フェデレーション認証に複数のIDプロバイダーを使用する¶

識別子優先ログインを有効にする¶

アカウントのフェデレーション環境で複数の IdPs が使用されている場合、Snowflakeはユーザーに認証オプションを提示する 前に どの IdPs がユーザーに関連付けられているかを判別できる必要があります。このフローでは、Snowflakeはユーザーにメールアドレスまたはユーザー名のみの入力を要求し、ユーザーを特定した後に認証方法を表示します。認証オプションとして表示されるのは、ユーザーに関連付けられた IdPs だけです。

複数の IdPs を使用する場合は、識別子優先ログインフローを有効にする必要があります。識別子優先ログインを有効にするには、 ENABLE_IDENTIFIER_FIRST_LOGIN パラメーターを TRUE に設定します:

1. Snowsight にサインインします。

2. ナビゲーションメニューで Projects » Worksheets を選択します。

3. 次の SQL ステートメントを実行します:

   USE ROLE ACCOUNTADMIN;
   ALTER ACCOUNT SET ENABLE_IDENTIFIER_FIRST_LOGIN = true;
   

   Copy

識別子優先のログインフローの詳細については、 識別子優先ログイン を参照ください。

ユーザーを IdPs と関連付ける¶

複数の IdPs がある環境では、ユーザーと IdP を関連付ける方法を選択できます。IdP に関連付けられたセキュリティ統合の使用、認証ポリシーの使用、または2つの方法を組み合わせて使用することもできます。

セキュリティ統合:

各 IdP に関連する SAML2 セキュリティ統合の ALLOWED_USER_DOMAINS と ALLOWED_EMAIL_PATTERNS プロパティを使用します。この構成では、 IdP が認証オプションとして表示されるのは、 EMAIL がセキュリティ統合のメールアドレスドメインまたはパターンに一致する場合のみです。

認証ポリシー:

認証ポリシー の SECURITY_INTEGRATIONS プロパティを使用して、ユーザーが使用できるセキュリティ統合を指定します。この構成では、認証ポリシーはアカウント全体または個々のユーザーに割り当てられます。ユーザーは、認証ポリシーで指定されているセキュリティ統合に関連付けられた IdPs でのみ認証できます。

ユーザーが使用を許可されているIDプロバイダーのみを表示する場合は、複数の認証ポリシーを作成し、適切なポリシーをユーザーに割り当てます。

認証ポリシーを使って複数の IdPs を実装する例については、 アカウントで複数のIDプロバイダーからの認証を許可する をご参照ください。

組み合わせ:

セキュリティ統合と認証ポリシーの方法を組み合わせて、複数の IdPs がある環境でのユーザーの認証方法をさらに細かく調整できます。

両方の方法を使用する場合、Snowflakeはまず、ユーザーのログインを管理する認証ポリシーに関連付けられているセキュリティ統合を評価します。Snowflakeがセキュリティ統合を識別すると、ユーザの EMAIL は ALLOWED_USER_DOMAINS および ALLOWED_EMAIL_PATTERNS プロパティに基づいて、いずれかの統合に一致します。Snowflakeは、ユーザーの EMAIL に一致するセキュリティ統合の IdP オプションのみを表示します。

同じ発行者 ID を使用する Microsoft Entra ID で、複数の SAML2 セキュリティ統合を使用します。¶

このセクションでは、Snowflakeと Microsoft Entra ID を設定して、公開または非公開の発行者 URL の両方を使用して、 SSO からユーザを認証できるようにする手順を説明します。このエクスペリエンスを実装するために、 Microsoft Entra ID で2つの異なる SAML2 セキュリティ統合を使用することができます。各発行者 URL に異なるアプリケーション ID を付加することで、 Microsoft Entra ID を設定し、パブリックとプライベートの発行者 URLs を区別することができます。

続行する前に、 識別子優先ログインフロー を有効にする必要があります。

同じ発行者 ID を使用して、 Microsoft Entra ID で複数の SAML2 セキュリティ統合を使用する方法については、以下のセクションに従ってください:

• Microsoft Entra Identifier URLs にアプリケーション IDs を付加するように Microsoft Entra ID を設定します。

• ログイン URL 、Microsoft Entraの識別子、およびアプリケーション ID を収集します。

• パブリックおよびプライベート SAML2 セキュリティの統合を作成します。