フェデレーション認証の管理/使用¶

ブラウザーベースの SSO の仕組み¶

クライアントアプリケーションがブラウザーベースの SSO を使用するように構成されている場合、アプリケーションはユーザー認証に次のワークフローを使用します。

1. アプリケーションは、ユーザーのオペレーティングシステムでデフォルトのウェブブラウザーを起動するか、新しいブラウザーのタブ/ウィンドウを開き、 IdP の認証ページを表示します。

2. ユーザーは自分の IdP 認証情報（ユーザー名とパスワード）を入力します。

3. ユーザーがSnowflakeの MFA （多要素認証）に登録されている場合、 MFA パスコード（別のデバイスから送信）を入力するか、認証を（他のデバイス上で）確認するよう求められます。

4. IdP がユーザーの認証情報を認証すると、ブラウザーに成功メッセージが表示されます。ユーザーはその後、ブラウザーのタブ/ウィンドウを閉じて（認証後に開く必要はありません）、アプリケーションに戻り、開始されたSnowflakeセッションを使用できます。

ブラウザーベースの SSO を使用するための要件¶

ブラウザーベースの SSO を使用する場合、Snowflakeが提供するクライアント（たとえば、Snowflake JDBC ドライバー）は、ユーザーのウェブブラウザーを開くことができる必要があります。このため、Snowflakeが提供するクライアントと、それを使用するクライアントアプリケーションをユーザーのマシンにインストールする必要があります。サーバーで実行されるコードがSnowflake提供のクライアントを使用している場合、ブラウザーベースの SSO は機能しません。

ブラウザーベースの SSO の設定¶

認証用にブラウザーベースの SSO を設定するには、クライアントの authenticator ログインパラメーター/オプションを externalbrowser に設定します。

接続キャッシュを使用して認証のプロンプト数を最小限に抑制 --- オプション¶

クライアントアプリケーションがSnowflakeへの新しい接続を確立するたびに、ユーザーは認証を求められます。このため、クライアントアプリケーションが複数回接続を確立した場合は、認証のための複数のプロンプトが表示される可能性があります。

ユーザーが認証を求められる回数を最小限に抑えるために、アカウント管理者は接続キャッシュを有効にすることができます。

接続キャッシュが有効になっている場合、クライアントアプリケーションは、後続の接続で使用する接続トークンを保存します。セキュリティのため、接続トークンはオペレーティングシステムのキーストアに保存されます。接続キャッシュを有効にする前に、セキュリティチームに相談して、これがセキュリティポリシーに準拠しているかどうかを確認してください。

Snowflakeは、 macOS およびWindowsで、次のドライバーとコネクタを使用した接続キャッシュをサポートしています（現在、この機能はLinuxでは非対応）。

• Goドライバーバージョン1.6.15（またはそれ以降）

• JDBC ドライバーバージョン3.12.8（またはそれ以降）

• ODBC ドライバーバージョン2.21.2（またはそれ以降）

• Python用Snowflakeコネクタ2.2.8（またはそれ以降）

接続キャッシュを有効にするには、

1. アカウントレベルのパラメーター ALLOW_ID_TOKEN を true に設定します。

   alter account set allow_id_token = true;
   

   Copy

   注釈

   接続キャッシュを有効にするには、アカウント管理者（つまり、 ACCOUNTADMIN ロールを持つユーザー）である必要があります。

2. ドライバーまたはコネクタに必要なパッケージまたはライブラリを追加します。

   • Python用Snowflakeコネクタを使用している場合は、次のコマンドを実行してオプションのキーリングパッケージをインストールします。

     pip install "snowflake-connector-python[secure-local-storage]"
     

     Copy

     コマンドに表示されているように、角括弧（[ および ]）を入力する必要があります。角括弧は、インストールする必要がある パッケージの追加部分 を指定します。

     角括弧がワイルドカードとして解釈されないようにするには、示されているようにパッケージ名を引用符で囲みます。

     他の追加機能をインストールする必要がある場合（たとえば、 Pandas用Pythonコネクタ APIs を使用 する場合は pandas）は、追加機能の間にコンマを使用します。

     pip install "snowflake-connector-python[secure-local-storage,pandas]"
     

     Copy

   • Snowflake JDBC ドライバーについては、 クラスパスへの JNA クラスの追加 をご参照ください。

Okta Identity Engineへのアップグレード¶

Okta Classic からネイティブ SSO 用Okta Identity Engineにアップグレードする場合は、アップグレード前に、Snowflakeクライアントドライバーを更新する必要があります。

アップグレード後に HTTP 429エラーが発生した場合は、最新のクライアントドライバーで使用される認証エンドポイントによって適用されるレート制限に達している可能性があります。詳細については、 HTTP 429エラー （このトピック内）をご参照ください。

HTTP 429エラー¶

Okta Identity Engineは、認証エンドポイント（/api/v1/authn）を介した通信を必要とします。現在、このエンドポイントには、ユーザーごとに5秒あたり20リクエストのレート制限があります。最新のSnowflakeクライアントドライバーは、Okta Identity Engineのサポートにこの認証エンドポイントを使用するため、レート制限の対象となります。この制限が厳しすぎる場合は、Oktaサポートに連絡して、認証エンドポイントのレート制限を引き上げてください。

次のバージョンで、Snowflakeクライアントドライバーは認証エンドポイントに切り替えられています。

• Go: 1.6.20

• JDBC: 3.13.22

• .NET: 2.0.20

• Node.js: 1.6.21

• ODBC: 2.25.5

• Python: 2.7.12

• SnowSQL: 1.2.24

• SQLAlchemy: 1.4.6