AWS PrivateLink とSnowflake¶

AWS PrivateLink ：概要¶

AWS PrivateLink は、パブリックインターネットを経由せずに、 AWS VPCs と Snowflake VPC 間の直接の安全な接続を可能にするプライベート VPC エンドポイントを作成するための AWS サービスです。 AWS PrivateLink 接続は、同じまたは異なる AWS リージョンにある VPC エンドポイントサービスと AWS VPCs をサポートします。AWS PrivateLink のクロスリージョン接続を使用すると、カスタムエンドポイントサービスを使用して、 AWS VPC リージョンとは異なるリージョンのSnowflakeアカウントに接続できます。リージョン間接続は現在、Amazon Simple Storage Service（Amazon S3）やキー管理サービス（ KMS ）などのPlatform as a Service（ PaaS ）サービスではサポートされていません。

詳細については、 AWS のブログページ AWS のクロスリージョン接続の概要 PrivateLink をご参照ください。アカウントのリージョン名の見つけ方については、 アカウントのリージョンのクラウドプロバイダー名を見つける をご参照ください。

外部関数を記述する場合 、 プライベートエンドポイント で AWS PrivateLink を使用することもできます。

非ホスト型データセンターなどのオンプレミス環境がある場合は、 AWS ダイレクト接続 と AWS PrivateLink を使用して、すべての仮想環境と物理環境を単一のプライベートネットワークに接続できます。

AWS PrivateLink を有効にします¶

Snowflakeアカウントで AWS PrivateLink を有効にするには、次のステップを実行します。

1. フェデレーション認証済みトークンを生成し、出力を保存します。

   1. トークンを生成するには、コマンドラインで AWS CLI STS コマンドを実行します。 get-federation-token には、 AWS のIdentity and Access Managementユーザーまたは AWS アカウントのルートユーザーが必要です。詳細については、 AWS ドキュメント をご参照ください。

      重要

      フェデレーショントークンは12時間後に期限切れになります。Snowflakeアカウントで AWS PrivateLink の使用を承認、検証、または無効化するためのシステム関数のいずれかを呼び出した後にトークンの有効期限が切れた場合は、AWS CLI STS コマンドを再度実行してトークンを再生成してください。

      aws sts get-federation-token --name sam
      

      Copy

      後のステップで、このコマンドの出力を SYSTEM$AUTHORIZE_PRIVATELINK 関数の federated_token 引数として指定します。

   2. 生成されたトークンから、 "FederatedUserId" フィールドの値を抽出します。たとえば、トークンに以下の値が含まれているとします。

      {
       ...
         "FederatedUser": {
           "FederatedUserId": "185...:sam",
           "Arn": "arn:aws:sts::185...:federated-user/sam"
         },
       "PackedPolicySize": 0
      }
      

      Copy

      185... を抽出します。次のステップでは、この12桁の数字を SYSTEM$AUTHORIZE_PRIVATELINK 関数の aws_id 引数として指定します。

2. ACCOUNTADMIN Snowflakeシステムロールを使用して、 SYSTEM$AUTHORIZE_PRIVATELINK 関数を呼び出して、Snowflakeアカウントの AWS PrivateLink を 承認 （有効化）します。

   SELECT SYSTEM$AUTHORIZE_PRIVATELINK ( '<aws_id>' , '<federated_token>' );
   

   Copy

   条件:

   • 'aws_id'

     Amazon Web Services（AWS）アカウントを文字列として一意に識別する12桁の識別子。

   • 'federated_token'

     フェデレーションユーザーのアクセス認証情報を文字列として含むフェデレーショントークン値。

   例:

   USE ROLE ACCOUNTADMIN;
   
   SELECT SYSTEM$AUTHORIZE_PRIVATELINK (
     '185...',
       '{
         "Credentials": {
           "AccessKeyId": "ASI...",
           "SecretAccessKey": "enw...",
           "SessionToken": "Fwo...",
           "Expiration": "2021-01-07T19:06:23+00:00"
         },
         "FederatedUser": {
           "FederatedUserId": "185...:sam",
           "Arn": "arn:aws:sts::185...:federated-user/sam"
         },
         "PackedPolicySize": 0
        }'
     );
   

   Copy

   構成を確認するには、 AWS でSnowflakeアカウントの SYSTEM$GET_PRIVATELINK 関数を呼び出します。この関数は、Snowflakeアカウントの承認に使用されたものと同じ引数値を 'aws_id' と 'federated_token' に使用します。

   SYSTEM$GET_PRIVATELINK は、承認が成功すると Account is authorized for PrivateLink. を返します。

3. オプション：Snowflakeアカウントで AWS PrivateLink を 無効 にする必要がある場合は、 'aws_id' と 'federated_token' に同じ引数値を使用して SYSTEM$REVOKE_PRIVATELINK 関数を呼び出します。

セキュリティ体制をさらに強化するために、SnowflakeではSnowflakeアカウントのプライベートエンドポイントを固定することを推奨しています。詳細については、 インバウンドトラフィックのプライベート接続エンドポイントのピン留め をご参照ください。

AWS VPC 環境の構成¶

SELECT CURRENT_REGION();

+------------------+
| CURRENT_REGION() |
|------------------|
| AWS_US_WEST_2    |
+------------------+

SHOW REGIONS;

+------------------+-------+-----------|-----------------+
| snowflake_region | cloud | region    | display_name    |
|------------------|-------|-----------|-----------------|
| AWS_US_WEST_2    | aws   | us-west-2 | US West (Oregon)|
+------------------+-------+-----------+-----------------+

Snowflakeに接続する¶

Snowflakeに接続する前に、*オプション*で Snowflake接続診断ツール（ SnowCD ）を使用して、Snowflakeと AWS PrivateLink とのネットワーク接続を評価できます。

詳細については、 SnowCD および SYSTEM$ALLOWLIST_PRIVATELINK をご参照ください。

それ以外の場合は、プライベート接続アカウント URL を使用してSnowflakeに接続します。

AWS PrivateLink を介してSnowsightに接続する場合は、 Snowsightドキュメント の手順に従います。

パブリックアクセスのブロック --- 推奨¶

AWS PrivateLink を使用してSnowflakeへのプライベート接続をテストした後、オプションでSnowflakeへのパブリックアクセスをブロックできます。つまり、ユーザーは、接続リクエストがSnowflakeネットワークポリシーで指定された特定の IP ブロック範囲内の CIDR アドレスから発信された場合にのみSnowflakeにアクセスできます。

ネットワークポリシーを使用してパブリックアクセスをブロックするには、

1. 新しいネットワークポリシーを作成するか、既存のネットワークポリシーを編集します。

2. 組織の CIDR ブロック範囲を追加します。

3. アカウントのネットワークポリシーをアクティブにします。

詳細については、 ネットワークポリシーを使用したネットワークトラフィックの制御 をご参照ください。

Snowflakeクライアントの構成¶

以下のセクションでは、特定のユースケースに対応するSnowflakeクライアントの構成方法について説明します。

AWS PrivateLink と SSO の併用¶

Snowflakeは、AWS PrivateLinkでSSOの使用をサポートしています。詳細については、次をご参照ください。

• プライベート接続での SSO

• パートナーアプリケーション

AWS PrivateLink でのクライアントリダイレクトの使用¶

Snowflakeは、 AWS PrivateLink でのクライアントリダイレクトの使用をサポートしています。

詳細については、 クライアント接続のリダイレクト をご参照ください。

プライベート接続での複製と Tri-Secret Secure の使用¶

Snowflakeは、ターゲットアカウントで Tri-Secret Secure またはこの機能を有効にするかどうかに関係なく、ソースアカウントからターゲットアカウントへのデータの複製をサポートします。

トラブルシューティング¶

PrivateLink で発生する可能性のある問題をトラブルシューティングするには、次のSnowflakeコミュニティの記事をご参照ください。

• PrivateLink セルフサービス用に AWS からフェデレーショントークンを取得する方法

• FAQ: AWS を使用した PrivateLink セルフサービス

• トラブルシューティング: AWS PrivateLink 用Snowflakeセルフサービス関数