AWS PrivateLink とSnowflake¶

AWS PrivateLink とは¶

AWS PrivateLink は AWS のサービスで、プライベート VPC エンドポイントを作成するためのものです。これにより、パブリックインターネットを経由せずに、ご使用の AWS VPCs と Snowflake VPC の間の直接的かつ安全な接続が可能になります。接続は、同じ AWS リージョン内の AWS VPCs 用です。

外部関数の記述 の場合は、 AWS PrivateLink を プライベートエンドポイント で使用することもできます。

さらに、オンプレミス環境（例: ホストされていないデータセンター）がある場合は、 AWS Direct Connect と AWS PrivateLink を組み合わせて使用し、すべての仮想環境と物理環境を単一のプライベートネットワークで接続することを選択できます。

AWS PrivateLink の有効化¶

Snowflakeアカウントで AWS PrivateLink を有効にするには、次のステップを実行します。

1. コマンドライン環境で、次の AWS CLI STS コマンドを実行し、出力を保存します。出力は、次のステップで federated_token 引数の値として使用されます。

   aws sts get-federation-token --name sam
   

   Copy

   get-federation-token には、IDと AWS のアクセス管理ユーザーか、 AWS アカウントルートユーザーが必要です。詳細については、 AWS ドキュメント をご参照ください。

   "FederatedUserId" 値の12桁の数字を抽出します（切り捨て）。たとえば、トークンに次が含まれている場合、

   {
      ...
      "FederatedUser": {
          "FederatedUserId": "185...:sam",
          "Arn": "arn:aws:sts::185...:federated-user/sam"
      },
      "PackedPolicySize": 0
    }
   

   Copy

   185... を抽出します。この12桁の数字は、次のステップにある aws_id の値になります。

2. Snowflakeアカウント管理者（つまり、 ACCOUNTADMIN システムロールを持つユーザー）として、 SYSTEM$AUTHORIZE_PRIVATELINK 関数を呼び出して、Snowflakeアカウントの AWS PrivateLink を承認（つまり、有効化）します。

   select SYSTEM$AUTHORIZE_PRIVATELINK ( '<aws_id>' , '<federated_token>' );
   

   Copy

   条件:

   • 'aws_id'

     Amazon Web Services（AWS）アカウントを文字列として一意に識別する12桁の識別子。

   • 'federated_token'

     フェデレーションユーザーのアクセス認証情報を文字列として含むフェデレーショントークン値。

   例:

   use role accountadmin;
   
   select SYSTEM$AUTHORIZE_PRIVATELINK (
       '185...',
       '{
          "Credentials": {
              "AccessKeyId": "ASI...",
              "SecretAccessKey": "enw...",
              "SessionToken": "Fwo...",
              "Expiration": "2021-01-07T19:06:23+00:00"
          },
          "FederatedUser": {
              "FederatedUserId": "185...:sam",
              "Arn": "arn:aws:sts::185...:federated-user/sam"
          },
          "PackedPolicySize": 0
       }'
     );
   

   Copy

承認済みの構成を検証するには、 AWS のSnowflakeアカウントで SYSTEM$GET_PRIVATELINK 関数を呼び出します。この関数は、Snowflakeアカウントの承認に使用されたものと同じ引数値を 'aws_id' と 'federated_token' に使用します。

Snowflakeは、承認に成功すると Account is authorized for PrivateLink. を返します。

Snowflakeアカウントで AWS PrivateLink を 無効 にする必要がある場合は、 'aws-id' と 'federated_token' に同じ引数値を使用して、 SYSTEM$REVOKE_PRIVATELINK 関数を呼び出します。

セキュリティ体制をさらに強化するために、SnowflakeではSnowflakeアカウントの インバウンドトラフィックのプライベート接続エンドポイントのピン留め を推奨しています。

AWS VPC 環境の構成¶

Snowflakeに接続する¶

Snowflakeに接続する前に、 オプションで SnowCD （Snowflake Connectivity Diagnostic Tool）を活用して、Snowflakeおよび AWS PrivateLink とのネットワーク接続を評価できます。

詳細については、 SnowCD および SYSTEM$ALLOWLIST_PRIVATELINK をご参照ください。

それ以外の場合は、プライベート接続アカウント URL を使用してSnowflakeに接続します。

AWS PrivateLink を介してSnowsightに接続する場合は、 Snowsightドキュメント の手順に従います。

パブリックアクセスのブロック --- 推奨¶

AWS PrivateLink を使用してSnowflakeへのプライベート接続をテストした後、 オプションで Snowflakeへのパブリックアクセスをブロックできます。つまり、ユーザーは、接続リクエストがSnowflakeネットワークポリシーで指定された特定の CIDR ブロック範囲内の IP アドレスから発信された場合にのみSnowflakeにアクセスできます。

ネットワークポリシーを使用してパブリックアクセスをブロックするには、

1. 新しいネットワークポリシーを作成するか、既存のネットワークポリシーを編集します。組織の CIDR ブロック範囲を追加します。

2. アカウントのネットワークポリシーをアクティブにします。

詳細については、 ネットワークポリシーを使用したネットワークトラフィックの制御 をご参照ください。

Snowflakeクライアントの構成¶

AWS PrivateLink と SSO の併用¶

Snowflakeは、AWS PrivateLinkでSSOの使用をサポートしています。詳細については、次をご参照ください。

• プライベート接続での SSO

• パートナーアプリケーション

AWS PrivateLink でのクライアントリダイレクトの使用¶

Snowflakeは、 AWS PrivateLink でのクライアントリダイレクトの使用をサポートしています。

詳細については、 クライアント接続のリダイレクト をご参照ください。

プライベート接続での複製と Tri-Secret Secure の使用¶

Snowflakeは、ターゲットアカウントで Tri-Secret Secure またはこの機能を有効にするかどうかに関係なく、ソースアカウントからターゲットアカウントへのデータの複製をサポートします。

トラブルシューティング¶

次のSnowflakeコミュニティの記事に注意してください。

• PrivateLink セルフサービス用に AWS からフェデレーショントークンを取得する方法

• FAQ: AWS を使用した PrivateLink セルフサービス

• トラブルシューティング: AWS PrivateLink 用Snowflakeセルフサービス関数