Snowflake와 Azure SCIM 통합¶

기능¶

• 자동 Azure AD 사용자 프로비저닝을 Snowflake로 프로비저닝.

• 자동 Azure AD 그룹을 Snowflake로 프로비저닝.

• Azure AD 사용자 및 그룹과 Snowflake 동기화.

• Snowflake에 대한 SAML SSO 용으로 Azure AD가 구성된 경우 Snowflake에 프로비저닝된 Azure AD 사용자는 SAML SSO를 사용하여 Snowflake에 액세스할 수 있습니다.

  참고

  기본적으로 SCIM을 사용하여 Snowflake에 프로비저닝된 Azure AD 사용자에는 Snowflake가 비밀번호를 할당하지 않습니다. 즉, Azure AD에 SAML SSO가 구성된 경우 사용자는 SSO를 사용하여 Snowflake에 인증해야 합니다.

  SCIM을 사용하여 Azure AD에서 Snowflake로 사용자 및 그룹을 프로비저닝하는 경우에는 SAML SSO가 필요하지 않습니다. 자세한 옵션은 Azure AD SSO(single sign-on) 구성 을 참조하십시오.

전제 조건¶

SCIM을 사용하여 Azure AD 사용자 및 그룹을 Snowflake로 프로비저닝하기 전 확인해야 하는 사항은 다음과 같습니다.

1. 기존 Azure AD tenant.

2. 기존 Snowflake tenant.

   • Microsoft에서 구성 프로세스를 진행하는 중에 Snowflake SCIM 엔드포인트의 URL(즉, Microsoft Azure Active Directory SCIM 구성 가이드의 Tenant URL)을 입력해야 합니다. Snowflake SCIM 엔드포인트는 /scim/v2/ 가 추가된 Snowflake 계정 URL로 구성됩니다. 예를 들어, 계정 이름 URL 형식을 사용하는 경우 SCIM 엔드포인트는 https://myorg-myaccount.snowflakecomputing.com/scim/v2/ 입니다. Snowflake 계정 URL에 대해 지원되는 형식의 목록은 URL을 사용하여 연결하기 섹션을 참조하십시오.

3. Snowflake에서 ACCOUNTADMIN 역할이 부여된 사용자 1명 이상

4. 계정과 관련된 사용자 또는 그룹을 프로비저닝하기 전, Snowflake의 네트워크 정책 에서 공용 클라우드 또는 US 공공 클라우드 에 대한 모든 Azure AD IP 주소에서 액세스가 허용되는지 확인합니다. 현재 Azure SCIM 네트워크 정책을 생성하려면 모든 Azure AD IP 주소가 필요합니다. 자세한 내용은 SCIM 네트워크 정책 관리하기 를 참조하십시오.

구성¶

Snowflake 구성 프로세스는 SCIM 보안 통합을 생성하여 Snowflake의 AAD_PROVISIONER SCIM 역할이 Azure AD에 생성된 사용자 및 역할을 소유하고 SCIM API 요청에서 사용할 액세스 토큰을 생성하는 것을 허용합니다. 액세스 토큰(즉, Microsoft Azure Active Directory SCIM 구성 가이드의 Secret Token)의 유효 기간은 6개월입니다. 만료되면, 아래와 같이 SYSTEM$GENERATE_SCIM_ACCESS_TOKEN 을 사용하여 수동으로 새 액세스 토큰을 생성합니다.

use role accountadmin;
create role if not exists aad_provisioner;
grant create user on account to role aad_provisioner;
grant create role on account to role aad_provisioner;
grant role aad_provisioner to role accountadmin;
create or replace security integration aad_provisioning
    type = scim
    scim_client = 'azure'
    run_as_role = 'AAD_PROVISIONER';
select system$generate_scim_access_token('AAD_PROVISIONING');

Snowflake에서 시작된 SSO를 사용하도록 설정하기¶

SCIM 프로비저닝 프로세스에서는 Single Sign-On(SSO)이 자동으로 활성화되지 않습니다.

SCIM 프로비저닝 프로세스가 완료된 후 SSO를 사용하려면, Snowflake에서 시작된 SSO 를 활성화합니다.

SCIM 네트워크 정책 관리하기¶

SCIM 보안 통합에 네트워크 정책을 적용하면 SCIM 네트워크 정책이 전체 Snowflake 계정에 적용되는 네트워크 정책과 구별될 수 있습니다. 이를 통해 SCIM 공급자는 일반 사용자의 액세스를 제어하는 네트워크 정책에 IP 주소를 추가하지 않고도 사용자와 그룹을 프로비저닝할 수 있습니다.

SCIM 통합에 적용된 네트워크 정책은 전체 Snowflake 계정에 적용된 네트워크 정책보다 우선하지만, 사용자에게 할당된 네트워크 정책보다는 우선 순위에서 밀립니다.

SCIM 보안 통합을 생성한 후 다음 명령을 사용하여 SCIM 네트워크 정책을 생성합니다.

alter security integration aad_provisioning set network_policy = <scim_network_policy>;

Copy

SCIM 네트워크 정책의 설정을 해제하려면 다음 명령을 사용합니다.

alter security integration aad_provisioning unset network_policy;

Copy

여기서:

aad_provisioning

Azure ADSCIM 보안 통합의 이름을 지정합니다.

scim_network_policy

Snowflake에서 Azure AD SCIM 네트워크 정책을 지정합니다.

자세한 내용은 네트워크 정책으로 네트워크 트래픽 제어하기 및 ALTER SECURITY INTEGRATION 을 참조하십시오.

SCIM이 포함된 보조 역할 사용하기¶

Snowflake는 SCIM으로 사용자 속성 DEFAULT_SECONDARY_ROLES 를 'ALL' 로 설정하여 사용자가 Snowflake 세션에서 보조 역할 을 사용할 수 있도록 지원합니다.

대표적인 예는 PUT scim/v2/Users/{id} 섹션을 참조하십시오.

Azure SCIM 보안 통합 복제하기¶

Snowflake는 원본 계정에서 대상 계정으로의 SCIM 보안 통합의 복제 및 장애 조치/장애 복구를 지원합니다.

자세한 내용은 여러 계정에 보안 통합 및 네트워크 정책 복제 섹션을 참조하십시오.

문제 해결¶

• Azure AD가 Snowflake로 업데이트를 전송 중인지를 확인하려면 Snowflake 애플리케이션에 대한 Azure AD의 로그 이벤트 및 Snowflake의 SCIM 감사 로그를 확인하여 Snowflake에서 Azure AD의 업데이트를 수신 중인지 확인하십시오. 다음 SQL을 사용하여 Snowflake SCIM 감사 로그를 쿼리하며, 여기서 demo_db 는 데이터베이스의 이름입니다.

  use role accountadmin;
  use database demo_db;
  use schema information_schema;
  select * from table(rest_event_history('scim'));
  select *
      from table(rest_event_history(
          'scim',
          dateadd('minutes',-5,current_timestamp()),
          current_timestamp(),
          200))
      order by event_timestamp;
  

  Copy

• 사용자 업데이트가 실패하면 Snowflake에서 사용자의 소유권을 확인하십시오. aad_provisioner 역할(또는 Snowflake에서 보안 통합을 생성할 때 run_as_role 매개 변수에 설정된 역할)이 소유하지 않은 경우 업데이트가 실패하게 됩니다. Snowflake에서 다음 SQL 문을 실행하여 소유권을 이전한 후 다시 시도하십시오.

  grant ownership on user <username> to role AAD_PROVISIONER;
  

  Copy

• 초기 SCIM 프로비저닝 이후에 Azure AD에서 UPN 속성 값 이 변경된 경우, 이후 사용자 업데이트가 작동하지 않습니다. UPN 속성 값을 변경하면 Azure AD 사용자 오브젝트와 Snowflake User Object 사이의 연결이 끊어집니다. UPN 속성 값이 변경되면 올바른 UPN 속성 값으로 사용자를 다시 프로비저닝하십시오.

다음 항목:

• SCIM API 요청하기