Snowflake用のIDプロバイダー（IdP）の構成¶

前提条件¶

• AD FS 3.0がWindows Server 2012 R2にインストールされ、動作していることを確認します。

• Snowflakeへのアクセスが必要な利用者ごとに、ユーザーが AD FS に存在することを確認します。ユーザーを作成するときは、各ユーザーのメールアドレスが必須です。 AD FS のユーザーをSnowflakeの対応するユーザーに接続するには、メールアドレスが必須です。

Snowflake用の証明書利用者信頼を追加する¶

AD FS 管理コンソールで、 Add Relying Party Trust Wizard を使用して、新しい証明書利用者の信頼を AD FS 構成データベースに追加します。

1. プロンプトが表示されたら、 Enter data about the relying party manually ラジオボタンを選択します。

2. 次の画面で、証明書利用者の表示名を入力します（例：「Snowflake」）。

3. 次の画面で、 AD FS profile ラジオボタンを選択します。

4. 次の画面をスキップします（オプションのトークン暗号化証明書を指定するため）。

5. 次の画面：

   • Enable support for the SAML 2.0 WebSSO protocol チェックボックスを選択します。

   • Relying party SAML 2.0 SSO service URL フィールドに、 /fed/login を追加したSnowflakeアカウントの SSO URL を入力します。たとえば、プライベート接続でアカウント名 URL を使用するには、 https://<組織名>-<アカウント名>.privatelink.snowflakecomputing.com/fed/login と入力します。使用可能な URL 形式のリストについては、 URL での接続 をご参照ください。フェデレーション認証用の セキュリティ統合を作成する ときは、その URL パラメーターがこのフィールドで使用される形式と一致していることを確認します。

6. 前のステップで指定したように、次の画面の Relying party trust identifier フィールドに、Snowflakeのアカウントの URL を入力します。

7. 次の画面で、 I do not want to configure multi-factor authentication settings for this relying party trust at this time ラジオボタンを選択します。

8. 次の画面で、 Permit all users to access this relying party ラジオボタンを選択します。

9. 次の画面で、証明書利用者信頼の構成を確認します。また、 Advanced タブで、 SHA-256 がセキュアハッシュアルゴリズムとして選択されていることを確認します。

10. 次の画面で Open the Edit Claim Rules dialog for this relying party trust when the wizard closes を選択し、 Close をクリックしてウィザードの構成を完了します。

Snowflake証明書利用者信頼の要求規則を定義する¶

ウィザードを閉じると、 Edit Claim Rules for snowflake_trust_name ウィンドウが自動的に開きます。次をクリックして、 AD FS 管理コンソールからこのウィンドウを開くこともできます。

AD FS » Trust Relationships » Relying Party Trusts » snowflake_trust_name » Edit Claim Rules...

ウィンドウでは、

1. 要求として LDAP 属性を送信するための規則を作成します。

   1. Add Rules をクリックして Send LDAP Attributes as Claim を選択します。

   2. Edit Rule ダイアログで、

      • 規則の名前を入力します（例：「属性の取得」）。

        • Attribute store を Active Directory に設定します。

        • 規則に2つの LDAP 属性を追加します。

          • 発信要求タイプとして E-Mail-Addresses と E-Mail Address を使用します。

          • 発信要求タイプとして Display-Name と Name を使用します。

   3. OK ボタンをクリックして、規則を作成します。

2. 受信要求を変換するための規則を作成します。

   1. Add Rules をクリックして Transform an Incoming Claim を選択します。

   2. Add Transform Claim Rule Wizard ダイアログで、

      • 要求規則の名前を入力します（例：「名前 ID 変換」）。

      • Incoming claim type を E-Mail Address に設定します。

      • Outgoing claim type を Name ID に設定します。

      • Outgoing name ID format を Email に設定します。

      • Pass through all claim values ラジオボタンを選択します。

   3. Finish ボタンをクリックして、規則を作成します。

3. OK ボタンをクリックして、Snowflake証明書利用者信頼の要求規則の追加を完了します。

グローバルログアウトを有効にする --- オプション¶

AD FS でSnowflakeのグローバルログアウトを有効にするには、 AD FS 管理コンソールで次をクリックします。

AD FS » Trust Relationships » Relying Party Trusts » <snowflake_trust_name> » Properties

Properties ダイアログで、

1. Endpoints タブに移動して、 Add SAML... ボタンをクリックします。

2. Edit Endpoint ダイアログで、

   • Endpoint type を SAML Logout に設定します。

   • Binding を POST または REDIRECT に設定します。

   • Trusted URL をステップ1で指定された値に設定します。

   • Response URL を空白のままにします。

   • OK ボタンをクリックして、変更を保存します。

SSO URL と証明書を取得する¶

AD FS のセットアップを完了するには、 AD FS から SSO URL と証明書を取得します。次のステップでこれら2つの値を使用します。 SAML2 セキュリティ統合への移行。

• SSO URL

  Snowflakeが SAML リクエストを送信する先の AD FS URL エンドポイント。これは通常、AD FS用のログイン URL で、IP アドレスまたは AD FS サーバーの完全修飾ドメイン名（すなわち FQDN）の末尾に /adfs/ls が追加されているものが一般的です。

• 認証

  AD FS とSnowflake間の通信を確認するために使用されます。 AD FS 管理コンソールからダウンロードします。

  1. コンソールで、次をクリックします。

     AD FS » Service » Certificates

  2. Certificates ページで、 Token-signing エントリを右クリックし、 View Certificate... をクリックします。

  3. Certificate ダイアログで、 Details タブを選択します。

  4. Copy to File... をクリックして、証明書のエクスポートウィザードを開きます。

  5. エクスポートファイル形式については、 Base-64 encoded X.509 (.CER) を選択して Next をクリックします。

  6. ファイルをローカル環境のディレクトリに保存します。

  7. ファイルを開き、証明書をコピーします。証明書は、次の行の間にある単一行で構成されています。

     -----BEGIN CERTIFICATE-----
     <certificate>
     -----END CERTIFICATE-----
     

     Copy