SnowflakeとAzure SCIM の統合¶

機能¶

• Snowflakeへの自動Azure AD ユーザープロビジョニング。

• Snowflakeへの自動Azure AD グループプロビジョニング。

• Azure AD ユーザーおよびグループのSnowflakeへの同期。

• Azure AD が SAML SSO からSnowflake に対して構成されている場合、SnowflakeにプロビジョニングされたAzure AD ユーザーは SAML SSO 使用してSnowflakeにアクセスできます。

  注釈

  デフォルトでは、 SCIM を使用してSnowflakeにプロビジョニングされたAzure AD ユーザーには、Snowflakeでパスワードが割り当てられていません。つまり、 SAML SSO がAzure ADで構成されている場合、ユーザーは SSOを使用してSnowflakeに対して認証を行います。

  SCIM を使用してAzure AD からSnowflakeにユーザーとグループをプロビジョニングする場合、SAML SSO は必須ではありません。その他のオプションについては、 Azure AD シングルサインオンの構成 をご参照ください。

前提条件¶

SCIM を使用してAzure AD ユーザーとグループをSnowflakeにプロビジョニングする前に、次のことを確認してください。

1. 既存のAzure AD テナント

2. 既存のSnowflakeテナント

   • Microsoftでの構成プロセス中に、Snowflake SCIM エンドポイントの URL （つまり、Microsoft Azure Active Directory SCIM 構成ガイドの Tenant URL）を入力する必要があります。Snowflake SCIM エンドポイントは、 /scim/v2/ が追加されたSnowflakeアカウント URL で構成されます。たとえば、アカウント名 URL 形式を使用する場合、 SCIM エンドポイントは https://myorg-myaccount.snowflakecomputing.com/scim/v2/ です。Snowflakeアカウント URL でサポートされている形式のリストについては、 URL での接続 を参照してください。

3. ACCOUNTADMIN ロールを持つSnowflakeの少なくとも1人のユーザー

4. ユーザーまたはグループをプロビジョニングする前に、アカウントに関連するため、Snowflakeの ネットワークポリシー が、 パブリッククラウド または US 政府クラウド のAzure AD IP アドレス すべて からのアクセスを許可していることを確認してください。現在、Azure SCIM ネットワークポリシーを作成するには、Azure AD IP アドレスすべてが必要です。詳細については、 SCIM ネットワークポリシーの管理 をご参照ください。

設定¶

Snowflakeの構成プロセスでは、SCIM のセキュリティ統合を作成して、Azure AD で作成されたユーザーとロールをSnowflakeの AAD_PROVISIONER SCIM ロールが所有できるようにし、SCIM API リクエストで使用するアクセストークンを作成します。アクセストークン（つまり、Microsoft Azure Active Directory SCIM構成ガイドの Secret Token ）は6か月間有効です。有効期限が切れたら、以下に示すように手動で SYSTEM$GENERATE_SCIM_ACCESS_TOKEN を使用して、新しいアクセストークンを作成します。

use role accountadmin;
create role if not exists aad_provisioner;
grant create user on account to role aad_provisioner;
grant create role on account to role aad_provisioner;
grant role aad_provisioner to role accountadmin;
create or replace security integration aad_provisioning
    type = scim
    scim_client = 'azure'
    run_as_role = 'AAD_PROVISIONER';
select system$generate_scim_access_token('AAD_PROVISIONING');

Snowflake起動 SSO の有効化¶

SCIMプロビジョニングプロセスは、シングルサインオン（SSO）を自動的に有効にしません。

SCIM プロビジョニングプロセスの完了後に SSO を使用するには、 Snowflakeにより開始される SSO を有効にします。

SCIM ネットワークポリシーの管理¶

ネットワークポリシーを SCIM セキュリティ統合に適用することで、 SCIM ネットワークポリシーをSnowflakeアカウント全体に適用されるネットワークポリシーと区別できます。これにより、 SCIM プロバイダーは IP アドレスを通常のユーザーのアクセスを制御するネットワークポリシーに追加することなく、ユーザーとグループをプロビジョニングできます。

SCIM 統合に適用されるネットワークポリシーは、Snowflakeアカウント全体に適用されるネットワークポリシーよりも優先されますが、ユーザーに割り当てられるネットワークポリシーのほうが優先されます。

SCIMセキュリティ統合を作成したら、次のコマンドを使用してSCIMネットワークポリシーを作成します。

alter security integration aad_provisioning set network_policy = <scim_network_policy>;

Copy

SCIM ネットワークポリシーを設定解除するには、次のコマンドを使用します。

alter security integration aad_provisioning unset network_policy;

Copy

条件:

aad_provisioning

Azure AD SCIMセキュリティ統合の名前を指定します。

scim_network_policy

SnowflakeのAzure AD SCIMネットワークポリシーを指定します。

詳細については、 ネットワークポリシーを使用したネットワークトラフィックの制御 および ALTER SECURITY INTEGRATION をご参照ください。

SCIM でのセカンダリロールの使用¶

Snowflakeは、 SCIM で ユーザー プロパティ DEFAULT_SECONDARY_ROLES を 'ALL' に設定して、ユーザーがSnowflakeセッションで セカンダリロール を使用できるようにすることをサポートしています。

代表的な例については、 PUT scim/v2/Users/{ID} をご参照ください。

Azure SCIM セキュリティ統合の複製¶

Snowflakeは、 SCIM セキュリティ統合により、ソースアカウントからターゲットアカウントへの複製とフェールオーバー/フェールバックをサポートします。

詳細については、 複数のアカウントにわたるセキュリティ統合とネットワークポリシーの複製 をご参照ください。

トラブルシューティング¶

• Azure AD がSnowflakeに更新を送信していることを確認するには、SnowflakeアプリケーションのAzure AD のログイベントとSnowflakeの SCIM 監査ログを確認して、SnowflakeがAzure ADから更新を受信していることを確認します。次の SQL を使用して、Snowflake SCIM 監査ログをクエリします。ここで、 demo_db はデータベースの名前です。

  use role accountadmin;
  use database demo_db;
  use schema information_schema;
  select * from table(rest_event_history('scim'));
  select *
      from table(rest_event_history(
          'scim',
          dateadd('minutes',-5,current_timestamp()),
          current_timestamp(),
          200))
      order by event_timestamp;
  

  Copy

• ユーザーの更新が失敗した場合は、Snowflakeでユーザーの所有権を確認してください。 aad_provisioner ロール（またはSnowflakeでセキュリティ統合を作成するときに run_as_role パラメーターで設定されたロール）が所有していない場合は、更新に失敗します。Snowflakeで次の SQL ステートメントを実行して所有権を譲渡し、再試行してください。

  grant ownership on user <username> to role AAD_PROVISIONER;
  

  Copy

• 最初の SCIM プロビジョニングの後に、Azure AD の UPN 属性値 に変更がある場合、その後のユーザーの更新は機能しません。 UPN 属性値を変更すると、Azure AD ユーザーオブジェクトとSnowflakeユーザーオブジェクト間のリンクが壊れます。UPN 属性値に変更が発生した場合、正しい UPN 属性値でユーザーを再プロビジョニングします。

次のトピック：

• SCIM API リクエストの実行