外部 OAuth 用 PingFederate の構成¶

PingFederate を構成する¶

1. PingFederate サーバーダウンロードページに移動し、 オペレーティングシステム に基づいて PingFederate インスタンスをダウンロードまたはアップグレードします。

2. ご使用のオペレーティングシステムの PingFederate インストールガイドを使用してください。インストール後、 PingFederate にアクセスします。

3. OAuth Server パネルの Exclusive Scopes インターフェイスに移動して、 OAuth スコープを作成します。

4. Snowflakeロールをスコープとして追加するには、ロールを Scope Value に追加します。Snowflakeロールには session:role: プレフィックスが必要です（例: Snowflakeアナリストロールの場合は、 session:role:analyst と入力）。

5. Scope Description ボックスにスコープの説明を入力し、 Add をクリックします。

6. OAuth Server タブに移動して、新しいクライアントを作成します。次の値を確認します。

   フィールド	値
   NAME	PingFederate OAuth 認証サーバーのわかりやすい名
   DESCRIPTION	PingFederate OAuth 認証サーバーのわかりやすい説明
   CLIENT AUTHENTICATION	CLIENT SECRET
   EXCLUSIVE SCOPES	スコープ（つまり、Snowflakeロール）を選択します
   ALLOWED GRANT TYPES	Refresh Token および Resource Owner Password Credentials の選択
   DEFAULT ACCESS TOKEN MANAGER	JSON ウェブトークン

7. Security タブに移動して、証明書をエクスポートします。次のステップで使用するために、証明書から公開キーを抽出します。

8. OAuth Server タブと Access Token Management | Create Access Token Management Instance の下の Instance Configuration タブに移動し、それから

   • ISSUER CLAIM VALUE をこの OAuth 認証サーバーを参照する一意の識別子に更新します。

   • AUDIENCE CLAIM VALUE をSnowflakeアカウント URL に更新します（例: https://<アカウント識別子>.snowflakecomputing.com）。使用可能な URL 形式のリストについては、 URL での接続 をご参照ください。

9. 開発者ツール セクションから PingFederate OAuth Playgroundアドオンをダウンロードします。このクライアントは API リクエストを実行します。

10. OAuth Playground をインストールします。

Snowflakeでセキュリティ統合を作成する¶

このステップには、Snowflakeが PingIdentity と安全に通信し、 PingIdentity からのトークンを検証し、 OAuth トークンに関連付けされたユーザーロールに基づいて、適切なSnowflakeデータアクセスをユーザーに提供することを確実にするためのセキュリティ統合をSnowflakeに作成することが含まれます。

Snowflakeウェブインターフェイスまたは SnowSQLで次のステートメントを実行します。

external_oauth_issuer の値は、ステップ1.8で設定された一意の識別子である必要があります。たとえば、一意の識別子の値が 27f10cde-a964-4499-a88c-0c598883e5ad の場合は、 <一意のID> を '27f10cde-a964-4499-a88c-0c598883e5ad' に置き換えます。一意の識別子は、一重（つまり、垂直）引用符で囲む必要があります。

ユースケースと構成のニーズに最適なセキュリティ統合を選択します。詳細については、 CREATE SECURITY INTEGRATION をご参照ください。

PingFederate のセキュリティ統合を作成する

create or replace security integration external_oauth_pf_1
    type = external_oauth
    enabled = true
    external_oauth_type = ping_federate
    external_oauth_rsa_public_key = '<BASE64_PUBLIC_KEY>'
    external_oauth_issuer = '<unique_id>'
    external_oauth_token_user_mapping_claim = 'username'
    external_oauth_snowflake_user_mapping_attribute = 'login_name';

Copy

このセキュリティ統合では、 external_oauth_rsa_public_key パラメーターを使用します。Snowflakeは公開キーの値を使用して、 JWT アクセストークンの署名を確認します。

オーディエンスでセキュリティ統合を作成する

セキュリティ統合の external_oauth_audience_list パラメーターは PingFederate の構成時に指定した Audience Claim Value と一致している必要があります。

create security integration external_oauth_pf_2
    type = external_oauth
    enabled=true
    external_oauth_type = ping_federate
    external_oauth_issuer = '<ISSUER>'
    external_oauth_rsa_public_key = '<BASE64_PUBLIC_KEY>'
    external_oauth_audience_list = ('<snowflake_account_url>')
    external_oauth_token_user_mapping_claim = 'username'
    external_oauth_snowflake_user_mapping_attribute = 'login_name';

Copy

このセキュリティ統合では、 external_oauth_rsa_public_key パラメーターを使用します。Snowflakeは公開キーの値を使用して、 JWT アクセストークンの署名を確認します。

外部 OAuth セキュリティ統合の変更¶

セキュリティ統合で ALTER ステートメントを実行することにより、外部 OAuth セキュリティ統合を更新できます。

詳細については、 ALTER SECURITY INTEGRATION （外部 OAuth） をご参照ください。

外部 OAuth での ANY ロールの使用¶

Snowflakeにセキュリティ統合を作成する構成ステップでは、 OAuth アクセストークンにスコープ定義が含まれています。したがって、実行時に外部 OAuth セキュリティ統合を使用すると、 OAuth クライアントもユーザーも、 OAuth アクセストークンで未定義のロールを使用できなくなります。

アクセストークンを検証してセッションを作成した後、 ANY ロールは OAuth クライアントとユーザーがそのロールを決定できるようにします。必要に応じて、クライアントまたはユーザーは、 OAuth アクセストークンで定義されたロールとは異なるロールに切り替えることができます。

ANY ロールを構成するには、スコープを SESSION:ROLE-ANY として定義し、 external_oauth_any_role_mode パラメーターを使用してセキュリティ統合を構成します。このパラメーターには、指定できる3つの文字列値があります。

• DISABLE の場合、 OAuth クライアントまたはユーザーは、ロール（つまり、 use role <ロール>;）を切り替えられません。デフォルト。

• ENABLE の場合、 OAuth クライアントまたはユーザーは、ロールを切り替えられます。

• ENABLE_FOR_PRIVILEGE OAuth クライアントまたはユーザーは、 USE_ANY_ROLE 権限を持つクライアントまたはユーザーのロールのみを切り替えられます。この権限は、ユーザーが使用できる1つ以上のロールに対して付与および取り消しができます。例：

  grant USE_ANY_ROLE on integration external_oauth_1 to role1;
  

  Copy

  revoke USE_ANY_ROLE on integration external_oauth_1 from role1;
  

  Copy

次のようにセキュリティ統合を定義します。

create security integration external_oauth_1
    type = external_oauth
    enabled = true
    external_oauth_any_role_mode = 'ENABLE'
    ...

外部 OAuth でのセカンダリロールの使用¶

プライマリロールに必要なスコープが外部トークンで渡されます。ユーザーの既定のロール（session:role-any）、またはユーザーに付与された特定のロール（session:role:<ロール名>）のいずれかです。

デフォルトでは、Snowflakeは、セッション内にあるユーザー（つまり、 DEFAULT_SECONDARY_ROLES）のデフォルトの セカンダリロール をアクティブ化 しません。

セッション内にあるユーザーのデフォルトのセカンダリロールをアクティブ化し、外部 OAuth の使用中に USE SECONDARY ROLES コマンドの実行を許可するには、次のステップを実行します。

1. 接続のセキュリティ統合を構成します。セキュリティ統合の作成時（CREATE SECURITY INTEGRATION を使用）またはその後（ALTER SECURITY INTEGRATION を使用）に、EXTERNAL_OAUTH_ANY_ROLE_MODE パラメーター値を ENABLE または ENABLE_FOR_PRIVILEGE に設定します。

2. トークンのスコープ属性に静的な値 session:role-any を渡すように認証サーバーを構成します。スコープパラメーターの詳細については、 外部 OAuth の概要 をご参照ください。

外部 OAuth でのネットワークポリシーの使用¶

現在、ネットワークポリシーは外部 OAuth セキュリティ統合に追加できません。ただし、Snowflakeアカウント全体に広く適用されるネットワークポリシーを実装することはできます。

ユースケースで OAuth セキュリティ統合に固有のネットワークポリシーが必要な場合は、 Snowflake OAuth を使用します。このアプローチにより、Snowflake OAuth ネットワークポリシーとSnowflakeアカウントに適用される他のネットワークポリシーを区別することができるようになります。

詳細については、 ネットワークポリシー をご参照ください。

外部 OAuth での複製の使用¶

Snowflakeは、ソースアカウントからターゲットアカウントへの外部 OAuth セキュリティ統合の複製とフェールオーバー/フェールバックをサポートします。

詳細については、 複数のアカウントにわたるセキュリティ統合とネットワークポリシーの複製 をご参照ください。