Microsoft Power BI SSO로 Snowflake에 연결¶

일반 워크플로¶

다음 다이어그램은 Power BI에서 Snowflake 세션을 인스턴스화하기 위한 인증 흐름에 대한 요약을 보여줍니다.

1. 사용자는 Microsoft Azure Active Directory(Azure AD)를 사용하여 Power BI 서비스에 로그인합니다.

2. 선택적으로, Azure AD는 SAML을 통해 IdP로 사용자를 확인할 수 있습니다. 현재, Microsoft는 Power용 BI SSO용 IdP로 Azure AD만 지원합니다.

3. 사용자가 Snowflake에 연결되면 Power BI 서비스는 Snowflake에 대한 토큰을 제공하도록 Azure AD에 요청합니다.

4. Power BI 서비스에서는 포함된 Snowflake 드라이버를 사용하여 연결 문자열의 일부로 Azure AD를 Snowflake로 전송합니다.

5. Snowflake는 토큰의 유효성을 검사하고 토큰에서 사용자 이름을 추출한 후 Snowflake 사용자에게 매핑하고 사용자의 기본 역할을 사용하여 Power BI 서비스를 위한 Snowflake 세션을 생성합니다.

Power BI 보안 통합 만들기¶

Power BI를 사용하여 SSO를 통해 Snowflake 데이터에 액세스하려면 아래와 같이 CREATE SECURITY INTEGRATION 를 사용하여 Power BI용 보안 통합을 생성해야 합니다.

보안 통합의 external_oauth_issuer 매개 변수 값은 반드시 정확해야 합니다. 이 값의 일부가 Azure AD tenant로 매핑됩니다. 이 값은 Power BI tenant의 About 섹션에서 확인할 수 있습니다.

조직에서 Power BI 서비스의 고급 배포를 사용하는 경우 발급자 URL을 구성하기 위해 사용할 Azure AD tenant의 올바른 값을 얻으려면 Azure AD 관리자에게 문의하십시오.

예를 들어, Azure AD tenant ID가 a828b821-f44f-4698-85b2-3c6749302698 인 경우, AZURE_AD_ISSUER 값을 https://sts.windows.net/a828b821-f44f-4698-85b2-3c6749302698/ 과 유사하게 구성합니다. 값의 마지막에 슬래시(즉, /)를 추가하는 것이 중요합니다.

AZURE_AD_ISSUER 값을 구성한 후에는 CREATE SECURITY INTEGRATION 명령을 실행합니다.

Snowflake 계정 또는 Microsoft Power BI 서비스가 Microsoft Azure Government 클라우드 리전 에 있는 경우 external_oauth_audience_list 속성 값을 https://analysis.usgovcloudapi.net/powerbi/connector/Snowflake 로 설정합니다.

Microsoft Power BI용 보안 통합

create security integration powerbi
    type = external_oauth
    enabled = true
    external_oauth_type = azure
    external_oauth_issuer = '<AZURE_AD_ISSUER>'
    external_oauth_jws_keys_url = 'https://login.windows.net/common/discovery/keys'
    external_oauth_audience_list = ('https://analysis.windows.net/powerbi/connector/Snowflake', 'https://analysis.windows.net/powerbi/connector/snowflake')
    external_oauth_token_user_mapping_claim = 'upn'
    external_oauth_snowflake_user_mapping_attribute = 'login_name'

Copy

Microsoft Power BI용 Microsoft Azure Government 보안 통합

create security integration powerbi_mag
    type = external_oauth
    enabled = true
    external_oauth_type = azure
    external_oauth_issuer = '<AZURE_AD_ISSUER>'
    external_oauth_jws_keys_url = 'https://login.windows.net/common/discovery/keys'
    external_oauth_audience_list = ('https://analysis.usgovcloudapi.net/powerbi/connector/Snowflake', 'https://analysis.usgovcloudapi.net/powerbi/connector/snowflake')
    external_oauth_token_user_mapping_claim = 'upn'
    external_oauth_snowflake_user_mapping_attribute = 'login_name'

Copy

create security integration powerbi
    type = external_oauth
    ...
    external_oauth_snowflake_user_mapping_attribute = 'email_address';

B2B 게스트 사용자와 함께 Power BI SSO 사용하기¶

Azure AD Business to Business(즉, B2B) 게스트 사용자가 Microsoft Power BI에서 제공하는 SSO를 사용하여 Snowflake 액세스하도록 허용하려면 EXTERNAL_OAUTH_TOKEN_USER_MAPPING_CLAIM 속성 값을 'unique_name' 으로 설정합니다. 예:

create security integration powerbi
  type = external_oauth
  enabled = true
  external_oauth_type = azure
  external_oauth_issuer = '<AZURE_AD_ISSUER>'
  external_oauth_jws_keys_url = 'https://login.windows.net/common/discovery/keys'
  external_oauth_audience_list = ('https://analysis.windows.net/powerbi/connector/Snowflake', 'https://analysis.windows.net/powerbi/connector/snowflake')
  external_oauth_token_user_mapping_claim = 'unique_name'
  external_oauth_snowflake_user_mapping_attribute = 'login_name';

Copy

자세한 내용은 B2B 사용자 이해 를 참조하십시오.

외부 OAuth 보안 통합 수정하기¶

외부 OAuth 보안 통합은 보안 통합에서 ALTER 문을 실행하여 업데이트할 수 있습니다.

자세한 내용은 ALTER SECURITY INTEGRATION(External OAuth) 섹션을 참조하십시오.

Power BI SSO가 포함된 보조 역할을 Snowflake에서 사용하기¶

기본 역할에 대해 원하는 범위가 외부 토큰으로 전달됩니다. 이 역할은 사용자의 사용자에게 부여된 특정 역할(session:role:<역할_이름>)입니다.

기본적으로, 세션에서 사용자(즉, DEFAULT_SECONDARY_ROLES 사용자 속성)에 대한 기본 보조 역할 은 활성화되지 않습니다.

세션에서 사용자의 기본 보조 역할을 활성화하고 External OAuth를 사용하는 동안 USE SECONDARY ROLES 명령의 실행을 허용하려면 이 단계를 완료하십시오.

1. 연결을 위한 보안 통합을 구성합니다. (CREATE SECURITY INTEGRATION을 사용하여) 보안 통합을 만들 때나 나중에 (ALTER SECURITY INTEGRATION을 사용하여) EXTERNAL_OAUTH_ANY_ROLE_MODE 매개 변수 값을 ENABLE 또는 ENABLE_FOR_PRIVILEGE로 설정합니다.

Power BI SSO가 포함된 클라이언트 리디렉션을 Snowflake에서 사용하기¶

Snowflake는 Power BI SSO가 포함된 클라이언트 리디렉션을 Snowflake에서 사용하도록 지원합니다.

자세한 내용은 클라이언트 연결 리디렉션하기 섹션을 참조하십시오.

외부 BI SSO로 복제 사용하기¶

Snowflake는 원본 계정에서 대상 계정으로의 외부 OAuth 보안 통합의 복제 및 장애 조치/장애 복구를 지원합니다.

자세한 내용은 여러 계정에 보안 통합 및 네트워크 정책 복제 섹션을 참조하십시오.

Power BI에서 Snowflake에 연결하기¶

Power BI에서 Snowflake로 연결하는 방법에 대한 자세한 내용은 Power BI 설명서를 참조하십시오.

• Power BI Desktop 설명서

• Power BI Service 설명서

External OAuth가 포함된 네트워크 정책 사용하기¶

현재는 네트워크 정책을 External OAuth 보안 통합에 추가할 수 없는데, 이는 곧 Power BI 통합에만 적용되는 네트워크 정책을 정의할 수는 없다는 뜻입니다. 하지만 전체 Snowflake 계정에 광범위하게 적용되는 네트워크 정책을 계속 구현할 수 있습니다. 네트워크 정책에 포함해야 하는 Microsoft IP 범위에 대한 자세한 내용은 이 항목의 필수 구성 요소 섹션을 참조하십시오.

오류 메시지¶

다음 테이블을 사용자가 Power BI에서 인증할 때 Snowflake가 반환하는 오류 메시지에 대한 설명을 제공합니다.

로그인 내역¶

사용자가 Power BI에 액세스할 수 있지만 Snowflake 세션을 인스턴스화할 수 없는 경우 지원되는 커넥터 또는 Snowflake 웹 인터페이스를 사용해 다음 명령을 실행하여 사용자가 마지막으로 Snowflake에 액세스한 시간을 결정할 수 있습니다. 성공한 인증만 기록됨에 유의하십시오.

use role accountadmin;
select *
from table(information_schema.login_history(dateadd('hours',-1,current_timestamp()),current_timestamp()))
order by event_timestamp;

각 결과에서 USER_NAME 및 FIRST_AUTHENTICATION_FACTOR 열을 평가합니다.

• USER_NAME 값은 전제 조건 섹션에 설명된 속성 매핑과 일치해야 합니다.

• FIRST_AUTHENTICATION_FACTOR 는 OAUTH_ACCESS_TOKEN 으로 설정되어야 합니다.