AWS PrivateLink 및 Snowflake¶

AWS PrivateLink: Overview¶

AWS PrivateLink is an AWS service for creating private VPC endpoints that allow direct, secure connectivity between your AWS VPCs and the Snowflake VPC without traversing the public internet. AWS PrivateLink connectivity supports VPC endpoint services and AWS VPCs that are located in the same or in different AWS regions. Cross-region connectivity for AWS PrivateLink allows you to use a custom endpoint service to connect a Snowflake account in a region that is different from your AWS VPC region. Cross-region connectivity isn’t currently supported for any platform as a service (PaaS) services, such as Amazon Simple Storage Service (Amazon S3) or key management service (KMS).

자세한 내용은 AWS 블로그 페이지, `Introducing Cross-Region Connectivity for AWS PrivateLink<https://aws.amazon.com/blogs/networking-and-content-delivery/introducing-cross-region-connectivity-for-aws-privatelink>`_를 참조하세요.

When writing external functions, you can also use AWS PrivateLink with private endpoints.

If you have an on-premises environment, such as a non-hosted data center, you can use AWS Direct Connect with AWS PrivateLink to connect all your virtual and physical environments in a single, private network.

Enable AWS PrivateLink¶

Snowflake 계정의 AWS PrivateLink를 활성화하려면 다음 단계를 완료하십시오.

1. 페더레이션 토큰을 생성한 다음, 출력을 저장합니다.

   1. To generate a token, run the AWS CLI STS command on the command line. get-federation-token requires either an identity and access management user in AWS or the AWS account root user. For details, refer to the AWS documentation.

      중요

      The federated token expires after 12 hours. If you call any of the system functions to authorize, verify, or disable your Snowflake account to use AWS PrivateLink and the token has expired, regenerate the token by running the AWS CLI STS command again.

      aws sts get-federation-token --name sam
      

      Copy

      이후 단계에서 이 명령의 출력을 SYSTEM$AUTHORIZE_PRIVATELINK 함수에 대한 federated_token 인자로 제공합니다.

   2. From your generated token, extract the value of the "FederatedUserId" field. For example, if your token contains the following values:

      {
       ...
         "FederatedUser": {
           "FederatedUserId": "185...:sam",
           "Arn": "arn:aws:sts::185...:federated-user/sam"
         },
       "PackedPolicySize": 0
      }
      

      Copy

      Extract 185.... In the next step, you provide this 12-digit number as the aws_id argument for the SYSTEM$AUTHORIZE_PRIVATELINK function.

2. Using the ACCOUNTADMIN Snowflake system role, call the SYSTEM$AUTHORIZE_PRIVATELINK function to authorize (enable) AWS PrivateLink for your Snowflake account:

   SELECT SYSTEM$AUTHORIZE_PRIVATELINK ( '<aws_id>' , '<federated_token>' );
   

   Copy

   여기서

   • 'aws_id'

     AWS(Amazon Web Services) 계정을 문자열로 고유하게 식별하는 12자리 식별자입니다.

   • 'federated_token'

     페더레이션 사용자에 대한 액세스 자격 증명을 문자열로 포함하는 페더레이션 토큰 값입니다.

   예:

   USE ROLE ACCOUNTADMIN;
   
   SELECT SYSTEM$AUTHORIZE_PRIVATELINK (
     '185...',
       '{
         "Credentials": {
           "AccessKeyId": "ASI...",
           "SecretAccessKey": "enw...",
           "SessionToken": "Fwo...",
           "Expiration": "2021-01-07T19:06:23+00:00"
         },
         "FederatedUser": {
           "FederatedUserId": "185...:sam",
           "Arn": "arn:aws:sts::185...:federated-user/sam"
         },
         "PackedPolicySize": 0
        }'
     );
   

   Copy

   To verify your configuration, call the SYSTEM$GET_PRIVATELINK function in your Snowflake account on AWS. This function uses the same argument values for 'aws_id' and 'federated_token' that were used to authorize your Snowflake account.

   SYSTEM$GET_PRIVATELINK returns Account is authorized for PrivateLink. for a successful authorization.

3. Optional: If you need to disable AWS PrivateLink in your Snowflake account, call the SYSTEM$REVOKE_PRIVATELINK function by using the same argument values for 'aws_id' and 'federated_token'.

To further harden your security posture, Snowflake recommends pinning private endpoints for your Snowflake account. For more information, see 인바운드 트래픽을 위한 비공개 연결 엔드포인트 고정하기.

Configure your AWS VPC environment¶

Snowflake에 연결하기¶

Before you connect to Snowflake, you can optionally use the Snowflake Connectivity Diagnostic tool (SnowCD) to evaluate the network connection with Snowflake and AWS PrivateLink.

자세한 내용은 SnowCD 및 SYSTEM$ALLOWLIST_PRIVATELINK 를 참조하십시오.

그렇지 않으면 비공개 연결 계정 URL 로 Snowflake에 연결합니다.

If you want to connect to Snowsight through AWS PrivateLink, follow the instructions in the Snowsight documentation.

Block public access — Recommended¶

After you test private connectivity to Snowflake by using AWS PrivateLink, you can optionally block public access to Snowflake. This means that users can access Snowflake only if their connection request originates from an IP address within a particular CIDR block range specified in a Snowflake network policy.

To block public access by using a network policy:

1. Create a new network policy or edit an existing network policy.

2. 조직에서 사용할 CIDR 블록 범위를 추가합니다.

3. 사용자 계정에서 네트워크 정책을 사용하도록 설정합니다.

For more information, see 네트워크 정책으로 네트워크 트래픽 제어하기.

Configure your Snowflake clients¶

다음 섹션에서는 특정 사용 사례에 맞게 Snowflake 클라이언트를 구성하는 방법을 설명합니다.

AWS PrivateLink에서 SSO 사용하기¶

Snowflake는 AWS PrivateLink에서 SSO를 사용하도록 지원합니다. 자세한 내용은 다음을 참조하십시오.

• 비공개 연결을 사용하는 SSO

• 파트너 애플리케이션

AWS PrivateLink에서 클라이언트 리디렉션 사용하기¶

Snowflake는 AWS PrivateLink에서 클라이언트 리디렉션 사용을 지원합니다.

자세한 내용은 클라이언트 연결 리디렉션하기 섹션을 참조하십시오.

비공개 연결과 함께 복제 및 Tri-Secret Secure 사용하기¶

Snowflake는 대상 계정에서 Tri-Secret Secure 또는 이 기능을 활성화하는지에 관계없이 원본 계정에서 대상 계정으로의 데이터 복제를 지원합니다.

문제 해결하기¶

PrivateLink에서 발생할 수 있는 문제를 해결하려면 다음 Snowflake 커뮤니티 문서를 참조하세요.

• PrivateLink 셀프 서비스를 위해 AWS에서 페더레이션 토큰을 검색하는 방법

• FAQ: AWS 를 사용한 PrivateLink 셀프 서비스

• 문제 해결: AWS PrivateLink를 위한 Snowflake 셀프 서비스 기능