Azure Private LinkとSnowflake¶

要件と制限¶

Azure VNetをAzureのSnowflake VNetに接続するようにAzure Private Linkを構成する前に、次に注意してください。

• サブネットレベルのAzureでは、必要に応じて、プライベートエンドポイントの ネットワークポリシーを有効にします。

  TCP ポート443および80が、プライベートエンドポイントネットワークカードのネットワークセキュリティグループ内で 0.0.0.0 へのトラフィックを許可していることを確認します。

  ポートの構成については、社内のAzure管理者にお問い合わせください。

• ARM VNets を使用します。

• IPv4 TCP トラフィックのみを使用します。

• 現在、このトピックで説明されているセルフサービスの有効化プロセスは、Azure Data Factory、Synapse、またはその他のマネージドサービスからのマネージドプライベートエンドポイントに対する承認をサポートしていません。

  このユースケースでマネージドプライベートエンドポイントを構成する方法の詳細については、この 記事 （Snowflakeコミュニティ内）をご参照ください。

Microsoft Azure Private Linkの要件と制限の詳細については、Microsoftドキュメントの プライベートエンドポイントの制限 および Private Linkサービスの制限 をご参照ください。

手順¶

この手順により、AzureでAzure Private Linkを使用してSnowflakeに接続するために必要な、Azure Private Linkリソースを手動で作成して初期化します。この手順では、ユースケースに Azure Private Linkでの SSO の使用 （このトピック内）が含まれていないことを前提としています。

1. Azure CLI を使用した代表的な例として、 az account list --output table を実行します。 Name、 SubscriptionID、 および CloudName 列の出力値に注意します。

   Name     CloudName   SubscriptionId                        State    IsDefault
   -------  ----------  ------------------------------------  -------  ----------
   MyCloud  AzureCloud  13c...                                Enabled  True
   

   Copy

2. Azureポータルに移動します。 Private Link を検索して Private Link をクリックします。

   

3. Private endpoints をクリックしてから、 Add をクリックします。

   

4. Basics セクションで、ご使用の環境の Subscription、 Resource group、 Name、および Region フィールドに入力し、 Next: Resource をクリックします。

   

5. Resource セクションで、 Connection method および Resource ID or alias Field フィールドを完了します。

   • Connection Method には、 Connect to an Azure resource by resource ID or alias を選択します。

     

   • Snowflakeで、 SYSTEM$GET_PRIVATELINK_CONFIG を実行し、 privatelink-pls-id の値を Resource ID or alias フィールドに入力します。このステップのスクリーンショットでは、 east-us-2 地域のエイリアス値を代表例として使用しており、Azureは有効なエイリアス値を緑色のチェックマークで確認しています。

   • エイリアス値に関するエラーメッセージが表示された場合は、 Snowflakeサポート に連絡してリソース ID 値を受け取り、リソース ID 値を使用してこの手順を繰り返します。

6. Private endpoints セクションに戻り、数分待ちます。承認されると、プライベートエンドポイントには Pending の CONNECTION STATE 値が表示されます。次のステップで認証が完了すると、この値は Approved に更新されます。

   

7. 次のステップを実行して、AzureでSnowflakeアカウントを有効にしてAzure Private Linkを使用できるようにします。

   • コマンドライン環境で、次のAzure CLI ネットワーク コマンドを使用して、プライベートエンドポイントリソース ID の値を記録します。

     az network private-endpoint show
     

     Copy

     プライベートエンドポイントは、前のステップでテンプレートファイルを使用して作成されました。リソース ID の値は、切り捨てられた値を持つ次の形式を取ります。

     /subscriptions/26d.../resourcegroups/sf-1/providers/microsoft.network/privateendpoints/test-self-service

   • コマンドライン環境で、次の Azure CLI アカウント コマンドを実行し、出力を保存します。出力は、次のステップで federated_token 引数の値として使用されます。

     az account get-access-token --subscription <SubscriptionID>
     

     Copy

     コマンド出力からアクセストークン値を抽出します。この値は、次のステップで federated_token 値として使用します。この例では、値は切り捨てられ、アクセストークンの値は eyJ... になります。

     {
        "accessToken": "eyJ...",
        "expiresOn": "2021-05-21 21:38:31.401332",
        "subscription": "0cc...",
        "tenant": "d47...",
        "tokenType": "Bearer"
      }
     

     Copy

     重要

     Azureアクセストークンを生成するユーザーは、サブスクリプションに対する読み取りアクセス権限を持っている必要があります。最小の権限は Microsoft.Subscription/ subsets /acceptOwnershipStatus/read です。または、既定のロール Reader により、粒度の荒い権限が付与されます。

     accessToken 値は機密情報であり、パスワード値のように扱う必要があります。この値は、共有 しないでください。

     Snowflakeサポートに連絡する必要がある場合は、サポートチケットを作成する前に、コマンドと URLs からアクセストークンを編集します。

   • Snowflakeで、この例では切り捨てられている private-endpoint-resource-id 値と federated_token 値を引数として使用して、 SYSTEM$AUTHORIZE_PRIVATELINK 関数を呼び出します。

     USE ROLE ACCOUNTADMIN;
     
     SELECT SYSTEM$AUTHORIZE_PRIVATELINK (
       '/subscriptions/26d.../resourcegroups/sf-1/providers/microsoft.network/privateendpoints/test-self-service',
       'eyJ...'
       );
     

     Copy

   承認済みの構成を検証するには、AzureのSnowflakeアカウントで SYSTEM$GET_PRIVATELINK 関数を呼び出します。Snowflakeは、承認に成功すると Account is authorized for PrivateLink. を返します。

   SnowflakeアカウントでAzure Private Linkを 無効 にする必要がある場合は、 private-endpoint-resource-id と federated_token の引数値を使用して、 SYSTEM$REVOKE_PRIVATELINK 関数を呼び出します。

8. DNS 設定。Snowflakeへのすべてのリクエストは、プライベートエンドポイント経由でルーティングする必要があります。DNS を更新して、Snowflakeアカウントと OCSP URLs をプライベートエンドポイントのプライベート IP アドレスに解決します。

   • エンドポイント IP アドレスを取得するには、Azureポータルの検索バーに移動し、エンドポイントの名前を入力します（つまり、ステップ5の NAME 値）。ネットワークインターフェイスの結果を見つけてクリックします。

     

   • Private IP address （つまり、 10.0.27.5）の値をコピーします。

     

   • SYSTEM$GET_PRIVATELINK_CONFIG 関数からの次のエンドポイント値がプライベート IP アドレスに解決されるように、 DNS を構成します。

     これらのエンドポイント値により、Snowflake、 Snowsight、および Snowflake Marketplace にアクセスするのと同時に、 OCSP を使用して、Snowflakeクライアントが HTTPS および 接続 URLs を介してエンドポイントへの接続を試みる際に、証明書が取り消されていないかどうかを確認できるようになります。

     $ SYSTEM_GET_PRIVATELINK_CONFIG 関数から得られる値は以下の通りです:

     • privatelink-account-url

     • privatelink-connection-ocsp-urls

     • privatelink-connection-urls

     • privatelink-ocsp-url

     • regionless-privatelink-account-url

     • regionless-snowsight-privatelink-url

     • snowsight-privatelink-url

     regionless-snowsight-privatelink-url と snowsight-privatelink-url の値により、プライベート接続を使用して Snowsight と Snowflake Marketplace にアクセスできることに注意してください。ただし、 URL リダイレクトを有効にする場合は、追加の構成があります。

     詳細については、 Snowsightおよびプライベート接続 をご参照ください。

     注釈

     DNS 構成の詳細な説明は、この手順の範囲外です。たとえば、 Azure Private DNS ゾーン を環境に統合することを選択できます。Azureおよびクラウドインフラストラクチャの内部管理者と相談して、 DNS プロパティにある URLs を適切に構成および解決してください。

9. アウトバウンドファイアウォール設定と DNS 記録にAzure Private Linkアカウントと OCSP URLs が含まれることを確認した後、 SnowCD （Connectivity Diagnostic Tool） と SYSTEM$ALLOWLIST_PRIVATELINK を使用してSnowflakeへの接続をテストします。

10. プライベート接続アカウント URL を使用してSnowflakeに接続します。

    Azure Private Linkを介してSnowsightに接続する場合は、 Snowsightドキュメント の手順に従います。