CREATE STORAGE INTEGRATION¶

アカウントに新しいストレージ統合を作成するか、既存の統合を置き換えます。

ストレージ統合は、外部クラウドストレージ用に生成されたIDおよびアクセス管理（IAM）エンティティを、許可またはブロックされたストレージの場所（Amazon S3、Google Cloud Storage、またはMicrosoft Azure）のオプションセットとともに格納するSnowflakeオブジェクトです。組織のクラウドプロバイダー管理者は、生成されたエンティティにストレージの場所に対するアクセス許可を付与します。このオプションにより、ユーザーは、ステージの作成時またはデータのロードまたはアンロード時に認証情報の提供を回避できます。

単一のストレージ統合は、複数の外部ステージをサポートできます。ステージ定義にある URL は、 STORAGE_ALLOWED_LOCATIONS パラメーターのために指定された保管場所に合わせる必要があります。

注釈

クラウドストレージがSnowflakeアカウントとは異なるクラウドプラットフォームにある場合、ストレージの場所は仮想プライベート環境ではなく、パブリッククラウドにある必要があります。

Snowflakeから別の地域、または別のクラウドプロバイダーの外部ステージにデータをアンロードすると、Snowflakeはバイトごとの料金を請求します。詳細については、価格設定ページをご参照ください。
ストレージ統合を使用した政府リージョンのクラウドストレージへのアクセスは、同じ政府リージョンでホストされているSnowflakeアカウントに限定されています。

同様に、中国の地域のクラウドストレージにアクセスする必要がある場合は、中国の同じ地域でホストされているSnowflakeアカウントからのみストレージ統合を使用できます。

このような場合、 CREDENTIALS パラメーター（ CREATE STAGE コマンド内の）を使用して（ストレージ統合を使用するのではなく）、認証用の認証情報を提供します。

こちらもご参照ください。: ALTER STORAGE INTEGRATION 、 DROP INTEGRATION 、 SHOW INTEGRATIONS

構文¶

CREATE [ OR REPLACE ] STORAGE INTEGRATION [IF NOT EXISTS]
  <name>
  TYPE = EXTERNAL_STAGE
  cloudProviderParams
  ENABLED = { TRUE | FALSE }
  STORAGE_ALLOWED_LOCATIONS = ('<cloud>://<bucket>/<path>/' [ , '<cloud>://<bucket>/<path>/' ... ] )
  [ STORAGE_BLOCKED_LOCATIONS = ('<cloud>://<bucket>/<path>/' [ , '<cloud>://<bucket>/<path>/' ... ] ) ]
  [ COMMENT = '<string_literal>' ]

Copy

条件:

cloudProviderParams (for Amazon S3) ::=
  STORAGE_PROVIDER = 'S3'
  STORAGE_AWS_ROLE_ARN = '<iam_role>'
  [ STORAGE_AWS_EXTERNAL_ID = '<external_id>' ]
  [ STORAGE_AWS_OBJECT_ACL = 'bucket-owner-full-control' ]
  [ USE_PRIVATELINK_ENDPOINT = { TRUE | FALSE } ]

Copy

cloudProviderParams (for Google Cloud Storage) ::=
  STORAGE_PROVIDER = 'GCS'

Copy

cloudProviderParams (for Microsoft Azure) ::=
  STORAGE_PROVIDER = 'AZURE'
  AZURE_TENANT_ID = '<tenant_id>'
  [ USE_PRIVATELINK_ENDPOINT = { TRUE | FALSE } ]

Copy

必須パラメーター¶

name

統合の識別子（つまり、名前）を指定する文字列。アカウント内で一意である必要があります。

また、識別子はアルファベット文字で始まる必要があり、識別子文字列全体が二重引用符で囲まれていない限り、スペースや特殊文字を含めることはできません（例： "My object"）。二重引用符で囲まれた識別子も大文字と小文字が区別されます。

詳細については、識別子の要件をご参照ください。

TYPE = EXTERNAL_STAGE

統合のタイプを指定します。

EXTERNAL_STAGE ：Snowflakeと外部クラウドストレージの場所の間のインターフェイスを作成します。

ENABLED = { TRUE | FALSE }

このストレージ統合を段階的に使用できるかどうかを指定します。

TRUE は、ユーザーがこの統合を参照する新しいステージを作成できます。この統合機能を通常参照する既存のステージ。

FALSE は、ユーザーがこの統合を参照する新しいステージを作成できないようにします。この統合を参照する既存のステージは、ステージ定義の保存場所にアクセスできません。

STORAGE_ALLOWED_LOCATIONS = ( 'cloud_specific_url' )

統合を使用する外部ステージが1つ以上のストレージの場所（つまり、S3バケット、 GCS バケット、またはAzureコンテナー）を参照することを明示的に制限します。既存のバケットのコンマ区切りリスト URLs をサポートし、オプションで、ロード/アンロード用のデータファイルの保存に使用されるパスをサポートします。または、「すべてのバケットやパスへのアクセスを許可する」という意味の * ワイルドカードをサポートしています。

Amazon S3

STORAGE_ALLOWED_LOCATIONS = ( 'protocol://bucket/path/' [ , 'protocol://bucket/path/' ... ] )

protocol は以下のいずれかです。

s3 プレフィックスは、中国以外のパブリック AWS リージョンのS3ストレージを参照します。

s3china プレフィックスは、中国のパブリック AWS リージョンのS3ストレージを参照します。

s3gov プレフィックスは、政府リージョンのS3ストレージを参照します。

bucket は、データファイルを保存するS3バケットの名前です（例: mybucket）。

path は、一連のファイルへのアクセスを制限するクラウドストレージの場所にある、ファイルの大文字と小文字を区別するオプションのパスです（つまり、ファイルの名前は一般的な文字列で開始）。パスは、別のクラウドストレージサービスによって プレフィックス または フォルダー と呼ばれることもあります。

Google Cloud Storage

STORAGE_ALLOWED_LOCATIONS = ( 'gcs://bucket/path/' [ , 'gcs://bucket/path/' ... ] )

bucket は、データファイルを保存する GCS バケットの名前です（例: mybucket）。

path は、一連のファイルへのアクセスを制限するクラウドストレージの場所にある、ファイルの大文字と小文字を区別するオプションのパスです（つまり、ファイルの名前は一般的な文字列で開始）。パスは、別のクラウドストレージサービスによって プレフィックス または フォルダー と呼ばれることもあります。

Microsoft Azure

STORAGE_ALLOWED_LOCATIONS = ( 'azure://account.blob.core.windows.net/container/path/' [ , 'azure://account.blob.core.windows.net/container/path/' ... ] )

account は、Azureストレージの名前です（例: myaccount）。Data Lake Storage Gen2を含む、サポートされているすべてのタイプのAzure BLOBストレージアカウントに、 blob.core.windows.net エンドポイントを使用します。

container は、データファイルを保存するAzure BLOBストレージコンテナーの名前です（例: mycontainer）。

path は、一連のファイルへのアクセスを制限するクラウドストレージの場所にある、ファイルの大文字と小文字を区別するオプションのパスです（つまり、ファイルの名前は一般的な文字列で開始）。パスは、別のクラウドストレージサービスによって プレフィックス または フォルダー と呼ばれることもあります。

オプションのパラメーター¶

STORAGE_BLOCKED_LOCATIONS = ( 'cloud_specific_url' )

統合を使用する外部ステージが1つ以上のストレージの場所（つまり、S3バケットまたは GCS バケット）を参照することを明示的に禁止します。既存の保存場所の URLs のコンマ区切りリスト、およびオプションで、ロード/アンロード用のデータファイルの保存に使用されるパスをサポートします。一般的に STORAGE_ALLOWED_LOCATIONS が * ワイルドカードに設定されている場合に使用され、アカウントのすべてのバケットへのアクセスを許可しますが、ブロックされた保管場所および、任意でパスは例外です。

注釈

個々のクラウドストレージの場所 URLs のみを引用符で囲んでください。 STORAGE_BLOCKED_LOCATIONS 値全体を引用符で囲むと、その値は無効になります。その結果として、ユーザーがストレージ統合を参照するステージを作成すると、 STORAGE_BLOCKED_LOCATIONS パラメーター設定は無視されます。

Amazon S3

STORAGE_BLOCKED_LOCATIONS = ( 'protocol://bucket/path/' [ , 'protocol://bucket/path/' ... ] )

protocol は以下のいずれかです。

s3 プレフィックスは、中国以外のパブリック AWS リージョンのS3ストレージを参照します。

s3china プレフィックスは、中国のパブリック AWS リージョンのS3ストレージを参照します。

s3gov プレフィックスは、政府リージョンのS3ストレージを参照します。

bucket は、データファイルを保存するS3バケットの名前です（例: mybucket）。

path は、データファイルへのアクセスをさらに制限するバケット内のオプションのパス（または ディレクトリ）です。

Google Cloud Storage

STORAGE_BLOCKED_LOCATIONS = ( 'gcs://bucket/path/' [ , 'gcs://bucket/path/' ... ] )

bucket は、データファイルを保存する GCS バケットの名前です（例: mybucket）。

path は、データファイルへのアクセスをさらに制限するバケット内のオプションのパス（または ディレクトリ）です。

Microsoft Azure

STORAGE_BLOCKED_LOCATIONS = ( 'azure://account.blob.core.windows.net/container/path/' [ , 'azure://account.blob.core.windows.net/container/path/' ... ] )

account は、Azureストレージの名前です（例: myaccount）。

container は、データファイルを保存するAzure BLOBストレージコンテナーの名前です（例: mycontainer）。

path は、データファイルへのアクセスをさらに制限するバケット内のオプションのパス（または ディレクトリ）です。

COMMENT = 'string_literal'

統合のコメントを指定する文字列（リテラル）。

デフォルト: 値なし

クラウドプロバイダーのパラメーター（`cloudProviderParams`）¶

Amazon S3

STORAGE_PROVIDER = '{ S3 | S3CHINA | S3GOV }'
データファイルを保存するクラウドストレージプロバイダーを指定します。

'S3': 中国国外のパブリック AWS リージョンにある S3 ストレージ。

'S3CHINA': 中国のパブリック AWS リージョンのS3ストレージ。

'S3GOV': AWS の政府リージョンのS3ストレージ。

STORAGE_AWS_ROLE_ARN = 'iam_role'
データファイルを含むS3バケットに対する権限を付与する AWS IDおよびアクセス管理（IAM）ロールのAmazonリソースネーム（ARN）を指定します。詳細については、 Amazon S3へのセキュアアクセスの構成をご参照ください。

STORAGE_AWS_EXTERNAL_ID = 'external_id'
オプションで、Snowflakeが AWS との信頼関係を確立するために使用する外部 ID を指定します。このストレージ統合用に構成した IAM ロールの信頼ポリシーで、同じ外部 ID を指定する必要があります。詳細については、サードパーティに AWS リソースへのアクセスを許可する場合の外部 ID の使用方法をご参照ください。

このパラメーターに値を指定しない場合、Snowflakeはストレージ統合の作成時に自動で外部 ID を生成します。

STORAGE_AWS_OBJECT_ACL = 'bucket-owner-full-control'
AWS アクセス制御リスト（ACLs）のサポートを有効にして、バケット所有者に包括的な制御を付与します。アンロードされたテーブルデータからAmazonS3バケットに作成されたファイルは、 AWS Identity and Access Management（IAM）ロールによって所有されます。ACLs は、1つの AWS アカウントの IAM ロールが、1つ以上の他の AWS アカウントにある、Amazon S3バケットにアクセスするように設定されているユースケースをサポートします。ACL のサポートがないと、バケット所有者アカウントのユーザーは、ストレージ統合を使用して、外部（S3）ステージにアンロードされたデータファイルにアクセスすることはできませんでした。

ユーザーが COPY INTO <場所> を使用してS3ステージのデータファイルにSnowflakeテーブルデータをアンロードすると、アンロード操作はアンロードされたデータファイルに ACL を適用します。データファイルは、ファイルに "s3:x-amz-acl":"bucket-owner-full-control" 権限を適用し、S3バケットの所有者にファイルの完全な制御を付与します。

USE_PRIVATELINK_ENDPOINT = { TRUE | FALSE }
セキュリティ体制を強化するためにアウトバウンドプライベート接続を使用するかどうかを指定します。このパラメーターの使用に関する情報については、外部ステージへの AWS プライベート接続をご参照ください。

Google Cloud Storage

STORAGE_PROVIDER = 'GCS'
データファイルを保存するクラウドストレージプロバイダーを指定します。

Microsoft Azure

STORAGE_PROVIDER = 'AZURE'
データファイルを保存するクラウドストレージプロバイダーを指定します。

AZURE_TENANT_ID = 'tenant_id'
許可およびブロックされたストレージアカウントが属するOffice 365テナントの ID を指定します。ストレージ統合は1つのテナントのみを認証できるため、許可およびブロックされたストレージの場所は、すべてこのテナントに属するストレージアカウントを参照する必要があります。

テナント ID を見つけるには、Azureポータルにログインして Azure Active Directory » Properties をクリックします。テナント ID が Tenant ID フィールドに表示されます。

USE_PRIVATELINK_ENDPOINT = { TRUE | FALSE }
セキュリティ体制を強化するためにアウトバウンドプライベート接続を使用するかどうかを指定します。このパラメーターの使用に関する情報については、外部ステージとSnowpipe自動化のためのAzureプライベート接続をご参照ください。

アクセス制御の要件¶

この操作の実行に使用されるロールには、少なくとも次の権限が必要です。

権限	オブジェクト	メモ
CREATE INTEGRATION	アカウント	Only the ACCOUNTADMIN role has this privilege by default. The privilege can be granted to additional roles as needed.

指定された権限のセットを使用してカスタムロールを作成する手順については、カスタムロールの作成をご参照ください。

セキュリティ保護可能なオブジェクトに対して SQL アクションを実行するためのロールと権限付与に関する一般的な情報については、アクセス制御の概要をご参照ください。

使用上の注意¶

注意

ストレージ統合を再作成すると（ CREATE OR REPLACE STORAGE INTEGRATION を使用）、ストレージ統合とそれを参照するすべてのステージとの関連付けが解除されます。これは、ステージがストレージ統合の名前ではなく、非表示の ID を使用してストレージ統合にリンクしているためです。バックグラウンドでは、 CREATE OR REPLACE 構文はオブジェクトをドロップし、別の非表示の IDでオブジェクトを再作成します。

1つ以上のステージにリンクされた後にストレージ統合を再作成する必要がある場合は、 ALTER STAGE stage_name SET STORAGE_INTEGRATION = storage_integration_name を実行して、各ステージとストレージ統合間の関連付けを再確立する必要があります。ここで、

stage_name は、ステージの名前です。
storage_integration_name は、ストレージ統合の名前です。

メタデータについて、

注意

Snowflakeサービスを使用する場合、お客様は、個人データ（ユーザーオブジェクト向け以外）、機密データ、輸出管理データ、またはその他の規制されたデータがメタデータとして入力されていないことを確認する必要があります。詳細については、 Snowflakeのメタデータフィールドをご参照ください。
CREATE OR REPLACE <オブジェクト> ステートメントはアトミックです。つまり、オブジェクトが置き換えられると、単一のトランザクションで、古いオブジェクトが削除されて新しいオブジェクトが作成されます。

例¶

次の例では、2つのバケットとパスのいずれかを参照するために統合を使用する外部ステージを明示的に制限する統合を作成します。

Amazon S3

CREATE STORAGE INTEGRATION s3_int
  TYPE = EXTERNAL_STAGE
  STORAGE_PROVIDER = 'S3'
  STORAGE_AWS_ROLE_ARN = 'arn:aws:iam::001234567890:role/myrole'
  ENABLED = TRUE
  STORAGE_ALLOWED_LOCATIONS = ('s3://mybucket1/path1/', 's3://mybucket2/path2/');
Copy
S3ストレージが中国のパブリック AWS リージョンにある場合、 STORAGE_PROVIDER パラメーターには 'S3CHINA' を、 STORAGE_ALLOWED_LOCATIONS には s3china:// プロトコルを使用します。

Google Cloud Storage

CREATE STORAGE INTEGRATION gcs_int
  TYPE = EXTERNAL_STAGE
  STORAGE_PROVIDER = 'GCS'
  ENABLED = TRUE
  STORAGE_ALLOWED_LOCATIONS = ('gcs://mybucket1/path1/', 'gcs://mybucket2/path2/');

Copy

Microsoft Azure

CREATE STORAGE INTEGRATION azure_int
  TYPE = EXTERNAL_STAGE
  STORAGE_PROVIDER = 'AZURE'
  ENABLED = TRUE
  AZURE_TENANT_ID = '<tenant_id>'
  STORAGE_ALLOWED_LOCATIONS = ('azure://myaccount.blob.core.windows.net/mycontainer/path1/', 'azure://myaccount.blob.core.windows.net/mycontainer/path2/');

Copy

次の例では、統合を使用して、明示的にブロックされたものを除く、アカウント内の任意のバケットとパスを参照できる外部ステージの統合を作成します。

Amazon S3

CREATE STORAGE INTEGRATION s3_int
  TYPE = EXTERNAL_STAGE
  STORAGE_PROVIDER = 'S3'
  STORAGE_AWS_ROLE_ARN = 'arn:aws:iam::001234567890:role/myrole'
  ENABLED = TRUE
  STORAGE_ALLOWED_LOCATIONS = ('*')
  STORAGE_BLOCKED_LOCATIONS = ('s3://mybucket3/path3/', 's3://mybucket4/path4/');
Copy
S3ストレージが中国のパブリック AWS リージョンにある場合、 STORAGE_PROVIDER パラメーターには 'S3CHINA' を、 STORAGE_BLOCKED_LOCATIONS には s3china:// プロトコルを使用します。

Google Cloud Storage

CREATE STORAGE INTEGRATION gcs_int
  TYPE = EXTERNAL_STAGE
  STORAGE_PROVIDER = 'GCS'
  ENABLED = TRUE
  STORAGE_ALLOWED_LOCATIONS = ('*')
  STORAGE_BLOCKED_LOCATIONS = ('gcs://mybucket3/path3/', 'gcs://mybucket4/path4/');

Copy

Microsoft Azure

CREATE STORAGE INTEGRATION azure_int
  TYPE = EXTERNAL_STAGE
  STORAGE_PROVIDER = 'AZURE'
  ENABLED = TRUE
  AZURE_TENANT_ID = 'a123b4c5-1234-123a-a12b-1a23b45678c9'
  STORAGE_ALLOWED_LOCATIONS = ('*')
  STORAGE_BLOCKED_LOCATIONS = ('azure://myaccount.blob.core.windows.net/mycontainer/path3/', 'azure://myaccount.blob.core.windows.net/mycontainer/path4/');

Copy

CREATE STORAGE INTEGRATION¶

構文¶

必須パラメーター¶

オプションのパラメーター¶

クラウドプロバイダーのパラメーター（cloudProviderParams）¶

アクセス制御の要件¶

使用上の注意¶

例¶

クラウドプロバイダーのパラメーター（`cloudProviderParams`）¶