多要素認証（MFA）¶

MFA トークンキャッシングを使用して認証中のプロンプトの数を最小限に抑える --- オプション¶

MFA トークンキャッシングは、Snowflakeへの接続および認証中に確認する必要のあるプロンプトの数を減らすのに役立ちます。特に、比較的短い時間間隔内に複数の接続が試行された場合に役立ちます。

キャッシュされた MFA トークンは最大4時間有効です。

次の条件のいずれかが満たされた場合、キャッシュされた MFA トークンは無効です。

1. アカウントの ALLOW_CLIENT_MFA_CACHING パラメーターは FALSE に設定されます。

2. 認証方法が変わります。

3. 認証情報が変更されます（つまり、ユーザー名やパスワード）。

4. 認証情報が無効です。

5. キャッシュされたトークンの有効期限が切れているか、暗号が無効です。

6. キャッシュされたトークンに関連付けられているアカウント名が変更されます。

Snowflakeが MFA トークンをキャッシュするために使用する全体的なプロセスは、ブラウザーベースのフェデレーション シングルサインオン の接続トークンをキャッシュするために使用されるプロセスと似ています。クライアントアプリケーションは、 MFA トークンをクライアント側オペレーティングシステムのキーストアに保存します。ユーザーは、キャッシュされた MFA トークンをキーストアからいつでも削除できます。

Snowflakeは、 macOS およびWindows上で、以下のドライバー、コネクタ、ツールを使用した MFA トークンキャッシュをサポートしています。この機能はLinuxではサポートされていません。

• Snowflake CLI バージョン3.0（またはそれ以降）

• ODBC ドライバーバージョン2.23.0（またはそれ以降）。

• JDBC ドライバーバージョン3.12.16（またはそれ以降）。

• Snowflakeバージョン2.3.7（またはそれ以降）用のPythonコネクタ。

MFA トークンのキャッシュを有効にする前に、内部のセキュリティおよびコンプライアンス担当者に相談することをお勧めします。

MFA トークンのキャッシュを有効にするには、次のステップを実行します。

1. アカウント管理者（つまり、 ACCOUNTADMIN システムロールを持つユーザー）として ALTER ACCOUNT コマンドを使用し、アカウントの ALLOW_CLIENT_MFA_CACHING パラメーターを true に設定します。

   ALTER ACCOUNT SET ALLOW_CLIENT_MFA_CACHING = TRUE;
   

   Copy

2. クライアント接続文字列で、認証コードの値を authenticator = username_password_mfa に更新します。

3. ドライバーまたはコネクタに必要なパッケージまたはライブラリを追加します。

   • Python用Snowflakeコネクタを使用している場合は、次のコマンドを実行してオプションのキーリングパッケージをインストールします。

     pip install "snowflake-connector-python[secure-local-storage]"
     

     Copy

     コマンドに表示されているように、角括弧（[ および ]）を入力する必要があります。角括弧は、インストールする必要がある パッケージの追加部分 を指定します。

     角括弧がワイルドカードとして解釈されないようにするには、示されているようにパッケージ名を引用符で囲みます。

     他の追加機能をインストールする必要がある場合（たとえば、 Pandas用Pythonコネクタ APIs を使用 する場合は pandas）は、追加機能の間にコンマを使用します。

     pip install "snowflake-connector-python[secure-local-storage,pandas]"
     

     Copy

   • Snowflake JDBC ドライバーについては、 JNA クラスをクラスパスに追加します。 をご参照ください。

MFA トークンのキャッシュを無効にするには、 ALLOW_CLIENT_MFA_CACHING パラメーターの設定を解除します。

ALTER ACCOUNT UNSET ALLOW_CLIENT_MFA_CACHING;

ログインに多要素認証として MFA トークンキャッシングを使用しているすべてのユーザーを見つけるには、アカウント管理者（ACCOUNTADMIN ロールを持つユーザー）として次の SQL ステートメントを実行します。

SELECT EVENT_TIMESTAMP,
       USER_NAME,
       IS_SUCCESS
  FROM SNOWFLAKE.ACCOUNT_USAGE.LOGIN_HISTORY
  WHERE SECOND_AUTHENTICATION_FACTOR = 'MFA_TOKEN';

Snowsight での MFA の使用¶

MFA で Snowsight に直接サインインするには、

1. Snowsightにサインインします。

2. 認証情報（ユーザーログイン名とパスワード）を入力します。

3. Duo Pushが有効になっている場合は、通知方法を選択できます。 Send Me a Push を選択すると、プッシュ通知がDuo Mobileアプリケーションに送信されます。通知を受け取ったら、 Approve を選択してSnowflakeにログインします。

   

   上記のように、プッシュ通知を使用する代わりに次も選択できます。

   • Call Me を選択して、登録済みのモバイルデバイスへの通話からログイン手順を受け取ります。

   • Duo Mobileアプリケーションによって提供されるパスコードを手動で入力して、 Enter a Passcode を選択してログインします。

Classic Console ウェブインターフェイスと MFA の併用¶

Classic Console に MFA でログインします。

1. ブラウザーで アカウント の URL をポイントします。例: https://myorg-account1.snowflakecomputing.com。

2. 認証情報（ユーザーログイン名とパスワード）を入力します。

3. Duo Pushが有効化されている場合は、プッシュ通知がDuo Mobileアプリケーションに送信されます。通知を受け取ったら、 Approve を選択してSnowflakeにログインします。

   

   上記のスクリーンショットに示すように、プッシュ通知を使用する代わりに次も選択できます。

   • Call Me を選択して、登録済みのモバイルデバイスへの通話からログイン手順を受け取ります。

   • Duo Mobileアプリケーションによって提供されるパスコードを手動で入力して、 Enter a Passcode を選択してログインします。

MFA と SnowSQL の併用¶

MFA を使用して、SnowSQL を介してSnowflakeに接続できます。デフォルトでは、ユーザーが MFA に登録されると、Duo Push認証メカニズムが使用されます。

プッシュメカニズムの代わりにDuoが生成したパスコードを使用するには、ログインパラメーターに次の接続オプションのいずれかを含める必要があります。

--mfa-passcode <文字列> OR --mfa-passcode-in-password

詳細については、 SnowSQL （CLI クライアント） をご参照ください。

JDBC と MFA の併用¶

MFA を使用して、Snowflake JDBC ドライバーを介してSnowflakeに接続できます。デフォルトでは、ユーザーが MFA に登録されると、Duo Push認証メカニズムが使用されます。 JDBC 接続文字列を変更する必要はありません。

プッシュメカニズムの代わりにDuoが生成したパスコードを使用するには、次のパラメーターのいずれかを JDBC 接続文字列に含める必要があります。

passcode=<パスコード文字列> OR passcodeInPassword=on

条件:

• passcode_string は、接続中のユーザーに対してDuoが生成したパスコードです。これは、Duo Mobileアプリケーションによって生成されたパスコードまたは SMS パスコードのいずれかになります。

• passcodeInPassword=on の場合、パスワードとパスコードは <パスワード文字列><パスコード文字列> の形式で連結されます。

詳細については、 JDBCドライバー をご参照ください。

Node.jsでの MFA の使用¶

MFA は、Snowflake Node.jsドライバーを介してSnowflakeに接続するために使用できます。デフォルトでは、ユーザーが MFA に登録されると、Duo Push認証メカニズムが使用されます。

プッシュメカニズムの代わりにDuoが生成したパスコードを使用するには、ログインパラメーターに次の接続オプションのいずれかを含める必要があります。どちらの例も、abc123 のパスワードと、987654 の MFA パスコードを使い、設定を示しています。

• passcodeInPassword オプションを:codenowrap:true に設定し、以下のようにパスワード文字列の一部としてパスコードを含めます。

  authenticator: 'USERNAME_PASSWORD_MFA',
  password: "abc123987654", // passcode 987654 is part of the password
  passcodeInPassword: true  // because passcodeInPassword is true
  

  Copy

• passcode オプションをパスコードの値に設定し、以下のようにパスワードとパスコードを別々に指定します。

  authenticator: 'USERNAME_PASSWORD_MFA',
  password: "abc123", // password and MFA passcode are input separately
  passcode: "987654"
  

  Copy

  この方法を使うには、passcodeInPassword オプションが:codenowrap:false （デフォルト値）になっていることを確認してください。codenowrap:passcodeInPassword が true に設定され、パスコード も設定されている場合、passcodeInPassword の設定が優先され、ドライバーは認証時に、パスワード フィールドにパスワードと MFA パスコードの両方が含まれているとみなします。

詳細については、 MFA パスコードを使用する をご参照ください。

ODBC で MFA を使用¶

MFA を使用して、Snowflake ODBC ドライバーを介してSnowflakeに接続できます。デフォルトでは、ユーザーが MFA に登録されると、Duo Push認証メカニズムが使用されます。 ODBC 設定を変更する必要はありません。

プッシュメカニズムの代わりにDuoが生成したパスコードを使用するには、ドライバーに次のパラメーターのいずれかを指定する必要があります。

passcode=<パスコード文字列> OR passcodeInPassword=on

条件:

• passcode_string は、接続中のユーザーに対してDuoが生成したパスコードです。これは、Duo Mobileアプリケーションによって生成されたパスコードまたは SMS パスコードのいずれかになります。

• passcodeInPassword=on の場合、パスワードとパスコードは <パスワード文字列><パスコード文字列> の形式で連結されます。

詳細については、 ODBCドライバー をご参照ください。

Pythonと MFA の併用¶

MFA を使用して、Snowflake Python Connectorを介してSnowflakeに接続できます。デフォルトでは、ユーザーが MFA に登録されると、Duo Push認証メカニズムが使用されます。 Python API 呼び出しを変更する必要はありません。

プッシュメカニズムの代わりにDuoで生成されたパスコードを使用するには、connect（）メソッドでドライバーに次のパラメーターのいずれかを指定する必要があります。

passcode=<パスコード文字列> OR passcode_in_password=True

条件:

• passcode_string は、接続中のユーザーに対してDuoが生成したパスコードです。これは、Duo Mobileアプリケーションによって生成されたパスコードまたは SMS パスコードのいずれかになります。

• passcode_in_password=True の場合、パスワードとパスコードは <パスワード文字列><パスコード文字列> の形式で連結されます。

詳細については、Pythonコネクタ API ドキュメントの 関数 セクションにあるconnect()メソッドの説明をご参照ください。