キーペア認証とキーペアローテーション¶

秘密キーを生成する¶

Snowflakeへの接続に使用する サポートされているSnowflakeクライアント のいずれかに応じて、暗号化された秘密キーまたは暗号化されていない秘密キーを生成するオプションがあります。一般に、暗号化されたキーを生成する方が安全です。Snowflakeは、このステップを完了する前に、内部セキュリティおよびガバナンスの担当者と連絡を取り、生成するキータイプを決定することをお勧めします。

開始するには、ターミナルウィンドウを開き、秘密キーを生成します。

秘密キーは、暗号化バージョンまたは非暗号化バージョンのいずれかを生成できます。

非暗号化バージョンを生成するには、次のコマンドを使用します。

openssl genrsa 2048 | openssl pkcs8 -topk8 -inform PEM -out rsa_key.p8 -nocrypt

暗号化バージョンを生成するには、 -nocrypt を省略する次のコマンドを使用します。

openssl genrsa 2048 | openssl pkcs8 -topk8 -v2 des3 -inform PEM -out rsa_key.p8

コマンドは、 PEM 形式の秘密キーを生成します。

-----BEGIN ENCRYPTED PRIVATE KEY-----
MIIE6T...
-----END ENCRYPTED PRIVATE KEY-----

公開キーを生成する¶

コマンドラインから、秘密キーを参照して公開キーを生成します。次のコマンドでは、秘密キーが暗号化され、 rsa_key.p8 という名前のファイルに含まれていると仮定しています。

openssl rsa -in rsa_key.p8 -pubout -out rsa_key.pub

このコマンドは、公開キーを PEM 形式で生成します。

-----BEGIN PUBLIC KEY-----
MIIBIj...
-----END PUBLIC KEY-----

秘密キーと公開キーを安全に保管する¶

公開キーファイルと秘密キーファイルを保存用のローカルディレクトリにコピーします。ファイルへのパスを記録します。秘密キーは PKCS#8（公開キー暗号化標準）形式を使用して保存され、前のステップで指定したパスフレーズを使用して暗号化されることに注意してください。

ただし、オペレーティングシステムが提供するファイル許可メカニズムを使用して、ファイルを不正アクセスから保護する必要があります。ファイルが使用されていない場合、ファイルを保護するのはユーザーの責任です。

Snowflakeユーザーに公開キーを割り当てる¶

ALTER USER コマンドを実行して、公開キーをSnowflakeユーザーに割り当てます。

ALTER USER example_user SET RSA_PUBLIC_KEY='MIIBIjANBgkqh...';

ユーザーの公開キーのフィンガープリントを検証する¶

1. 以下のコマンドを実行して、ユーザーの公開キーのフィンガープリントを取得します。

   DESC USER example_user;
   SELECT SUBSTR((SELECT "value" FROM TABLE(RESULT_SCAN(LAST_QUERY_ID()))
     WHERE "property" = 'RSA_PUBLIC_KEY_FP'), LEN('SHA256:') + 1);
   

   Copy

   出力：

   Azk1Pq...
   

2. 出力をコピーします。

3. コマンドラインで次のコマンドを実行します。

   openssl rsa -pubin -in rsa_key.pub -outform DER | openssl dgst -sha256 -binary | openssl enc -base64
   

   Copy

   出力：

   writing RSA key
   Azk1Pq...
   

4. 両方の出力を比較します。両方の出力が一致する場合、公開キーは正しく設定されています。

キーペア認証を使用するようにSnowflakeクライアントを設定する¶

Snowflakeへの接続にキーペア認証を使用するように、クライアントを更新します。

• Snowflake CLI

• SnowSQL

• Pythonコネクタ

• Sparkコネクタ

• Kafkaコネクタ

• Go Driver

• JDBC ドライバー

• ODBC ドライバー

• .NET ドライバー

• Node.jsドライバー