Google Cloud Storageの統合の構成¶
このトピックでは、Google Cloud Storageバケットに格納されているデータファイルへの安全なアクセスを構成する方法について説明します。
このトピックの内容:
Snowflakeストレージ統合の構成¶
このセクションでは、ストレージ統合を使用して、Snowflakeが外部(つまり、Cloud Storage)ステージで参照されるGoogle Cloud Storageバケットとデータを読み書きできるようにする方法について説明します。統合は、名前付きのファーストクラスSnowflakeオブジェクトであり、秘密キーやアクセストークンなどの明示的なクラウドプロバイダー認証情報を渡す必要がありません。代わりに、統合オブジェクトはCloud Storageサービスアカウントを参照します。組織の管理者は、Cloud Storageアカウントのサービスアカウントのアクセス許可を付与します。
管理者は、統合を使用する外部ステージによってアクセスされるCloud Storageバケット(およびオプションのパス)の特定のセットにユーザーを制限することもできます。
注釈
このセクションの手順を完了するには、プロジェクトエディターとしてCloud Storageプロジェクトにアクセスする必要があります。プロジェクトエディターでない場合は、Cloud Storage管理者にこれらのタスクを実行するよう依頼してください。
次の図は、Cloud Storageステージの統合フローを示しています。
外部(つまり、Cloud Storage)ステージは、その定義でストレージ統合オブジェクトを参照します。
Snowflakeは、ストレージ統合をアカウント用に作成されたCloud Storageサービスアカウントに自動的に関連付けます。Snowflakeは、Snowflakeアカウントのすべての GCS ストレージ統合によって参照される単一のサービスアカウントを作成します。
Cloud Storageプロジェクトのプロジェクトエディターは、ステージ定義で参照されているバケットにアクセスするためのアクセス許可をサービスアカウントに付与します。多数の外部ステージオブジェクトが、異なるバケットとパスを参照し、認証に同じ統合を使用できます。
ユーザーがステージに対してデータをロードまたはアンロードすると、Snowflakeは、アクセスを許可または拒否する前に、バケットのサービスアカウントに付与された権限を確認します。
このセクションの内容:
ステップ1:Snowflakeでクラウドストレージ統合を作成する¶
CREATE STORAGE INTEGRATION コマンドを使用して統合を作成します。統合は、外部クラウドストレージの認証責任をSnowflakeが生成したエンティティ(つまり、Cloud Storageサービスアカウント)に委任するSnowflakeオブジェクトです。Cloud Storageバケットにアクセスするために、Snowflakeは、データファイルを保存するバケットへのアクセス許可を付与できるサービスアカウントを作成します。
単一のストレージ統合により、複数の外部(つまり、 GCS)ステージをサポートできます。ステージ定義にある URL は、 STORAGE_ALLOWED_LOCATIONS パラメーターのために指定された GCS バケット(およびオプションのパス)に合わせる必要があります。
注釈
この SQL コマンドを実行できるのは、アカウント管理者( ACCOUNTADMIN ロールを持つユーザー)またはグローバル CREATE INTEGRATION 権限を持つロールのみです。
CREATE STORAGE INTEGRATION <integration_name>
TYPE = EXTERNAL_STAGE
STORAGE_PROVIDER = 'GCS'
ENABLED = TRUE
STORAGE_ALLOWED_LOCATIONS = ('gcs://<bucket>/<path>/', 'gcs://<bucket>/<path>/')
[ STORAGE_BLOCKED_LOCATIONS = ('gcs://<bucket>/<path>/', 'gcs://<bucket>/<path>/') ]
条件:
integration_name
は、新しい統合の名前です。bucket
は、データファイルを保存するCloud Storageバケットの名前です(例:mybucket
)。必須の STORAGE_ALLOWED_LOCATIONS パラメーターおよびオプションの STORAGE_BLOCKED_LOCATIONS パラメーターは、この統合を参照するステージが作成または変更されたときに、それぞれこれらのバケットへのアクセスを制限またはブロックします。path
は、バケット内のオブジェクトを細かく制御するために使用できるオプションのパスです。
次の例では、2つのバケットとパスのいずれかを参照するために統合を使用する外部ステージを明示的に制限する統合を作成します。後のステップで、これらのバケットとパスのいずれかを参照する外部ステージを作成します。
この統合も使用する追加の外部ステージは、許可されたバケットとパスを参照できます。
CREATE STORAGE INTEGRATION gcs_int TYPE = EXTERNAL_STAGE STORAGE_PROVIDER = 'GCS' ENABLED = TRUE STORAGE_ALLOWED_LOCATIONS = ('gcs://mybucket1/path1/', 'gcs://mybucket2/path2/') STORAGE_BLOCKED_LOCATIONS = ('gcs://mybucket1/path1/sensitivedata/', 'gcs://mybucket2/path2/sensitivedata/');
ステップ2:Snowflakeアカウント用のCloud Storage Serviceアカウントを取得する¶
DESCRIBE INTEGRATION コマンドを実行して、Snowflakeアカウント用に自動的に作成されたCloud Storageサービスアカウントの ID を取得します。
DESC STORAGE INTEGRATION <integration_name>;
条件:
integration_name
は、 ステップ1: Snowflakeでクラウドストレージ統合を作成する (このトピック内)で作成した統合の名前です。
例:
DESC STORAGE INTEGRATION gcs_int; +-----------------------------+---------------+-----------------------------------------------------------------------------+------------------+ | property | property_type | property_value | property_default | +-----------------------------+---------------+-----------------------------------------------------------------------------+------------------| | ENABLED | Boolean | true | false | | STORAGE_ALLOWED_LOCATIONS | List | gcs://mybucket1/path1/,gcs://mybucket2/path2/ | [] | | STORAGE_BLOCKED_LOCATIONS | List | gcs://mybucket1/path1/sensitivedata/,gcs://mybucket2/path2/sensitivedata/ | [] | | STORAGE_GCP_SERVICE_ACCOUNT | String | service-account-id@project1-123456.iam.gserviceaccount.com | | +-----------------------------+---------------+-----------------------------------------------------------------------------+------------------+
出力の STORAGE_GCP_SERVICE_ACCOUNT プロパティは、Snowflakeアカウント用に作成されたCloud Storageサービスアカウントを示しています(例: service-account-id@project1-123456.iam.gserviceaccount.com
)。Snowflakeアカウント全体に、単一のCloud Storageサービスアカウントをプロビジョニングします。すべてのCloud Storage統合で、そのサービスアカウントを使用します。
ステップ3:バケットオブジェクトにアクセスするためのサービスアカウント権限を付与する¶
次の詳細な手順では、Cloud Storageバケットを使用してデータをロードおよびアンロードできるようにするために、Google Cloud Platform ConsoleでSnowflake用の IAM アクセス許可を構成する方法を説明します。
カスタム IAM ロールの作成¶
バケットにアクセスしてオブジェクトを取得するために必要な権限を持つカスタムロールを作成します。
プロジェクトエディターとしてGoogle Cloud Platform Consoleにログインします。
ホームダッシュボードから、 IAM & admin » Roles を選択します。
Create Role をクリックします。
ロールの名前と説明を入力します。
Add Permissions をクリックします。
権限のリストをフィルターし、リストから次を追加します。
- データのロードのみ
storage.buckets.get
storage.objects.get
storage.objects.list
- パージオプションを使用したデータのロード
注釈
この許可により、ステージで REMOVE コマンドを実行することもできます。
storage.buckets.get
storage.objects.delete
storage.objects.get
storage.objects.list
- データのロードとアンロード
storage.buckets.get
storage.objects.create
storage.objects.delete
storage.objects.get
storage.objects.list
- データのアンロードのみ
storage.buckets.get
storage.objects.create
storage.objects.delete
storage.objects.list
Create をクリックします。
Cloud Storage Serviceアカウントへのカスタムロールの割り当て¶
プロジェクトエディターとしてGoogle Cloud Platform Consoleにログインします。
ホームダッシュボードから、 Cloud Storage » Browser を選択します。
アクセス用に構成するバケットを選択します。
右上隅の SHOW INFO PANEL をクリックします。バケットの情報パネルがスライドアウトします。
ADD PRINCIPAL ボタンをクリックします。
New principals フィールドで、 ステップ2:SnowflakeアカウントのCloud Storageサービスアカウントを取得する (このトピック内)の DESCRIBE INTEGRATION 出力からサービスアカウント名を検索します。
Select a role ドロップダウンから、 Custom »
<ロール>
を選択します。<ロール>
は、 カスタム IAM ロールの作成 (このトピック内)で作成したカスタムクラウドストレージロールです。Save ボタンをクリックします。サービスアカウント名は、情報パネルの Storage Object Viewer ロールドロップダウンに追加されます。
Cloud Key Management Serviceの暗号化キーに対するCloud Storageサービスアカウント権限の付与¶
注釈
この手順は、Google Cloud Key Management Service(Cloud KMS)に保存されているキーを使用して GCS バケットが暗号化されている 場合にのみ 必要です。
プロジェクトエディターとしてGoogle Cloud Platform Consoleにログインします。
ホームダッシュボードから、 Security » Cryptographic keys を選択します。
GCS バケットに割り当てられているキーリングを選択します。
右上隅の SHOW INFO PANEL をクリックします。キーリングの情報パネルがスライドアウトします。
ADD PRINCIPAL ボタンをクリックします。
New principals フィールドで、 ステップ2:SnowflakeアカウントのCloud Storageサービスアカウントを取得する (このトピック内)の DESCRIBE INTEGRATION 出力からサービスアカウント名を検索します。
Select a role ドロップダウンから、
Cloud KMS CrytoKey Encryptor/Decryptor
ロールを選択します。Save ボタンをクリックします。サービスアカウント名は、情報パネルの Cloud KMS CrytoKey Encryptor/Decryptor ロールドロップダウンに追加されます。
ステップ4:外部ステージを作成する¶
作成した統合を参照する外部(つまり、Cloud Storage)ステージを作成します。
注釈
統合を使用するステージを作成するには、 CREATE STAGE スキーマの権限に加えて、ステージ統合の USAGE の権限を持つロールが必要です。例:
GRANT CREATE STAGE ON SCHEMA public TO ROLE myrole; GRANT USAGE ON INTEGRATION gcs_int TO ROLE myrole;
CREATE STAGE ステートメントでストレージ統合を参照するには、ストレージ統合オブジェクトに対する USAGE 権限がロールに必要です。
URL 値にスラッシュ(
/
)を追加して、指定したフォルダーパスにフィルターをかけます。スラッシュを省略すると、指定したパスのプレフィックスで始まるすべてのファイルとフォルダーが含まれます。ステージ内の非構造化データファイルにアクセスして取得するには、スラッシュが 必須 であることに注意してください。
CREATE STAGE コマンドを使用して外部ステージを作成します。
たとえば、 mydb.public
をユーザーセッションの現在のデータベースとスキーマとして設定し、 my_gcs_stage
という名前のステージを作成します。この例では、ステージはCloud Storageバケットとパス mybucket1/path1
を参照しますが、これらは統合でサポートされています。ステージは、 my_csv_format
という名前のファイル形式オブジェクトも参照します。
USE SCHEMA mydb.public; CREATE STAGE my_gcs_stage URL = 'gcs://mybucket1/path1' STORAGE_INTEGRATION = gcs_int FILE_FORMAT = my_csv_format;
注釈
ステージの所有者(つまり、ステージで OWNERSHIP 権限を持つロール)には、ストレージ統合に対する USAGE 権限が必要です。
統合を使用するステージから、またはステージにデータをロードまたはアンロードするには、ステージに対する USAGE 権限がロールに必要です。ストレージ統合に対する USAGE 権限も、必要 ありません。
STORAGE_INTEGRATION パラメーターは、 FILE_FORMAT などの他のステージパラメーターとは別に処理されます。これらの他のパラメーターのサポートは、 GCS バケットへのアクセスに使用される統合に関係なく同じです。
ストレージ統合を使用するための既存のステージの変更¶
既存の外部(つまり、Cloud Storage)ステージを変更して、Cloud Storageアクセスにストレージ統合を使用するには次を行います。
名前付きストレージ統合を作成します。 ステップ1:Snowflakeでクラウドストレージ統合を作成する (このトピック内)にある手順をご参照ください。
ALTER STAGE を使用してステージを変更します。例:
ALTER STAGE my_gcs_stage SET STORAGE_INTEGRATION = gcs_int;