フェデレーション認証と SSO の概要¶

ログインのワークフロー¶

ユーザーがログインすると、システムの動作は、Snowflakeまたは IdP のどちらからログインが開始されるかによって決まります。

• Snowflakeが開始するログイン：

  Snowflakeからログインするには、次の方法があります。

  1. ユーザーはSnowflakeのウェブインターフェイスにアクセスします。

  2. ユーザーは、アカウントに構成された IdP（Okta、AD FS、またはカスタム IdP）を使用してログインすることを選択します。

  3. ユーザーは、 IdP 認証情報（電子メールアドレスやパスワードなど）を使用して IdP で認証します。

  4. 認証が成功すると、 IdP は SAML 応答をSnowflakeに送信してセッションを開始し、Snowflakeのウェブインターフェイスを表示します。

  注釈

  Snowflakeが開始するログインの場合、Snowflakeログインページには認証用の2つのオプション（IdP またはSnowflake）があります。フェデレーション認証を使用するには、ユーザーは IdP オプションを選択し、プロンプトが表示されたら認証情報を入力する必要があります。Snowflakeオプションを選択すると、フェデレーション認証をバイパスし、Snowflakeのネイティブ認証を使用してユーザーをログインします。

• IdP が開始するログイン：

  アカウントの IdP からログインするには、次の方法があります。

  1. ユーザーは IdP サイト/アプリケーションにアクセスし、 IdP 認証情報（電子メールアドレスやパスワードなど）を使用して認証します。

  2. IdP で、ユーザーはSnowflakeアプリケーション（Oktaまたは AD FS を使用している場合）、または IdP で定義されているカスタムアプリケーション（別の IdP を使用している場合）をクリックします。

  3. IdP は SAML 応答をSnowflakeに送信してセッションを開始し、Snowflakeのウェブインターフェイスを表示します。

ログアウトのワークフロー¶

ユーザーがログアウトすると、利用可能なオプションは IdP が グローバル ログアウトをサポートするか、 標準 ログアウトのみをサポートするかによって決まります。

標準

ユーザーが完全に切断するには、 IdP とSnowflakeの両方から明示的にログアウトする必要があります。すべての IdPs は標準ログアウトをサポートしています。

グローバル

ユーザーが IdP からログアウトし、その後すべてのSnowflakeセッションをログアウトできるようにします。グローバルログアウトのサポートは IdP に依存しています。

さらに、システムの動作は、Snowflakeまたは IdP のどちらからログアウトを開始するかによって決まります。

• Snowflakeが開始するログアウト：

  IdP がサポートするかどうかに関係なく、Snowflake内からのグローバルログアウトはサポートされません。ユーザーがSnowflakeセッションからログアウトすると、そのセッションからのみログアウトします。他のすべてのSnowflakeセッションは、 IdP セッションと同様に開いたままです。その結果、他のセッションで作業を継続したり、 IdPを介して再認証することなく追加のセッションを開始したりできます。

  完全に切断するには、ユーザーはSnowflakeと IdP の両方から明示的にログアウトする必要があります。

• IdP が開始したログアウト：

  ユーザーが IdPからログアウトするときの動作は、 IdP が標準のログアウトのみをサポートするか、グローバルログアウトもサポートするかによって異なります。

  • AD FS は標準ログアウトとグローバルログアウトの両方をサポートします。グローバルログアウトが有効になっている場合、 AD FS IdP ログインページには、ユーザーがアクセスしたすべてのサイトからサインアウトするためのオプションがあります。このオプションを選択して Sign Out をクリックすると、ユーザーは AD FS およびすべてのSnowflakeセッションからログアウトします。Snowflakeに再度アクセスするには、 AD FS を使用して再認証する必要があります。

  • Oktaは標準ログアウトのみをサポートします。ユーザーがOktaからログアウトしても、アクティブなSnowflakeセッションから自動的にログアウトされることはなく、作業を続行できます。ただし、新しいSnowflakeセッションを開始するには、Oktaを介して再度認証する必要があります。

  • すべてのカスタムプロバイダーは標準ログアウトをサポートしています。グローバルログアウトのサポートはプロバイダーによって異なります。

  注釈

  ウェブベースの IdP の場合（例：Okta）、ブラウザーのタブ/ウィンドウを閉じても IdP セッションが終了するとは限りません。ユーザーの IdP セッションがまだアクティブな場合、 IdP セッションがタイムアウトするまでSnowflakeにアクセスできます。

タイムアウトのワークフロー¶

ユーザーのセッションがタイムアウトすると、タイムアウトするのはSnowflakeセッションか IdP セッションかによって動作が決定されます。

• Snowflakeのタイムアウト：

  ユーザーが SSO を使用してSnowflakeにログインし、非アクティブのためにSnowflakeのセッションが期限切れになると、Snowflakeのウェブインターフェイスが無効になり、 IdP 認証のプロンプトが表示されます。

  • 期限切れのSnowflakeセッションを引き続き使用するには、ユーザーは IdP を介して再度認証する必要があります。

  • ユーザーは Cancel ボタンをクリックしてセッションを終了できます。

  • ユーザーは IdP サイト/アプリケーションに直接移動してSnowflakeを再起動することもできますが、これにより新しいSnowflakeセッションが開始されます。

• IdP タイムアウト：

  指定された期間（ IdPで定義）後、 IdP のユーザーのセッションは自動的にタイムアウトしますが、これはSnowflakeセッションに影響しません。その時点でアクティブなSnowflakeセッションは開いたままで、再認証を必要としません。ただし、新しいSnowflakeセッションを開始するには、ユーザーは再度 IdP にログインする必要があります。