フェデレーション認証と SSO の概要¶

ログインのワークフロー¶

ユーザーがログインすると、システムの動作は、Snowflakeまたは IdP のどちらからログインが開始されるかによって決まります。

• Snowflakeが開始するログイン：

  Snowflakeからログインするには、次の方法があります。

  1. ユーザーはSnowflakeのウェブインターフェイスにアクセスします。

     注釈

     URL でSnowflakeにアクセスしているユーザーが、認証のためにSnowflakeサインインページを見ることなく IdP にリダイレクトされるように、Snowflakeを構成できます。詳細については、 ALTER ACCOUNT をご参照ください。

  2. ユーザーは、アカウントに構成された IdP （Okta、Entra ID、またはカスタム IdP）を使用してログインすることを選択します。

  3. ユーザーは、 IdP 認証情報（電子メールアドレスやパスワードなど）を使用して IdP で認証します。

  4. 認証が成功すると、 IdP は SAML 応答をSnowflakeに送信してセッションを開始し、Snowflakeのウェブインターフェイスを表示します。

• IdP が開始するログイン：

  アカウントの IdP からログインするには、次の方法があります。

  1. ユーザーは IdP サイト/アプリケーションにアクセスし、 IdP 認証情報（電子メールアドレスやパスワードなど）を使用して認証します。

  2. IdPで、ユーザーはSnowflakeアプリケーション（Oktaまたは|microsoft-idp-short|を使用している場合）、またはIdPで定義されているカスタムアプリケーション（別のIdPを使用している場合）を選択します。

  3. IdP は SAML 応答をSnowflakeに送信してセッションを開始し、Snowflakeのウェブインターフェイスを表示します。

ログアウトのワークフロー¶

ユーザーがログアウトすると、利用可能なオプションは IdP が グローバル ログアウトをサポートするか、 標準 ログアウトのみをサポートするかによって決まります。

標準:

ユーザーが完全に切断するには、 IdP とSnowflakeの両方から明示的にログアウトする必要があります。すべての IdPs は標準ログアウトをサポートしています。

グローバル:

ユーザーが IdP からログアウトし、その後すべてのSnowflakeセッションをログアウトできるようにします。グローバルログアウトのサポートは IdP に依存しています。

さらに、システムの動作は、Snowflakeまたは IdP のどちらからログアウトを開始するかによって決まります。

• Snowflakeが開始するログアウト：

  IdP がサポートするかどうかに関係なく、Snowflake内からのグローバルログアウトはサポートされません。ユーザーがSnowflakeセッションからログアウトすると、そのセッションからのみログアウトします。他のすべてのSnowflakeセッションは、 IdP セッションと同様に開いたままです。その結果、他のセッションで作業を継続したり、 IdPを介して再認証することなく追加のセッションを開始したりできます。

  完全に切断するには、ユーザーはSnowflakeと IdP の両方から明示的にログアウトする必要があります。

• IdP が開始したログアウト：

  ユーザーが IdPからログアウトするときの動作は、 IdP が標準のログアウトのみをサポートするか、グローバルログアウトもサポートするかによって異なります。

  • Entra ID は標準ログアウトとグローバルログアウトの両方をサポートします。グローバルログアウトが有効になっている場合、 Entra ID IdP ログインページには、ユーザーがアクセスしたすべてのサイトからサインアウトするためのオプションがあります。このオプションを選択すると、ユーザーは|microsoft-idp-short|およびすべてのSnowflakeセッションからログアウトします。Snowflakeに再度アクセスするには、 |microsoft-idp-short|を使用して再認証する必要があります。

  • Oktaは標準ログアウトのみをサポートします。ユーザーがOktaからログアウトしても、アクティブなSnowflakeセッションから自動的にログアウトされることはなく、作業を続行できます。ただし、新しいSnowflakeセッションを開始するには、Oktaを介して再度認証する必要があります。

  • すべてのカスタムプロバイダーは標準ログアウトをサポートしています。グローバルログアウトのサポートはプロバイダーによって異なります。

  注釈

  ウェブベースのIdPの場合（たとえば、Okta）、ブラウザーのタブ/ウィンドウを閉じてもIdPセッションが終了するとは限りません。ユーザーの IdP セッションがまだアクティブな場合、 IdP セッションがタイムアウトするまでSnowflakeにアクセスできます。

タイムアウトのワークフロー¶

ユーザーのセッションがタイムアウトすると、タイムアウトするのはSnowflakeセッションか IdP セッションかによって動作が決定されます。

• Snowflakeのタイムアウト：

  ユーザーが SSO を使用してSnowflakeにログインし、非アクティブのためにSnowflakeのセッションが期限切れになると、Snowflakeのウェブインターフェイスが無効になり、 IdP 認証のプロンプトが表示されます。

  • 期限切れのSnowflakeセッションを引き続き使用するには、ユーザーは IdP を介して再度認証する必要があります。

  • ユーザーは:extui:`Cancel`ボタンを選択すると、セッションを終了できます。

  • ユーザーは IdP サイト/アプリケーションに直接移動してSnowflakeを再起動することもできますが、これにより新しいSnowflakeセッションが開始されます。

• IdP タイムアウト：

  指定された期間（ IdPで定義）後、 IdP のユーザーのセッションは自動的にタイムアウトしますが、これはSnowflakeセッションに影響しません。その時点でアクティブなSnowflakeセッションは開いたままで、再認証を必要としません。ただし、新しいSnowflakeセッションを開始するには、ユーザーは再度 IdP にログインする必要があります。