Snowflake와 Okta SCIM 통합¶

기능¶

Snowflake 애플리케이션에 대해 User 및 Role Administration이 지원됩니다.

이를 통해 Okta는 다음을 수행할 수 있습니다.

• Snowflake에서 사용자 수명 주기(즉, 생성, 업데이트 및 삭제)를 관리합니다.

• Snowflake에서 역할 수명 주기(즉, 생성, 업데이트 및 삭제)를 관리합니다.

• Snowflake에서 사용자에 대한 역할 할당을 관리합니다.

지원되는 프로비저닝 기능은 다음과 같습니다.

Push New Users:

OKTA를 통해 생성된 새 사용자는 Snowflake에서도 생성됩니다.

Push Profile Updates:

OKTA를 통한 사용자 프로필 업데이트는 Snowflake로 푸시됩니다.

Push User Deactivation:

사용자를 비활성화하거나 OKTA를 통한 사용자의 Snowflake 액세스를 비활성화하면 Snowflake에서 사용자가 비활성화됩니다.

참고

Snowflake에서 사용자 비활성화는 사용자의 DISABLED 속성을 TRUE 로 설정하는 것을 의미합니다.

Reactivate Users:

Snowflake에서 사용자 계정을 다시 활성화할 수 있습니다.

Sync Password:

필요한 경우, 사용자 비밀번호를 Okta에서 Snowflake로 푸시할 수 있습니다.

팁

기본 설정은 사용자에게 has_Password=true 의 속성 설정을 제공하는 사용자에 대해 임의 비밀번호를 생성하는 것입니다. 비밀번호가 없는 경우 사용자는 반드시 Okta SSO를 통해 Snowflake에 액세스해야 합니다. 사용자의 비밀번호가 생성되지 않도록 하려면, 다음과 같이 사용자를 프로비저닝하기 전 이 설정을 꺼야 합니다.

1. Edit 를 클릭합니다.

2. Sync Password 아래에서 Generate a new random password whenever the user’s Okta password changes 설정을 선택 취소합니다.

3. 변경 사항을 저장합니다.

Okta에서 이 설정을 활성화하면 사용자가 Snowflake에 액세스할 수 있는 비밀번호가 생성됩니다. 이를 통해 사용자가 SSO를 사용하지 않고 Snowflake에 액세스할 수 있는 경로가 생성될 수 있습니다.

비밀번호 동기화를 비활성화 하려면 Okta에서 이 옵션을 설정 해제하는 것과 함께 Snowflake Okta SCIM 보안 통합 을 업데이트하여 SYNC_PASSWORD 속성을 False 로 설정하십시오.

Push Groups:

Push Groups 기능은 Snowflake에서 편리하게 역할을 생성하고 관리할 수 있도록 해줍니다. Okta Push Groups을 사용하여 Snowflake에서 생성된 역할은 Okta와 Snowflake에서 동일한 이름을 갖습니다. 항상 Okta에서 먼저 역할을 생성하고 Push Groups을 사용하여 Snowflake를 업데이트해 Okta와 Snowflake를 동기화시킵니다. Snowflake의 Okta 및 OKTA_PROVISIONER 사용자 지정 역할의 경우 Snowflake에서 수동으로 생성된 역할을 관리할 수 없습니다. Push Groups은 Snowflake에서 사용자를 생성하지 않습니다.

팁

Okta의 Snowflake 애플리케이션이 Okta 사용자에게 할당된 경우 Okta는 Snowflake에서 사용자를 생성할 수 있습니다.

자세한 내용은 사용자에게 애플리케이션 할당 을 참조하십시오.

지원되는 사용자 속성은 다음과 같습니다.

전제 조건¶

1. 사용자 또는 그룹을 프로비저닝하기 전, Snowflake의 네트워크 정책 에서 여기에 설명되는 Okta IP 주소로부터의 액세스를 허용하는지 확인하십시오. 자세한 내용은 SCIM 네트워크 정책 관리하기 를 참조하십시오.

2. Snowflake에 대한 프로비저닝을 구성하기 전, Okta에서 Snowflake 애플리케이션에서 General Settings 및 모든 Sign-On Options 을 구성했는지 확인하십시오.

위의 단계가 완료되면 Okta에서 Next 을 클릭하여 Provisioning 탭으로 돌아갑니다.

구성 단계¶

구성 프로세스에서는 Snowflake 및 Okta에서 단계를 완료해야 합니다.

use role accountadmin;
create role if not exists okta_provisioner;
grant create user on account to role okta_provisioner;
grant create role on account to role okta_provisioner;
grant role okta_provisioner to role accountadmin;
create or replace security integration okta_provisioning
    type = scim
    scim_client = 'okta'
    run_as_role = 'OKTA_PROVISIONER';
select system$generate_scim_access_token('OKTA_PROVISIONING');

Snowflake에서 시작된 SSO를 사용하도록 설정하기¶

SCIM 프로비저닝 프로세스에서는 Single Sign-On(SSO)이 자동으로 활성화되지 않습니다.

SCIM 프로비저닝 프로세스가 완료된 후 SSO를 사용하려면, Snowflake에서 시작된 SSO 를 활성화합니다.

SCIM 네트워크 정책 관리하기¶

SCIM 보안 통합에 네트워크 정책을 적용하면 SCIM 네트워크 정책이 전체 Snowflake 계정에 적용되는 네트워크 정책과 구별될 수 있습니다. 이를 통해 SCIM 공급자는 일반 사용자의 액세스를 제어하는 네트워크 정책에 IP 주소를 추가하지 않고도 사용자와 그룹을 프로비저닝할 수 있습니다.

SCIM 통합에 적용된 네트워크 정책은 전체 Snowflake 계정에 적용된 네트워크 정책보다 우선하지만, 사용자에게 할당된 네트워크 정책보다는 우선 순위에서 밀립니다.

SCIM 보안 통합을 생성한 후 다음 명령을 사용하여 SCIM 네트워크 정책을 생성합니다.

alter security integration okta_provisioning set network_policy = <scim_network_policy>;

Copy

SCIM 네트워크 정책의 설정을 해제하려면 다음 명령을 사용합니다.

alter security integration okta_provisioning unset network_policy;

Copy

여기서

okta_provisioning

Okta SCIM 보안 통합의 이름을 지정합니다.

scim_network_policy

Snowflake에서 Okta SCIM 네트워크 정책을 지정합니다.

자세한 내용은 네트워크 정책으로 네트워크 트래픽 제어하기 및 ALTER SECURITY INTEGRATION 을 참조하십시오.

SCIM이 포함된 보조 역할 사용하기¶

Snowflake는 SCIM으로 사용자 속성 DEFAULT_SECONDARY_ROLES 를 'ALL' 로 설정하여 사용자가 Snowflake 세션에서 보조 역할 을 사용할 수 있도록 지원합니다.

대표적인 예는 PUT scim/v2/Users/{id} 섹션을 참조하십시오.

Okta SCIM 보안 통합 복제하기¶

Snowflake는 원본 계정에서 대상 계정으로의 SCIM 보안 통합의 복제 및 장애 조치/장애 복구를 지원합니다.

자세한 내용은 여러 계정에 보안 통합 및 네트워크 정책 복제 섹션을 참조하십시오.

문제 해결¶

• 소유권 이전. 사용자 업데이트가 실패하면 Snowflake에서 사용자의 소유권을 확인하십시오. okta_provisioner 역할(또는 Snowflake에서 보안 통합을 생성할 때 run_as_role 매개 변수에 설정된 역할)이 소유하지 않은 경우 업데이트가 실패하게 됩니다. Snowflake에서 다음 SQL 문을 실행하여 소유권을 이전한 후 다시 시도하십시오.

  grant ownership on user <username> to role OKTA_PROVISIONER;
  

  Copy

• 기존 Snowflake 사용자가 Okta SSO를 사용하는 경우, 이미 설정되어 있어야 하는 기존 사용자에게 login_name 속성이 설정되어 있는지 확인합니다.

• Okta가 Snowflake로 업데이트를 전송 중인지를 확인하려면 Snowflake 애플리케이션에 대한 Okta의 로그 이벤트 및 Snowflake의 SCIM 감사 로그를 확인하여 Snowflake에서 Okta의 업데이트를 수신 중인지 확인하십시오. 다음을 사용하여 Snowflake SCIM 감사 로그를 쿼리하십시오.

  use role accountadmin;
  use database demo_db;
  use schema information_schema;
  select * from table(rest_event_history('scim'));
  select *
      from table(rest_event_history(
          'scim',
          dateadd('minutes',-5,current_timestamp()),
          current_timestamp(),
          200))
      order by event_timestamp;
  

  Copy

• 프로비저닝 절차 중에 인증 오류가 발생할 수 있습니다. 가능한 오류 메시지는 다음과 같습니다.

  Error authenticating: Forbidden. Errors reported by remote server: Invalid JSON: Unexpected character ('<' (code 60)): expected a valid value (number, String, array, object, 'true', 'false' or 'null') at [Source: java.io.StringReader@4c76ba04; line: 1, column: 2]
  

  Copy

  이 오류 메시지 또는 기타 인증 오류 메시지가 발생하면, 다음 문제 해결 절차를 시도하십시오.

  1. Okta에서 현재 Snowflake 애플리케이션을 제거하고 새 Snowflake 애플리케이션을 생성합니다.

  2. Snowflake에서 새 SCIM 보안 통합을 생성하고 새 액세스 토큰을 생성합니다.

  3. Copy 를 클릭하여 새 토큰을 복사합니다.

  4. Okta에서 Okta를 SCIM ID 공급자로 구성하는 방법에서의 설명과 같이 새 액세스 토큰을 붙여넣은 후 확인합니다.

  5. Okta에서의 새로운 Snowflake 애플리케이션을 사용하여 Okta에서 Snowflake로 사용자와 역할을 프로비저닝합니다.

다음 항목:

• SCIM API 요청하기