외부 OAuth용 Okta 구성¶

Snowflake에서 사용하기 위한 OAuth 호환 클라이언트 만들기¶

1. Okta 관리 콘솔로 이동합니다.

2. Applications 를 클릭합니다.

3. Add Application 을 클릭합니다.

4. Create New App 을 클릭합니다.

   • Platform 에서 Native App 을 선택합니다.

5. Create 를 클릭합니다.

6. 애플리케이션의 이름을 입력합니다.

7. Login redirect URIs 상자에 전체 Snowflake 계정 URL(즉, https://<계정_식별자>.snowflakecomputing.com)을 추가합니다. 가능한 URL 형식의 목록은 URL을 사용하여 연결하기 섹션을 참조하십시오.

8. Save 를 클릭합니다.

9. General 인터페이스의 New Applications 에서 Edit 을 클릭합니다.

10. Refresh Token 및 Resource Owner Password 를 확인합니다.

11. Save 를 클릭합니다.

12. Client Credentials 옆의 Edit 버튼을 클릭합니다.

13. Use Client Authentication 옵션을 선택합니다.

14. Save 를 클릭합니다.

15. Client Credentials 컨테이너에서 ClientID 및 Secret 을 저장합니다. 이러한 두 값은 다음 단계에서 각각 <OAUTH_CLIENT_ID> 및 <OAUTH_CLIENT_SECRET> 이라고 부릅니다.

OAuth 인증 서버 만들기¶

1. Okta 관리 콘솔로 이동합니다.

2. Security 메뉴에서 API 를 클릭합니다.

3. Authorization Servers 를 클릭합니다.

4. Add Authorization Server 를 클릭합니다.

5. 이름을 입력합니다.

6. Snowflake 계정 URL을 Audience 값으로 입력합니다. 가능한 URL 형식의 목록은 URL을 사용하여 연결하기 섹션을 참조하십시오.

7. Save 를 클릭합니다.

새로 추가된 인증 서버에서 다음 단계를 완료합니다.

1. Issuer 값을 복사합니다. 형식은 https://dev-390798.oktapreview.com/oauth2/auslh9j9vf9ej7NfT0h7 과 같아야 합니다. 다음 단계에서는 이 값을 <OKTA_ISSUER> 라고 부릅니다.

2. Scopes 를 클릭합니다.

3. Add Scope 를 클릭합니다.

4. Snowflake 역할을 범위로 추가하려면 Snowflake 역할 이름에 session:role: 접두사를 추가하여 범위를 입력합니다(예: Snowflake Analyst 역할의 경우 session:role:analyst 입력).

5. Create 를 클릭합니다.

6. Access Policies 를 클릭합니다.

7. Add Policy 를 클릭합니다.

8. 정책의 이름과 설명을 입력합니다. 이전에 생성한 클라이언트에 연결하고 Create 를 클릭합니다.

9. 새로 추가한 액세스 정책에서 Add Rule 를 클릭합니다.

10. 규칙 이름을 입력합니다.

11. 승인된 Grant Types 을 선택합니다. 조직의 정책과 일치하는 기타 항목과 함께 Resource Owner Password 및 Client Credentials 을 선택해야 합니다.

12. 범위에 대하여 범위를 선택하거나 이 정책에 할당된 클라이언트가 요청할 수 있는 이전에 생성한 원하는 범위를 선택할 수 있습니다(필요한 경우 새로 고침 토큰에 대한 오프라인_액세스 포함). 필요한 경우 추가 설정을 구성합니다.

13. Create Rule 을 클릭합니다.

Okta 정보 수집하기¶

1. Okta 관리 콘솔로 이동합니다.

2. Security 메뉴에서 API 를 클릭합니다.

3. Authorization Servers 를 클릭합니다.

4. Snowflake 리소스를 위한 인증 서버를 클릭합니다.

5. Settings 탭에서 Issuer 값을 복사합니다. 다음 단계에서는 이 값을 <OKTA_ISSUER> 라고 부릅니다. 형식은 https://dev-111111.oktapreview.com/oauth2/auslh9j9vf9ej7NfT0h7 과 같아야 합니다.

Metadata 문서에서:

1. Metadata URI 값을 복사하고 브라우저 탭을 연 후 주소 표시줄에 URL을 붙여넣습니다.

2. 브라우저에 JSON 텍스트가 표시되어야 합니다. 이 텍스트와 관련한 작업은 텍스트 편집기 또는 브라우저 자체에서 수행할 수 있습니다.

3. "jwks_uri" 매개 변수를 찾아 값을 복사합니다. 형식은 https://dev-111111.oktapreview.com/oauth2/auslh9j9vf9ej7NfT0h7/v1/keys 과 같아야 합니다. 다음 단계에서는 이 엔드포인트를 <OKTA_JWS_KEY_ENDPOINT> 라고 부릅니다.

4. "token_endpoint" 매개 변수를 찾아 값을 복사합니다. 형식은 https://dev-111111.oktapreview.com/oauth2/auslh9j9vf9ej7NfT0h7/v1/token 과 같아야 합니다. 다음 단계에서는 이 엔드포인트를 <OKTA_OAUTH_TOKEN_ENDPOINT> 라고 부릅니다.

Okta용 보안 통합 만들기¶

이 단계에서는 Snowflake에서 보안 통합을 생성합니다. 보안 통합을 사용하면 Snowflake가 Okta와 안전하게 통신하고 Okta에서 제공되는 토큰의 유효성을 검사할 수 있으며 OAuth 토큰과 연결된 사용자 역할을 기준으로 사용자에 대한 적절한 Snowflake 데이터 액세스를 제공할 수 있습니다.

자세한 내용은 CREATE SECURITY INTEGRATION 을 참조하십시오.

대상 그룹과의 보안 통합 만들기

보안 통합의 external_oauth_audience_list 매개 변수는 Okta를 구성하는 동안 지정한 Audience 와 일치해야 합니다.

create security integration external_oauth_okta_2
    type = external_oauth
    enabled = true
    external_oauth_type = okta
    external_oauth_issuer = '<OKTA_ISSUER>'
    external_oauth_jws_keys_url = '<OKTA_JWS_KEY_ENDPOINT>'
    external_oauth_audience_list = ('<snowflake_account_url')
    external_oauth_token_user_mapping_claim = 'sub'
    external_oauth_snowflake_user_mapping_attribute = 'login_name';

Copy

외부 OAuth 보안 통합 수정하기¶

외부 OAuth 보안 통합은 보안 통합에서 ALTER 문을 실행하여 업데이트할 수 있습니다.

자세한 내용은 ALTER SECURITY INTEGRATION(External OAuth) 섹션을 참조하십시오.

External OAuth가 포함된 ANY 역할 사용하기¶

Snowflake에서 보안 통합을 생성하기 위한 구성 단계에서 OAuth 액세스 토큰에는 범위 정의가 포함됩니다. 그러므로 런타임 시점에 외부 OAuth 보안 통합을 사용하면 OAuth 클라이언트와 사용자 모두 OAuth 액세스 토큰에 정의되지 않은 역할을 사용할 수 없습니다.

액세스 토큰의 유효성을 검사하고 세션을 생성한 후 ANY 역할은 OAuth 클라이언트 및 사용자가 자체 역할을 결정하는 것을 허용합니다. 필요한 경우 클라이언트 또는 사용자는 OAuth 액세스 토큰에 정의된 역할과 다른 역할로 전환할 수 있습니다.

ANY 역할을 구성하려면 범위를 SESSION:ROLE-ANY 로 정의하고 external_oauth_any_role_mode 매개 변수를 사용하여 보안 통합을 구성합니다. 이 매개 변수에서 사용할 수 있는 3가지 문자열 값은 다음과 같습니다.

• DISABLE 로 지정하면 OAuth 클라이언트 또는 사용자가 역할(즉, use role <역할>;)을 전환할 수 없습니다. 기본값입니다.

• ENABLE 로 지정하면 OAuth 클라이언트 또는 사용자가 역할을 전환할 수 있습니다.

• ENABLE_FOR_PRIVILEGE 로 지정하면 OAuth 클라이언트 또는 사용자가 USE_ANY_ROLE 권한을 가진 클라이언트 또는 사용자에 대해서만 역할을 전환할 수 있습니다. 사용자가 사용할 수 있는 1개 이상의 역할에 이 권한을 부여하고 취소할 수 있습니다. 예:

  grant USE_ANY_ROLE on integration external_oauth_1 to role1;
  

  Copy

  revoke USE_ANY_ROLE on integration external_oauth_1 from role1;
  

  Copy

보안 통합을 다음과 같이 정의합니다.

create security integration external_oauth_1
    type = external_oauth
    enabled = true
    external_oauth_any_role_mode = 'ENABLE'
    ...

External OAuth가 포함된 보조 역할 사용하기¶

기본 역할에 대해 원하는 범위가 외부 토큰으로 전달되는데, 사용자의 기본 역할(session:role-any) 또는 사용자에게 부여된 특정 역할(session:role:<역할_이름>)입니다.

기본적으로 Snowflake는 세션에서 사용자(즉, DEFAULT_SECONDARY_ROLES)에 대한 기본 보조 역할 을 활성화하지 않습니다.

세션에서 사용자의 기본 보조 역할을 활성화하고 External OAuth를 사용하는 동안 USE SECONDARY ROLES 명령의 실행을 허용하려면 다음 단계를 완료하십시오.

1. 연결을 위한 보안 통합을 구성합니다. (CREATE SECURITY INTEGRATION을 사용하여) 보안 통합을 만들 때나 나중에 (ALTER SECURITY INTEGRATION을 사용하여) EXTERNAL_OAUTH_ANY_ROLE_MODE 매개 변수 값을 ENABLE 또는 ENABLE_FOR_PRIVILEGE로 설정합니다.

2. 토큰의 범위 속성에서 session:role-any 의 정적 값을 전달하도록 인증 서버를 구성합니다. 범위 매개 변수에 대한 자세한 내용은 External OAuth 개요 섹션을 참조하십시오.

External OAuth에서 클라이언트 리디렉션 사용하기¶

Snowflake는 지원되는 Snowflake 클라이언트에서 클라이언트 리디렉션과 OAuth 사용을 포함하여, External OAuth에서의 클라이언트 리디렉션 사용을 지원합니다.

자세한 내용은 클라이언트 연결 리디렉션하기 섹션을 참조하십시오.

External OAuth가 포함된 네트워크 정책 사용하기¶

현재는 네트워크 정책을 외부 OAuth 보안 통합에 추가할 수 없습니다. 하지만 전체 Snowflake 계정에 광범위하게 적용되는 네트워크 정책을 계속 구현할 수 있습니다.

사용 사례에서 OAuth 보안 통합과 관련된 네트워크 정책이 필요한 경우 Snowflake OAuth 를 사용하십시오. 이 접근 방식을 사용하면 Snowflake OAuth 네트워크 정책을 Snowflake 계정에 적용될 수 있는 다른 네트워크 정책과 구분할 수 있습니다.

자세한 내용은 네트워크 정책 섹션을 참조하십시오.

External OAuth로 복제 사용하기¶

Snowflake는 원본 계정에서 대상 계정으로의 외부 OAuth 보안 통합의 복제 및 장애 조치/장애 복구를 지원합니다.

자세한 내용은 여러 계정에 보안 통합 및 네트워크 정책 복제 섹션을 참조하십시오.