페더레이션 인증 관리하기/사용하기¶

브라우저 기반 SSO의 작동 방법¶

클라이언트 애플리케이션이 브라우저 기반 SSO를 사용하도록 구성된 경우, 애플리케이션은 다음 워크플로를 사용하여 사용자 인증을 수행합니다.

1. 애플리케이션은 사용자의 운영 체제에서 기본 웹 브라우저를 실행하거나 새 브라우저 탭/창을 열어 IdP의 인증 페이지를 표시합니다.

2. 사용자는 IdP 자격 증명(사용자 이름 및 비밀번호)을 입력합니다.

3. 사용자가 Snowflake에 MFA(다단계 인증)를 등록한 경우에는 MFA 암호(다른 디바이스에서 전송됨)를 입력하거나 인증(다른 디바이스에서)을 확인하라는 메시지가 표시됩니다.

4. IdP에서 사용자 자격 증명의 인증이 완료되면 브라우저에 성공 메시지가 표시됩니다. 그러면 사용자는 브라우저 탭/창(인증 후에 열 필요 없음)을 닫고 애플리케이션으로 돌아가 시작된 Snowflake 세션을 사용할 수 있습니다.

웹 기반 SSO를 사용하기 위한 요구 사항¶

브라우저 기반 SSO의 경우, Snowflake 제공 클라이언트(예: Snowflake JDBC 드라이버)에서 사용자의 웹 브라우저를 열 수 있어야 합니다. 이러한 이유로 Snowflake 제공 클라이언트 및 이를 사용하는 클라이언트 애플리케이션을 사용자의 시스템에 설치해야 합니다. 서버에서 실행되는 코드에서 Snowflake 제공 클라이언트를 사용하지 않는 경우 브라우저 기반 SSO가 작동하지 않습니다.

브라우저 기반 SSO 설정하기¶

인증을 위해 브라우저 기반 SSO를 설정하려면, authenticator 로그인 매개 변수/옵션을 클라이언트의 externalbrowser 에 설정합니다.

연결 캐싱을 사용하여 인증 프롬프트 수 최소화하기 — 선택 사항¶

클라이언트 애플리케이션이 Snowflake에 새로 연결할 때마다 사용자에게는 인증 메시지가 표시됩니다. 이로 인해 클라이언트 애플리케이션이 여러 번 연결하면 인증 메시지가 여러 번 표시될 수 있습니다.

사용자에게 인증 메시지가 표시되는 횟수를 최소화하기 위해 계정 관리자는 연결 캐싱을 사용하도록 설정할 수 있습니다.

연결 캐싱이 활성화되면, 클라이언트 애플리케이션은 이후 연결에서 사용하기 위해 연결 토큰을 저장합니다. 보안상의 이유로 연결 토큰은 운영 체제의 키 저장소에 저장됩니다. 연결 캐싱을 사용하도록 설정하기 전, 보안 팀에 문의하여 이러한 설정이 보안 정책을 준수하는지 확인해야 합니다.

Snowflake가 연결 캐싱에서 지원하는 macOS 및 Windows(현재 이 기능은 Linux에서 지원되지 않음) 드라이버와 커넥터는 다음과 같습니다.

• Go 드라이버 버전 1.6.15 이상

• JDBC 드라이버 버전 3.12.8 이상

• ODBC 드라이버 버전 2.21.2 이상

• Python 2.2.8 이상용 Snowflake 커넥터

연결 캐싱을 사용하도록 설정하려면:

1. 계정 수준 매개 변수 ALLOW_ID_TOKEN 을 true 로 설정합니다.

   alter account set allow_id_token = true;
   

   Copy

   참고

   계정 관리자(즉, ACCOUNTADMIN 역할 사용자)만 연결 캐싱을 사용하도록 설정할 수 있습니다.

2. 드라이버 또는 커넥터에 필요한 패키지 또는 라이브러리를 추가합니다.

   • Python용 Snowflake Connector를 사용 중인 경우에는 다음을 실행하여 옵션으로 제공되는 인증 키 패키지를 설치합니다.

     pip install "snowflake-connector-python[secure-local-storage]"
     

     Copy

     명령에서와 같이 대괄호([ 및 ])를 반드시 입력해야 합니다. 대괄호는 설치해야 하는 패키지의 추가 부분 을 지정합니다.

     예시와 같이 패키지 이름 주위에 따옴표를 사용하여 대괄호가 와일드카드로 해석되지 않도록 합니다.

     다른 추가 항목(예: Pandas용 Python Connector APIs를 사용 하기 위한 pandas)을 설치해야 하는 경우에는 추가 항목 사이에 쉼표를 사용합니다.

     pip install "snowflake-connector-python[secure-local-storage,pandas]"
     

     Copy

   • Snowflake JDBC 드라이브에 대한 내용은 클래스 경로에 JNA 클래스 추가하기 를 참조하십시오.

Okta Identity Engine으로 업그레이드하기¶

기본 SSO용으로 Okta Classic에서 Okta Identity Engine으로 업그레이드할 경우 Snowflake 클라이언트 드라이버를 업데이트한 후에 업그레이드해야 합니다.

업그레이드 후 HTTP 429 오류가 발생하면 최신 클라이언트 드라이버에서 사용하는 인증 엔드포인트에서 적용하는 속도 제한에 도달했을 가능성이 큽니다. 자세한 내용은 이 항목의 HTTP 429 오류 섹션을 참조하십시오.

HTTP 429 오류¶

Okta Identity Engine은 인증 엔드포인트(/api/v1/authn)를 통해 통신해야 하는데, 현재 속도 제한은 사용자마다 5초당 20개 요청을 처리하는 수준입니다. Okta Identity Engine을 지원하기 위해 최신 Snowflake 클라이언트 드라이버는 이 인증 엔드포인트를 사용하므로 속도 제한이 적용됩니다. 이 제한으로 인해 통신할 수 없을 정도라면 Okta 지원팀에 문의하여 인증 엔드포인트의 속도 제한을 늘리십시오.

Snowflake 클라이언트 드라이버는 다음 버전에서 인증 엔드포인트로 전환했습니다.

• Go: 1.6.20

• JDBC: 3.13.22

• .NET: 2.0.20

• Node.js: 1.6.21

• ODBC: 2.25.5

• Python: 2.7.12

• SnowSQL: 1.2.24

• SQLAlchemy: 1.4.6