認証のためのプログラム アクセス トークンの使用¶

前提条件¶

プログラム アクセス トークンを生成して使用するには、以下の前提条件を満たす必要があります。

• ネットワークポリシー要件

• 認証ポリシー権限

ALTER AUTHENTICATION POLICY my_authentication_policy
  SET PAT_POLICY = (
    NETWORK_POLICY_EVALUATION = NOT_ENFORCED
  );

CREATE AUTHENTICATION POLICY my_auth_policy
  ...
  AUTHENTICATION_METHODS = ('OAUTH', 'PASSWORD')
  ...

ALTER AUTHENTICATION POLICY my_auth_policy
  SET AUTHENTICATION_METHODS = ('OAUTH', 'PASSWORD', 'PROGRAMMATIC_ACCESS_TOKEN');

デフォルトおよび最大有効期限の構成¶

管理者 (ACCOUNTADMIN ロールを持つユーザー) は、プログラム アクセス トークンの有効期限に影響する以下の設定を構成できます。

• 最大有効期限のセット

• デフォルトの有効期限のセット

CREATE AUTHENTICATION POLICY my_authentication_policy
  PAT_POLICY=(
    MAX_EXPIRY_IN_DAYS=100
  );

ALTER AUTHENTICATION POLICY my_authentication_policy
  SET PAT_POLICY = (
    MAX_EXPIRY_IN_DAYS=90
  );

CREATE AUTHENTICATION POLICY my_authentication_policy
  PAT_POLICY=(
    DEFAULT_EXPIRY_IN_DAYS=5
  );

ALTER AUTHENTICATION POLICY my_authentication_policy
  SET PAT_POLICY = (
    DEFAULT_EXPIRY_IN_DAYS=30
  );

Removing the role restriction for service users¶

By default, if you generate a programmatic access token for a service user (a user with TYPE=SERVICE or TYPE=LEGACY_SERVICE), you must specify the role that will be used during sessions authenticated with that token. That role will be used for privilege evaluation and object creation.

You can lift this restriction when you use the ALTER USER ADD PROGRAMMATIC ACCESS TOKEN command to generate a programmatic access token for a service user.

To lift this restriction:

1. Create or modify an authentication policy that specifies that you can generate a programmatic access token without a role restriction for service users.

• To create an authentication policy, run the CREATE AUTHENTICATION POLICY command, setting REQUIRE_ROLE_RESTRICTION_FOR_SERVICE_USERS to FALSE in the PAT_POLICY clause. For example:

  CREATE AUTHENTICATION POLICY my_authentication_policy
    PAT_POLICY = (
      REQUIRE_ROLE_RESTRICTION_FOR_SERVICE_USERS = FALSE
    );
  

  Copy

• To alter an existing authentication policy, run the ALTER AUTHENTICATION POLICY command, setting REQUIRE_ROLE_RESTRICTION_FOR_SERVICE_USERS to FALSE in the PAT_POLICY clause. For example:

  ALTER AUTHENTICATION POLICY my_authentication_policy
    SET PAT_POLICY = (
      REQUIRE_ROLE_RESTRICTION_FOR_SERVICE_USERS = FALSE
    );
  

  Copy

1. Apply the authentication policy to an account or user:

   • To lift the restriction for all service users in the account, apply the authentication policy to the account.

   • To lift the restriction for specific service users, apply the authentication policy to those users.

プログラム・アクセス・トークンに必要な権限¶

プログラム アクセス トークンを作成・管理するには、以下の権限を付与されたロールを使用する必要があります。

• 人間ユーザー（TYPE=PERSON）の場合、 自分自身のための プログラム アクセス トークンを生成、変更、削除、表示するのに、特別な権限は必要ありません。

• 異なるユーザーまたはサービスユーザー（TYPE=SERVICE）のプログラム アクセス トークンを生成、変更、削除、または表示する場合は、そのユーザーの OWNERSHIP または MODIFY PROGRAMMATIC AUTHENTICATION METHODS 権限を持つロールを使用する必要があります。

  例えば、 my_service_owner_role カスタムロールを持つユーザーに、サービスユーザー my_service_user のプログラム アクセス トークンを生成・管理する権限を付与したいとします。my_service_user ユーザーの MODIFY PROGRAMMATIC AUTHENTICATION METHODS 権限をロール my_service_owner_role に付与することができます。

  GRANT MODIFY PROGRAMMATIC AUTHENTICATION METHODS ON USER my_service_user
    TO ROLE my_service_owner_role;
  

  Copy

プログラム アクセス トークンの生成¶

Snowsight、または SQL コマンドを実行することで、プログラム アクセス トークンを生成できます。

+---------------+-----------------+
| token_name    | token_secret    |
|---------------+-----------------|
| EXAMPLE_TOKEN | ... (token) ... |
+---------------+-----------------+

プログラム アクセス トークンを作成した後、有効期限を変更することはできません。トークンを取り消し、新しい有効期限で新しいトークンを生成する必要があります。

ロールに制限されているプログラムのアクセストークンの場合、ロールがユーザーから取り消されるか、ロールがドロップされると、ユーザーは認証にプログラムのアクセストークンを使用できなくなります。

プログラム アクセス トークンの使用¶

以下のセクションでは、プログラム アクセス トークンをパスワードとして使用し、Snowflakeエンドポイントへの認証情報として使用する方法について説明します。

• プログラム アクセス トークンのパスワードとしての使用

• エンドポイントの認証にプログラム アクセス トークンを使用します。

conn = snowflake.connector.connect(
    user=USER,
    password=<programmatic_access_token>,
    account=ACCOUNT,
    warehouse=WAREHOUSE,
    database=DATABASE,
    schema=SCHEMA
)

curl --location "https://myorganization-myaccount.snowflakecomputing.com/api/v2/databases" \
  --header "Authorization: Bearer <token_secret>"

curl -si -X POST https://myorganization-myaccount.snowflakecomputing.com/api/v2/statements \
  --header "Content-Type: application/json" \
  --header "Accept: application/json" \
  --header "Authorization: Bearer <token_secret>" \
  --data '{"statement": "select 1"}'

プログラム アクセス トークンの管理¶

次のセクションでは、プログラムによるアクセストークンの使用、変更、リスト、ローテーション、取り消し、および再有効化する方法について説明します。

• プログラム・アクセス・トークンのリスト

• プログラム アクセス トークンの名前の変更

• プログラム アクセス トークンのローテーション

• プログラム アクセス トークンの取り消し

• 無効化されたプログラム アクセス トークンの再有効化

SHOW USER PROGRAMMATIC ACCESS TOKENS FOR USER example_user;

SELECT * FROM SNOWFLAKE.ACCOUNT_USAGE.CREDENTIALS WHERE type = 'PAT';

ALTER USER IF EXISTS example_user ROTATE PROGRAMMATIC ACCESS TOKEN example_token;

ALTER USER IF EXISTS example_user
  ROTATE PROGRAMMATIC ACCESS TOKEN example_token
  EXPIRE_ROTATED_TOKEN_AFTER_HOURS = 0;

+---------------+-----------------+-------------------------------------+
| token_name    | token_secret    | rotated_token_name                  |
|---------------+-----------------+-------------------------------------|
| EXAMPLE_TOKEN | ... (token) ... | EXAMPLE_TOKEN_ROTATED_1744239049066 |
+---------------+-----------------+-------------------------------------+

ALTER USER IF EXISTS example_user REMOVE PROGRAMMATIC ACCESS TOKEN example_token;

SHOW USER PROGRAMMATIC ACCESS TOKENS FOR USER example_user;

+---------------+--------------+------------------+-------------------------------+----------+---------+-------------------------------+--------------+-------------------------------------------+------------+
| name          | user_name    | role_restriction | expires_at                    | status   | comment | created_on                    | created_by   | mins_to_bypass_network_policy_requirement | rotated_to |
|---------------+--------------+------------------+-------------------------------+----------+---------+-------------------------------+--------------+-------------------------------------------+------------|
| EXAMPLE_TOKEN | EXAMPLE_USER | MY_ROLE          | 2025-04-28 12:13:46.431 -0700 | DISABLED | NULL    | 2025-04-13 12:13:46.431 -0700 | EXAMPLE_USER | NULL                                      | NULL       |
+---------------+--------------+------------------+-------------------------------+----------+---------+-------------------------------+--------------+-------------------------------------------+------------+

ALTER USER example_user MODIFY PROGRAMMATIC ACCESS TOKEN example_token SET DISABLED = FALSE;

シークレットからのプログラム アクセス トークンの情報取得¶

プログラム アクセス トークンに関する情報が必要な場合、そのトークンのシークレットが与えられたら、 SYSTEM$DECODE_PAT 関数を呼び出します。シークレットが漏洩し、トークンに関連付けられたユーザー、トークンの名前、トークンの状態を知りたい場合にこの関数を使用できます。

例:

SELECT SYSTEM$DECODE_PAT('abC...Y5Z');

+------------------------------------------------------------------------+
| SYSTEM$DECODE_PAT('☺☺☺...☺☺☺')                                         |
|------------------------------------------------------------------------|
| {"STATE":"ACTIVE","PAT_NAME":"MY_EXAMPLE_TOKEN","USER_NAME":"MY_USER"} |
+------------------------------------------------------------------------+

流出したプログラムのアクセストークンの処理¶

Snowflakeは `GitHubシークレットスキャンパートナープログラム<https://docs.github.com/en/code-security/secret-scanning/secret-scanning-partnership-program/secret-scanning-partner-program>`_ の一部です。プログラムのアクセストークンのシークレットがパブリック GitHub リポジトリにチェックインされている場合、Snowflakeに通知され、プログラムのアクセストークンを自動的に無効にします。Snowflakeは、流出したトークンに関するメール通知をアカウント管理者とトークンに関連付けられているユーザーに送信します。

通知には次が含まれます。

• Snowflakeアカウント名

• Snowflakeユーザー名

• プログラムのアクセストークンの名前、 ID およびステータス

• GitHub リポジトリの URL

GitHub リポジトリを所有している場合、 `シークレットスキャンの有効化<https://docs.github.com/en/code-security/secret-scanning/enabling-secret-scanning-features/enabling-secret-scanning-for-your-repository>`_ で流出したトークンを無効にすることをSnowflakeに許可することができます。また、 プッシュ保護 を有効にして、Snowflakeプログラムのアクセストークンが GitHub リポジトリにコミットされるのを防ぐこともできます。

プログラムのアクセストークンが流出した場合は、認証にプログラムのアクセストークンを使用したセッション中に実行されたクエリを調べる必要があります。これらのクエリを識別するには、次を SQL ステートメントを使用できます。

WITH session_ids_with_leaked_pats AS (
  SELECT DISTINCT s.session_id
    FROM SNOWFLAKE.ACCOUNT_USAGE.SESSIONS s JOIN SNOWFLAKE.ACCOUNT_USAGE.LOGIN_HISTORY lh
      ON s.login_event_id= lh.event_id
    WHERE
      lh.first_authentication_factor_id = '<pat_id>'
)
SELECT qh.*
  FROM SNOWFLAKE.ACCOUNT_USAGE.QUERY_HISTORY qh JOIN session_ids_with_leaked_pats slp
    ON qh.session_id = slp.session_id;

さらに、プログラムのアクセストークンが別のアカウントに複製されている場合は、そのアカウントでトークンを無効にする必要があります。複製されたトークンを含む可能性のあるアカウントを特定するには、 SHOW REPLICATION GROUPS コマンドを実行します。

プログラムのアクセストークンが使用されたログインセッションの識別¶

プログラムのアクセストークンが認証に使用されたかどうかを確認するには、認証情報 ID を含む列の ACCOUNT_USAGE スキーマの:doc:LOGIN_HISTORY</sql-reference/account-usage/login_history> ビューおよび CREDENTIALS ビューを結合します。

• first_authentication_factor 列に PROGRAMMATIC_ACCESS_TOKEN が含まれている場合、 LOGIN_HISTORY ビューの first_authentication_factor_id 列には認証情報 ID が含まれます。

• CREDENTIALS ビューには credential_id 列に認証情報 ID が含まれています。

例:

SELECT
    login.event_timestamp,
    login.user_name,
    cred.name
  FROM SNOWFLAKE.ACCOUNT_USAGE.LOGIN_HISTORY login
    JOIN SNOWFLAKE.ACCOUNT_USAGE.CREDENTIALS cred
    ON login.first_authentication_factor_id = cred.credential_id
  WHERE login.first_authentication_factor = 'PROGRAMMATIC_ACCESS_TOKEN';

+-------------------------------+-----------+-----------+
| EVENT_TIMESTAMP               | USER_NAME | NAME      |
|-------------------------------+-----------+-----------|
| 2025-08-01 09:01:06.098 -0700 | USER_A    | PAT_FOR_A |
| 2025-07-08 13:33:07.687 -0700 | USER_B    | MY_PAT    |
| 2025-07-08 14:15:26.234 -0700 | USER_C    | MY_TOKEN  |
+-------------------------------+-----------+-----------+

このログインセッション中に実行されたクエリに関する情報を取得するには、 login_event_id 列で LOGIN_HISTORY ビューと SESSIONS ビューを結合してセッション ID を取得し、それを使用して QUERY_HISTORY ビューを結合します。

ベストプラクティス¶

• プログラム アクセス トークンを保存する必要がある場合は、（パスワードやシークレットマネージャーを使用するなどして）安全に保存してください。

• コード内でプログラム アクセス トークンを公開することは避けてください。

• トークンを生成する 際に、トークンの使用を特定のロールに制限します。

• プログラム アクセス トークンを定期的に見直し、ローテーションします。ユーザーは トークンを生成する 際に有効期限をセットでき、管理者は すべてのトークンの最大有効期限を短縮できます。トークンのローテーションを奨励するためです。

制限事項¶

• プログラム アクセス トークンのシークレットを表示できるのは、トークンを作成したときだけです。プログラム アクセス トークンを作成した後は、トークンに関する情報のみを表示することができ、トークンのシークレットを表示することはできません。

• トークンを生成した後は、プログラムのアクセストークンのプロパティの一部を変更することができません。

  • トークンを生成した後は、そのトークンの制限されているロールを変更したり削除したりすることはできません。

  • トークンを生成した後に、トークンの有効期限を変更することはできません。プログラムアクセストークンを取り消し、有効期限が異なる新しいトークンを生成することができます。

• Each user can have a maximum of 15 programmatic access tokens.

  • This number includes tokens that have been disabled.

  • This number does not include tokens that have expired.

• 管理者が実行して特定のユーザーのすべてのプログラムアクセストークンをリストできるコマンドがありますが（SHOW USER PROGRAMMATIC ACCESS TOKENS）、アカウント内のすべてのプログラムアクセストークンをリストするコマンドはありません。

  ただし、管理者は:doc:/sql-reference/account-usage/credentials ビューをクエリして、アカウント内のプログラムアクセストークンをリストすることができます。

• プログラム アクセス トークンを取り消した後、それを回復することはできません。

• 認証にプログラム アクセス トークンを使用したセッションでは、プログラム アクセス トークンの変更、名前の変更、ローテーション、取り消しはできません。