p8');

// Get the private key from the file as an object.
const privateKeyObject = crypto.createPrivateKey({
  key: privateKeyFile,
  format: 'pem',
  passphrase: 'passphrase'
});

// Extract the private key from the object as a PEM-encoded string.
var privateKey = privateKeyObject.export({
  format: 'pem',
  type: 'pkcs8'
});

// Use the private key for authentication.
var connection = snowflake.createConnection({
  ...
  authenticator: "SNOWFLAKE_JWT",
  privateKey: privateKey
});

// Establish a connection.
connection.connect(
  function (err, conn)
  {
    ... // Handle any errors.
  }
);

// Execute SQL statements.
var statement = connection.execute({...});

Show lessSee more

Scroll to top

次の例では、 privateKeyPath オプションを暗号化された秘密キーファイルに設定し、 privateKeyPass オプションを秘密キーの復号化に使用されるパスフレーズに設定します。

CopyExpand

// Use an encrypted private key file for authentication.
// Specify the passphrase for decrypting the key.
var connection = snowflake.createConnection({
  ...
  authenticator: "SNOWFLAKE_JWT",
  privateKeyPath: "<path-to-privatekey>/privatekey.p8",
  privateKeyPass: '<passphrase_to_decrypt_the_private_key>'
});

// Establish a connection.
connection.connect(
  function (err, conn)
  {
    ... // Handle any errors.
  }
);

// Execute SQL statements.
var statement = connection.execute({...});

Show lessSee more

Scroll to top

OAuth を使用する¶

OAuth を使用して接続するには、 authenticator オプションを OAUTH に設定し、 token オプションを OAuth アクセストークンに設定します。例:

// Use OAuth for authentication.
var connection = snowflake.createConnection({
  ...
  authenticator: "OAUTH",
  token: "<your_oauth_token>"
});

// Establish a connection.
connection.connect(
  function (err, conn)
  {
    ... // Handle any errors.
  }
);

// Execute SQL statements.
var statement = connection.execute({...});

詳細については、 クライアント、ドライバー、およびコネクタ をご参照ください。

OAuth 2.0認証コードフローを使用する¶

OAuth 2.0認証コードフローは、ユーザーの認証情報を公開することなく、クライアントアプリケーションがユーザーに代わって認証サーバーからアクセストークンを取得するための安全な方法です。

OAuth 2.0 認証コードフローを有効にするには：

1. authenticator 接続パラメーターを oauth_authorization_code に設定します。

2. 以下の OAuth 接続パラメーターをセットします。

   • oauthClientId:Snowflake統合（Snowflake セキュリティ統合メタデータ）用にプロバイダーから提供された client id の値。

   • oauthClientSecret: IDプロバイダーがSnowflake統合用に提供する client secret の値（Snowflake セキュリティ統合メタデータ）。

   • oauthAuthorizationUrl: 認証コードをドライバーに供給する ID プロバイダーのエンドポイント。SnowflakeをIDプロバイダーとして使用する場合、この値は server または account パラメーターから取得されます。

   • oauthTokenRequestUrl: ドライバーにアクセストークンを供給するIDプロバイダーエンドポイント。SnowflakeをIDプロバイダーとして使用する場合、この値は server または account パラメーターから取得されます。

   • oauthScope: IDプロバイダーの認可リクエストでリクエストされたスコープ。デフォルトでは、ロールから派生します。複数のスコープが必要な場合、値はスペースで区切られた複数のスコープのリストでなければなりません。

   • oauthRedirectUri： URI 認証コードリダイレクトに使用します（Snowflakeセキュリティ統合メタデータ）。デフォルト：http://127.0.0.1:{randomAvailablePort}。

OAuth 2.0クライアント認証情報フローを使用する¶

OAuth 2.0クライアント認証情報フローは、Python用Snowflake Connectorがバックエンドサービスに接続するような、マシン間（M2M）認証のためのセキュアな方法を提供します。OAuth 2.0認証コードフローとは異なり、このメソッドはユーザー固有のデータに依存しません。

OAuth 2.0 クライアント認証フローを有効にするには：

1. codenowrap:authenticator 接続パラメーターを oauth_client_credentials に設定します。

2. 以下の OAuth 接続パラメーターをセットします。

   • oauthClientId:Snowflake統合（Snowflake セキュリティ統合メタデータ）用にプロバイダーから提供された client id の値。

   • oauthClientSecret: IDプロバイダーがSnowflake統合用に提供する client secret の値（Snowflakeセキュリティ統合メタデータ）

   • oauthTokenRequestUrl: ドライバーにアクセストークンを供給するIDプロバイダーエンドポイント。

   • oauthScope: IDプロバイダーの認可リクエストでリクエストされたスコープ。デフォルトでは、ロールから派生します。複数のスコープが必要な場合、値はスペースで区切られた複数のスコープのリストでなければなりません。

ワークロードIDフェデレーションで認証（WIF）¶

ワークロードIDフェデレーション は、Snowflakeのサービス間の認証方法を提供します。この方法により、アプリケーション、サービス、コンテナは、 AWSIAM、Microsoft Entra ID またはGoogle CloudサービスアカウントのようなクラウドプロバイダーのネイティブIDシステムを活用して、Snowflakeで認証することができます。このアプローチでは、長期間有効な認証情報を管理する必要がなくなり、外部 OAuth のような他の方法と比較して、認証情報の取得が簡素化されます。Snowflakeコネクタは、プラットフォームのIDプロバイダーから有効期間が短い認証情報を自動的に取得するように設計されています。

ワークロードIDフェデレーション認証コードを有効にするには、以下を実行します。

1. Set the authenticator connection parameter to WORKLOAD_IDENTITY.

2. codenowrap: workloadIdentityProvider`接続パラメーターをプラットフォームに応じてcodenowrap: `AWS、AZURE、GCP または:codenowrap:OIDC に設定します。

3. OpenID 接続（OIDC）の場合、token 接続パラメーターを指定します。

MFA パスコードを使用する¶

Duoからのプッシュ通知など外部からの確認を待つ代わりに、多要素認証（MFA）のパスコードを渡すことでSnowflakeに接続できます。ドライバーには、 MFA パスコードを指定する以下の方法があります。

• passcodeInPassword オプションを true に設定し、以下のようにパスワード文字列の一部としてパスコードを含めます。

  CopyExpand

  const connection = snowflake.createConnection({
      account: process.env.SNOWFLAKE_TEST_ACCOUNT,
      username: process.env.SNOWFLAKE_TEST_USER,
      ...
      authenticator: 'USERNAME_PASSWORD_MFA',
      password: "abc123987654", // passcode 987654 is part of the password
      passcodeInPassword: true  // because passcodeInPassword is true
  });
  

  Show lessSee more

  Scroll to top

• passcode オプションをパスコードの値に設定し、以下のようにパスワードとパスコードを別々に指定します。

  CopyExpand

  const connection = snowflake.createConnection({
      account: process.env.SNOWFLAKE_TEST_ACCOUNT,
      username: process.env.SNOWFLAKE_TEST_USER,
      ...
      authenticator: 'USERNAME_PASSWORD_MFA',
      password: "abc123", // password and MFA passcode are input separately
      passcode: "987654"
  });
  

  Show lessSee more

  Scroll to top

  この方法を使うには、 passcodeInPassword オプションが false （デフォルト値）になっていることを確認してください。

これらのオプションの詳細については、 passcode をご参照ください。

トークンキャッシング認証¶

Snowflake Node.js ドライバーは、 SSO と MFA トークンをキャッシュする機能を提供します。

ALTER ACCOUNT SET ALLOW_ID_TOKEN = TRUE;

const connection = snowflake.createConnection({
  account: process.env.SNOWFLAKE_TEST_ACCOUNT,
  username: process.env.SNOWFLAKE_TEST_USER,
  database: process.env.SNOWFLAKE_TEST_DATABASE,
  schema: process.env.SNOWFLAKE_TEST_SCHEMA,
  warehouse: process.env.SNOWFLAKE_TEST_WAREHOUSE,
  authenticator: 'EXTERNALBROWSER',
  clientStoreTemporaryCredential: true,
});

ALTER ACCOUNT SET ALLOW_CLIENT_MFA_CACHING = TRUE;

const connection = snowflake.createConnection({
  account: process.env.SNOWFLAKE_TEST_ACCOUNT,
  username: process.env.SNOWFLAKE_TEST_USER,
  database: process.env.SNOWFLAKE_TEST_DATABASE,
  schema: process.env.SNOWFLAKE_TEST_SCHEMA,
  warehouse: process.env.SNOWFLAKE_TEST_WAREHOUSE,
  authenticator: 'USERNAME_PASSWORD_MFA',
  clientRequestMFAToken: true,
});

const sampleCustomManager = {
  read: function (key) {
  //(do something with the key)
    return token;
  },
  write: function (key, token) {
  //(do something with the key and token)
  },
  remove: function (key) {
    //(do something with the key)
  }
};

const myCredentialManager = require('<your custom credential manager module>')
const snowflake = require('snowflake-sdk');

snowflake.configure({
  customCredentialManager: myCredentialManager
})

const connection = snowflake.createConnection({
  account: process.env.SNOWFLAKE_TEST_ACCOUNT,
  database: process.env.SNOWFLAKE_TEST_DATABASE,
  schema: process.env.SNOWFLAKE_TEST_SCHEMA,
  warehouse: process.env.SNOWFLAKE_TEST_WAREHOUSE,
  authenticator: 'USERNAME_PASSWORD_MFA',
  clientRequestMFAToken: true,
});