AWS PrivateLink 및 Snowflake¶

AWS PrivateLink란 무엇입니까?¶

AWS PrivateLink 는 공용 인터넷을 트래버스하지 않고 AWS VPC와 Snowflake VPC 사이에서 직접 보안 연결을 할 수 있도록 비공개 VPC 엔드포인트를 생성하는 AWS 서비스입니다. 연결은 동일한 AWS 리전의 AWS VPC를 위한 것입니다.

외부 함수 쓰기 의 경우 비공개 엔드포인트 와 함께 AWS PrivateLink를 사용할 수도 있습니다.

또한, 온프레미스 환경(예: 비호스팅형 데이터 센터)이 있는 경우에는 AWS PrivateLink와 함께 AWS Direct Connect 를 사용하여 단일 개인 네트워크의 모든 가상 및 실제 환경을 연결할 수 있습니다.

AWS PrivateLink 활성화¶

Snowflake 계정의 AWS PrivateLink를 활성화하려면 다음 단계를 완료하십시오.

1. 명령줄 환경에서 다음 AWS CLI STS 명령을 실행하고 출력을 저장합니다. 출력은 다음 단계에서 federated_token 인자의 값으로 사용됩니다.

   aws sts get-federation-token --name sam
   

   Copy

   get-federation-token 에는 AWS 또는 AWS 계정 루트 사용자의 ID 및 액세스 관리 사용자가 필요합니다. 자세한 내용은 AWS 설명서 를 참조하십시오.

   "FederatedUserId" 값에서 12자리 숫자를 추출합니다(잘림). 예를 들어 토큰에 다음이 포함된 경우:

   {
      ...
      "FederatedUser": {
          "FederatedUserId": "185...:sam",
          "Arn": "arn:aws:sts::185...:federated-user/sam"
      },
      "PackedPolicySize": 0
    }
   

   Copy

   185... 를 추출합니다. 이 12자리 숫자는 다음 단계에서 aws_id 의 값이 됩니다.

2. Snowflake 계정 관리자(즉, ACCOUNTADMIN 시스템 역할을 가진 사용자)로서, SYSTEM$AUTHORIZE_PRIVATELINK 함수를 호출하여 Snowflake 계정에 대해 AWS PrivateLink를 인증(즉, 활성화)합니다.

   select SYSTEM$AUTHORIZE_PRIVATELINK ( '<aws_id>' , '<federated_token>' );
   

   Copy

   여기서

   • 'aws_id'

     AWS(Amazon Web Services) 계정을 문자열로 고유하게 식별하는 12자리 식별자입니다.

   • 'federated_token'

     페더레이션 사용자에 대한 액세스 자격 증명을 문자열로 포함하는 페더레이션 토큰 값입니다.

   예:

   use role accountadmin;
   
   select SYSTEM$AUTHORIZE_PRIVATELINK (
       '185...',
       '{
          "Credentials": {
              "AccessKeyId": "ASI...",
              "SecretAccessKey": "enw...",
              "SessionToken": "Fwo...",
              "Expiration": "2021-01-07T19:06:23+00:00"
          },
          "FederatedUser": {
              "FederatedUserId": "185...:sam",
              "Arn": "arn:aws:sts::185...:federated-user/sam"
          },
          "PackedPolicySize": 0
       }'
     );
   

   Copy

인증된 구성을 확인하려면 AWS의 Snowflake 계정에서 SYSTEM$GET_PRIVATELINK 함수를 호출하십시오. 이 함수는 Snowflake 계정을 인증하는 데 사용된 'aws_id' 및 'federated_token' 에 동일한 인자 값을 사용합니다.

Snowflake는 성공적인 인증에 대해 Account is authorized for PrivateLink. 를 반환합니다.

Snowflake 계정에서 AWS PrivateLink 를 비활성화 해야 하는 경우 'aws-id' 및 'federated_token' 에 동일한 인자 값을 사용하여 SYSTEM$REVOKE_PRIVATELINK 함수를 호출하십시오.

AWS VPC 환경 구성하기¶

Snowflake에 연결하기¶

Snowflake에 연결하기 전에 선택 사항 으로 SnowCD(Snowflake 연결 진단 도구)를 사용하여 Snowflake와 AWS PrivateLink의 네트워크 연결을 평가할 수 있습니다.

자세한 내용은 SnowCD 및 SYSTEM$ALLOWLIST_PRIVATELINK 를 참조하십시오.

그렇지 않으면 비공개 연결 계정 URL 로 Snowflake에 연결합니다.

AWS PrivateLink를 통해 Snowsight에 연결하려면 Snowsight 설명서 의 지침을 따르십시오.

공용 액세스 차단하기 — 선택 사항¶

AWS PrivateLink를 사용하여 Snowflake에 대한 비공개 연결을 테스트한 후 Snowflake에 대한 공개 액세스를 선택적으로 차단할 수 있습니다. 즉, 사용자가 Snowflake 네트워크 정책에 지정된 특정 CIDR 블록 범위 내의 IP 주소에서 연결 요청이 시작되는 경우에만 Snowflake에 액세스할 수 있다는 뜻입니다.

네트워크 정책을 사용하여 공용 액세스를 차단하려면:

1. 새 네트워크 정책을 생성하거나 기존 네트워크 정책을 수정합니다. 조직에서 사용할 CIDR 블록 범위를 추가합니다.

2. 사용자 계정에서 네트워크 정책을 사용하도록 설정합니다.

자세한 내용은 네트워크 정책으로 네트워크 트래픽 제어하기 섹션을 참조하십시오.

Snowflake 클라이언트 구성하기¶

AWS PrivateLink에서 SSO 사용하기¶

Snowflake는 AWS PrivateLink에서 SSO를 사용하도록 지원합니다. 자세한 내용은 다음을 참조하십시오.

• 비공개 연결을 사용하는 SSO

• 파트너 애플리케이션

AWS PrivateLink에서 클라이언트 리디렉션 사용하기¶

Snowflake는 AWS PrivateLink에서 클라이언트 리디렉션 사용을 지원합니다.

자세한 내용은 클라이언트 연결 리디렉션하기 섹션을 참조하십시오.

비공개 연결로 복제 및 Tri-Secret Secure 사용하기¶

Snowflake는 대상 계정에서 Tri-Secret Secure 또는 이 기능을 활성화하는지에 관계없이 원본 계정에서 대상 계정으로 데이터 복제를 지원합니다.

자세한 내용은 데이터베이스 복제 및 암호화 섹션을 참조하십시오.

문제 해결¶

다음 Snowflake 커뮤니티 문서를 참고하십시오.

• PrivateLink 셀프 서비스를 위해 AWS에서 페더레이션 토큰을 검색하는 방법

• FAQ: AWS 를 사용한 PrivateLink 셀프 서비스

• 문제 해결: AWS PrivateLink를 위한 Snowflake 셀프 서비스 기능