ワークロードIDフェデレーション¶

AWS を構成する¶

AWS サービスが AWS IAM をIDプロバイダーとして使用するように構成するには、IAM ロールをアタッチします。詳細については、ワークロードに対応する AWS ドキュメントをご参照ください。

• Amazon EC2 については、インスタンスへの IAM ロールのアタッチ をご参照ください。

• AWS Lambdaについては、実行ロールを使用したLambda関数のアクセス許可の定義 をご参照ください。

Snowflakeの構成¶

Snowflakeを構成するには、ワークロードIDフェデレーションを使用してSnowflakeでの認証を行うSnowflakeサービスユーザー、つまりタイプが SERVICE のユーザーを作成します。

ワークロードのサービスユーザーを作成するには:

1. Snowsight にサインインします。

2. ワークシートのリストを開くには、Projects » Worksheets を選択します。

3. 新しい SQL ワークシートを開くには、+ を選択します。

4. ワークロードIDフェデレーションを使用してSnowflakeでの認証を行うサービスユーザーを作成するには、ワークシートの CREATE USER ステートメントを実行します。

   CREATE USER <username>
     WORKLOAD_IDENTITY = (
       TYPE = AWS
       ARN = '<amazon_resource_identifier>'
     )
     TYPE = SERVICE
     DEFAULT_ROLE = PUBLIC;
   

   Copy

   ここでは、ARN は、これらのステップを開始する前に取得した値です。

Snowflakeドライバーを使用するようにワークロードを構成する¶

ワークロードにPythonドライバーが必要な場合は、以下のステップを完了します。

1. Python用Snowflakeコネクタをインストールします。

2. Pythonアプリケーションコードに、以下のソースコードを追加します。

   import os
   import snowflake.connector
   
   
   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='AWS'
   )
   

   Copy

3. Pythonアプリケーションを実行します。ワークロードIDフェデレーションを使用してSnowflakeでの認証を行います。

Microsoft Entra ID を構成する¶

Microsoft Entra ID テナント管理者は、SnowflakeワークロードIDの使用を許可するために、以下のステップを完了する必要があります。これらの手順は Microsoft Entra ID テナントごとに1回実行するだけで済みます。

1. Microsoft Azure ポータルにログインします。

2. 間違いなく Azure テナント管理者権限があることを確認します。

3. 同意 URI に移動し、マルチテナント Snowflake EntraID アプリのインストールに同意します。

   マルチテナントSnowflake EntraID アプリはパブリッシャー確認済みで、Snowflakeをリソースとして表します。このアプリは、Snowflakeでの認証時に、アクセストークンのオーディエンスとして使用されます。このアプリは基本的な権限のみを必要とし、特権は必要ありません。

4. Accept を選択して、Snowflake EntraID アプリに権限を付与します。

Microsoft Azure を構成する¶

次のステップを完了して、Microsoft Azure サービスがワークロードIDフェデレーションを使用するように構成します。

1. Microsoft Azure ポータルにログインします。

2. 仮想マシン または アプリサービス などのワークロードを選択します。

3. サイドバーで、Security » Identity に移動します。

4. Azure VM または Azure Function のマネージドIDを有効にします。

5. 後のステップのために Object (Principal) ID を保存します。

Snowflakeの構成¶

Snowflakeを構成するには、ワークロードIDフェデレーションを使用してSnowflakeでの認証を行うSnowflakeサービスユーザー、つまりタイプが SERVICE のユーザーを作成します。

ワークロードのサービスユーザーを作成するには:

1. Snowsight にサインインします。

2. ワークシートのリストを開くには、Projects » Worksheets を選択します。

3. 新しい SQL ワークシートを開くには、+ を選択します。

4. ワークロードIDフェデレーションを使用してSnowflakeでの認証を行うサービスユーザーを作成するには、ワークシートの CREATE USER ステートメントを実行します。

   CREATE USER <username>
     WORKLOAD_IDENTITY = (
       TYPE = AZURE
       ISSUER = 'https://login.microsoftonline.com/<tenant_id>/v2.0'
       SUBJECT = '<managed_identity_object_id>'
     )
     TYPE = SERVICE
     DEFAULT_ROLE = PUBLIC;
   

   Copy

   ここでは、ISSUER および SUBJECT は、これらのステップを開始する前に取得した値です。

Snowflakeドライバーを使用するようにワークロードを構成する¶

ワークロードにPythonドライバーが必要な場合は、以下のステップを完了します。

1. Python用Snowflakeコネクタをインストールします。

2. Pythonアプリケーションコードに、以下のソースコードを追加します。

   import snowflake.connector
   
   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='AZURE'
   )
   

   Copy

3. Pythonアプリケーションを実行します。ワークロードIDフェデレーションを使用してSnowflakeでの認証を行います。

Google Cloud を構成する¶

サービスが Google Cloud をIDプロバイダーとして使用するように構成するには、サービスアカウントを GCE またはCloud Runインスタンス にアタッチします。

Snowflakeの構成¶

Snowflakeを構成するには、ワークロードIDフェデレーションを使用してSnowflakeでの認証を行うSnowflakeサービスユーザー、つまりタイプが SERVICE のユーザーを作成します。

gcloud iam service-accounts describe "<SERVICE_ACCOUNT_EMAIL_ADDRESS>" --format="value(uniqueId)"

ワークロードのサービスユーザーを作成するには:

1. Snowsight にサインインします。

2. ワークシートのリストを開くには、Projects » Worksheets を選択します。

3. 新しい SQL ワークシートを開くには、+ を選択します。

4. ワークロードIDフェデレーションを使用してSnowflakeでの認証を行うサービスユーザーを作成するには、ワークシートの CREATE USER ステートメントを実行します。

   CREATE USER <username>
     WORKLOAD_IDENTITY = (
       TYPE = GCP
       SUBJECT = '<unique_id_of_service_account>'
     )
     TYPE = SERVICE
     DEFAULT_ROLE = PUBLIC;
   

   Copy

   ここでは、SUBJECT は、これらのステップを開始する前に取得した値です。

Snowflakeドライバーを使用するようにワークロードを構成する¶

ワークロードにPythonドライバーが必要な場合は、以下のステップを完了します。

1. Python用Snowflakeコネクタをインストールします。

2. Pythonアプリケーションコードに、以下のソースコードを追加します。

   import snowflake.connector
   
   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='GCP'
   )
   

   Copy

3. Pythonアプリケーションを実行します。ワークロードIDフェデレーションを使用してSnowflakeでの認証を行います。

EKS を構成する¶

1. Snowflake と互換性のある ID トークンを発行するように EKS を構成します。

   1. 予測 ServiceAccount トークンボリュームを含むPod展開 YAML を構成します。

   2. snowflakecomputing.com というオーディエンスクレームを含む ID トークンを構成します。

      以下は、適切なオーディエンスによる YAML 構成の例です。

      kind: Pod
      metadata:
        name: nginx
      spec:
        containers:
        - image: nginx
          name: nginx
          volumeMounts:
          - mountPath: /var/run/secrets/tokens
            name: snowflake-token
        serviceAccountName: build-robot
        volumes:
        - name: snowflake-token
          projected:
            sources:
            - serviceAccountToken:
                path: snowflake-token
                expirationSeconds: 7200
                audience: snowflakecomputing.com
      

      Copy

Snowflakeの構成¶

Snowflakeを構成するには、ワークロードIDフェデレーションを使用してSnowflakeでの認証を行うSnowflakeサービスユーザー、つまりタイプが SERVICE のユーザーを作成します。

ワークロードのサービスユーザーを作成するには:

1. Snowsight にサインインします。

2. ワークシートのリストを開くには、Projects » Worksheets を選択します。

3. 新しい SQL ワークシートを開くには、+ を選択します。

4. ワークロードIDフェデレーションを使用してSnowflakeでの認証を行うサービスユーザーを作成するには、ワークシートの CREATE USER ステートメントを実行します。

   CREATE USER my_eks_service
     WORKLOAD_IDENTITY = (
       TYPE = OIDC
       ISSUER = 'https://oidc.eks.<region>.amazonaws.com/id/<issuer_id>'
       SUBJECT = 'system:serviceaccount:<service_account_namespace>:<service_account_name>'
     )
     TYPE = SERVICE;
   

   Copy

   ここでは、ISSUER および SUBJECT は、これらのステップを開始する前に取得した値です。

Snowflakeドライバーを使用するようにワークロードを構成する¶

ワークロードにPythonドライバーが必要な場合は、以下のステップを完了します。

1. Python用Snowflakeコネクタをインストールします。

2. Pythonアプリケーションコードに、以下のソースコードを追加します。

   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='OIDC',
     token_file_path='<service_account_token_path>'
   )
   

   Copy

   ここでは、service_account_token_path は、EKS を構成する ステップで作成したものです。このステップの YAML の例に基づくと、トークンパスは /var/run/secrets/tokens/snowflake-token になります。

3. Pythonアプリケーションを実行します。ワークロードIDフェデレーションを使用してSnowflakeでの認証を行います。

AKS を構成する¶

Snowflake と互換性のある ID トークンを発行するように AKS を構成します。

1. OIDC 発行者を AKS クラスターで有効にします。

2. Snowflake と互換性のある ID トークンを発行するように AKS を構成します。

   1. 予測 ServiceAccount トークンボリュームを含むPod展開 YAML を構成します。

   2. snowflakecomputing.com というオーディエンスクレームを含む ID トークンを構成します。

      以下は、適切なオーディエンスによる YAML 構成の例です。

      kind: Pod
      metadata:
        name: nginx
      spec:
        containers:
        - image: nginx
          name: nginx
          volumeMounts:
          - mountPath: /var/run/secrets/tokens
            name: snowflake-token
        serviceAccountName: build-robot
        volumes:
        - name: snowflake-token
          projected:
            sources:
            - serviceAccountToken:
                path: snowflake-token
                expirationSeconds: 7200
                audience: snowflakecomputing.com
      

      Copy

Snowflakeの構成¶

Snowflakeを構成するには、ワークロードIDフェデレーションを使用してSnowflakeでの認証を行うSnowflakeサービスユーザー、つまりタイプが SERVICE のユーザーを作成します。

ワークロードのサービスユーザーを作成するには:

1. Snowsight にサインインします。

2. ワークシートのリストを開くには、Projects » Worksheets を選択します。

3. 新しい SQL ワークシートを開くには、+ を選択します。

4. ワークロードIDフェデレーションを使用してSnowflakeでの認証を行うサービスユーザーを作成するには、ワークシートの CREATE USER ステートメントを実行します。

   CREATE USER my_aks_service
     WORKLOAD_IDENTITY = (
       TYPE = OIDC
       ISSUER = 'https://<region>.oic.prod-aks.azure.com/<tenant_id>/<uuid>/'
       SUBJECT = 'system:serviceaccount:<service_account_namespace>:<service_account_name>'
     )
     TYPE = SERVICE;
   

   Copy

   ここでは、ISSUER および SUBJECT は、これらのステップを開始する前に取得した値です。

Snowflakeドライバーを使用するようにワークロードを構成する¶

ワークロードにPythonドライバーが必要な場合は、以下のステップを完了します。

1. Python用Snowflakeコネクタをインストールします。

2. Pythonアプリケーションコードに、以下のソースコードを追加します。

   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='OIDC',
     token_file_path='<service_account_token_path>'
   )
   

   Copy

   ここでは、service_account_token_path は、AKS を構成する ステップで作成したものです。このステップの YAML の例に基づくと、トークンパスは /var/run/secrets/tokens/snowflake-token になります。

3. Pythonアプリケーションを実行します。ワークロードIDフェデレーションを使用してSnowflakeでの認証を行います。

GKE を構成する¶

1. Snowflake と互換性のある ID トークンを発行するように GKE を構成します。

   1. 予測 ServiceAccount トークンボリュームを含むPod展開 YAML を構成します。

   2. snowflakecomputing.com というオーディエンスクレームを含む ID トークンを構成します。

      以下は、適切なオーディエンスによる YAML 構成の例です。

      kind: Pod
      metadata:
        name: nginx
      spec:
        containers:
        - image: nginx
          name: nginx
          volumeMounts:
          - mountPath: /var/run/secrets/tokens
            name: snowflake-token
        serviceAccountName: build-robot
        volumes:
        - name: snowflake-token
          projected:
            sources:
            - serviceAccountToken:
                path: snowflake-token
                expirationSeconds: 7200
                audience: snowflakecomputing.com
      

      Copy

Snowflakeの構成¶

Snowflakeを構成するには、ワークロードIDフェデレーションを使用してSnowflakeでの認証を行うSnowflakeサービスユーザー、つまりタイプが SERVICE のユーザーを作成します。

ワークロードのサービスユーザーを作成するには:

1. Snowsight にサインインします。

2. ワークシートのリストを開くには、Projects » Worksheets を選択します。

3. 新しい SQL ワークシートを開くには、+ を選択します。

4. ワークロードIDフェデレーションを使用してSnowflakeでの認証を行うサービスユーザーを作成するには、ワークシートの CREATE USER ステートメントを実行します。

   CREATE USER my_gke_service
     WORKLOAD_IDENTITY = (
       TYPE = OIDC
       ISSUER = 'https://container.googleapis.com/v1/projects/<project_id>/locations/<region>/clusters/<cluster_name>'
       SUBJECT = 'system:serviceaccount:<service_account_namespace>:<service_account_name>'
     )
     TYPE = SERVICE;
   

   Copy

   ここでは、ISSUER および SUBJECT は、これらのステップを開始する前に取得した値です。

Snowflakeドライバーを使用するようにワークロードを構成する¶

ワークロードにPythonドライバーが必要な場合は、以下のステップを完了します。

1. Python用Snowflakeコネクタをインストールします。

2. Pythonアプリケーションコードに、以下のソースコードを追加します。

   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='OIDC',
     token_file_path='<service_account_token_path>'
   )
   

   Copy

   ここでは、service_account_token_path は、GKE を構成する ステップで作成したものです。このステップの YAML の例に基づくと、トークンパスは /var/run/secrets/tokens/snowflake-token になります。

3. Pythonアプリケーションを実行します。ワークロードIDフェデレーションを使用してSnowflakeでの認証を行います。

OIDC プロバイダーの構成¶

1. Discovery仕様内で指定されているとおりに、間違いなく OIDC プロバイダーが`OpenID Configuration <https://openid.net/specs/openid-connect-discovery-1_0.html#ProviderConfig>`_ をサポートしていることを確認します。構成と構成の jwks_uri エンドポイントの両方がパブリックにアクセス可能である必要があります。

2. OpenID プロバイダーが、snowflakecomputing.com または空でないカスタムリストに設定されたオーディエンスクレームを含む ID トークンを発行するように構成します。空でないカスタムリストを定義する場合は、Snowflakeでサービスユーザーを作成するときに指定する必要があります。

Snowflakeの構成¶

Snowflakeを構成するには、ワークロードIDフェデレーションを使用してSnowflakeでの認証を行うSnowflakeサービスユーザー、つまりタイプが SERVICE のユーザーを作成します。

ID_TOKEN_PATH=<id_token_path>

JWS_PAYLOAD=$(cat $ID_TOKEN_PATH | jq -R 'split(".") | .[1] | gsub("-";"+") | gsub("_";"/") | @base64d | fromjson')
echo "ISSUER = '$(echo $JWS_PAYLOAD | jq -r .iss)'"
echo "SUBJECT = '$(echo $JWS_PAYLOAD | jq -r .sub)'"

ワークロードのサービスユーザーを作成するには:

1. Snowsight にサインインします。

2. ワークシートのリストを開くには、Projects » Worksheets を選択します。

3. 新しい SQL ワークシートを開くには、+ を選択します。

4. ワークロードIDフェデレーションを使用してSnowflakeでの認証を行うサービスユーザーを作成するには、ワークシートの CREATE USER ステートメントを実行します。

   CREATE USER my_custom_service
     WORKLOAD_IDENTITY = (
       TYPE = OIDC
       ISSUER = '<issuer>'
       SUBJECT = '<subject>'
       OIDC_AUDIENCE_LIST = ('<custom_audience>')
     )
     TYPE = SERVICE;
   

   Copy

   条件:

   • ISSUER および SUBJECT は、これらのステップを開始する前に取得した値です。

   • OIDC_AUDIENCE_LIST は、OIDC プロバイダーの構成 で設定された ID トークンのオーディエンスクレームの空でないスーパーセットです。ID トークンのオーディエンスクレームが snowflakecomputing.com の場合、OIDC_AUDIENCE_LIST を指定する必要はありません。

Snowflakeドライバーを使用するようにワークロードを構成する¶

ワークロードにPythonドライバーが必要な場合は、以下のステップを完了します。

1. Python用Snowflakeコネクタをインストールします。

2. Pythonアプリケーションコードに、以下のソースコードを追加します。

   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='OIDC',
     token='<id_token>'
   )
   

   Copy

   ここでは、id_token は、ワークロードの OIDC プロバイダーから受信した期限切れの ID トークンです。このトークンを取得する方法については、OIDC プロバイダーのドキュメントをご参照ください。

3. Pythonアプリケーションを実行します。ワークロードIDフェデレーションを使用してSnowflakeでの認証を行います。