Snowflake와 Okta SCIM 통합¶

기능¶

Snowflake 애플리케이션에 대해 User 및 Role Administration이 지원됩니다.

이를 통해 Okta는 다음을 수행할 수 있습니다.

• Snowflake에서 사용자 수명 주기(즉, 생성, 업데이트 및 삭제)를 관리합니다.

• Snowflake에서 역할 수명 주기(즉, 생성, 업데이트 및 삭제)를 관리합니다.

• Snowflake에서 사용자에 대한 역할 할당을 관리합니다.

지원되는 프로비저닝 기능은 다음과 같습니다.

Push New Users:

OKTA를 통해 생성된 새 사용자는 Snowflake에서도 생성됩니다.

Push Profile Updates:

OKTA를 통한 사용자 프로필 업데이트는 Snowflake로 푸시됩니다.

Push User Deactivation:

사용자를 비활성화하거나 OKTA를 통한 사용자의 Snowflake 액세스를 비활성화하면 Snowflake에서 사용자가 비활성화됩니다.

참고

Snowflake에서 사용자 비활성화는 사용자의 DISABLED 속성을 TRUE 로 설정하는 것을 의미합니다.

Reactivate Users:

Snowflake에서 사용자 계정을 다시 활성화할 수 있습니다.

Sync Password:

필요한 경우, 사용자 비밀번호를 Okta에서 Snowflake로 푸시할 수 있습니다.

팁

기본 설정은 사용자에게 has_Password=true 의 속성 설정을 제공하는 사용자에 대해 임의 비밀번호를 생성하는 것입니다. 비밀번호가 없는 경우 사용자는 반드시 Okta SSO를 통해 Snowflake에 액세스해야 합니다. 사용자의 비밀번호가 생성되지 않도록 하려면, 다음과 같이 사용자를 프로비저닝하기 전 이 설정을 꺼야 합니다.

1. Edit 를 클릭합니다.

2. Sync Password 아래에서 Generate a new random password whenever the user’s Okta password changes 설정을 선택 취소합니다.

3. 변경 사항을 저장합니다.

Okta에서 이 설정을 활성화하면 사용자가 Snowflake에 액세스할 수 있는 비밀번호가 생성됩니다. 이를 통해 사용자가 SSO를 사용하지 않고 Snowflake에 액세스할 수 있는 경로가 생성될 수 있습니다.

비밀번호 동기화를 비활성화 하려면 Okta에서 이 옵션을 설정 해제하는 것과 함께 Snowflake Okta SCIM 보안 통합 을 업데이트하여 SYNC_PASSWORD 속성을 False 로 설정하십시오.

Push Groups:

Push Groups 기능은 Snowflake에서 편리하게 역할을 생성하고 관리할 수 있도록 해줍니다. Okta Push Groups을 사용하여 Snowflake에서 생성된 역할은 Okta와 Snowflake에서 동일한 이름을 갖습니다. 항상 Okta에서 먼저 역할을 생성하고 Push Groups을 사용하여 Snowflake를 업데이트해 Okta와 Snowflake를 동기화시킵니다. Snowflake의 Okta 및 OKTA_PROVISIONER 사용자 지정 역할의 경우 Snowflake에서 수동으로 생성된 역할을 관리할 수 없습니다. Push Groups은 Snowflake에서 사용자를 생성하지 않습니다.

팁

Okta의 Snowflake 애플리케이션이 Okta 사용자에게 할당된 경우 Okta는 Snowflake에서 사용자를 생성할 수 있습니다.

자세한 내용은 사용자에게 애플리케이션 할당 을 참조하십시오.

전제 조건¶

1. 사용자 또는 그룹을 프로비저닝하기 전, Snowflake의 네트워크 정책 에서 여기에 설명되는 Okta IP 주소로부터의 액세스를 허용하는지 확인하십시오. 자세한 내용은 SCIM 네트워크 정책 관리하기 를 참조하십시오.

2. Snowflake에 대한 프로비저닝을 구성하기 전, Okta에서 Snowflake 애플리케이션에서 General Settings 및 모든 Sign-On Options 을 구성했는지 확인하십시오.

위의 단계가 완료되면 Okta에서 Next 을 클릭하여 Provisioning 탭으로 돌아갑니다.

구성 단계¶

구성 프로세스에서는 Snowflake 및 Okta에서 단계를 완료해야 합니다.

use role accountadmin;
create role if not exists okta_provisioner;
grant create user on account to role okta_provisioner;
grant create role on account to role okta_provisioner;
grant role okta_provisioner to role accountadmin;
create or replace security integration okta_provisioning
    type = scim
    scim_client = 'okta'
    run_as_role = 'OKTA_PROVISIONER';
select system$generate_scim_access_token('OKTA_PROVISIONING');

Snowflake에서 시작된 SSO를 사용하도록 설정하기¶

SCIM 프로비저닝 프로세스에서는 Single Sign-On(SSO)이 자동으로 활성화되지 않습니다.

SCIM 프로비저닝 프로세스가 완료된 후 SSO를 사용하려면, Snowflake에서 시작된 SSO 를 활성화합니다.

SCIM 네트워크 정책 관리하기¶

SCIM 보안 통합에 네트워크 정책을 적용하면 SCIM 네트워크 정책이 전체 Snowflake 계정에 적용되는 네트워크 정책과 구별될 수 있습니다. 이를 통해 SCIM 공급자는 일반 사용자의 액세스를 제어하는 네트워크 정책에 IP 주소를 추가하지 않고도 사용자와 그룹을 프로비저닝할 수 있습니다.

SCIM 통합에 적용된 네트워크 정책은 전체 Snowflake 계정에 적용된 네트워크 정책보다 우선하지만, 사용자에게 할당된 네트워크 정책보다는 우선 순위에서 밀립니다.

SCIM 보안 통합을 생성한 후 다음 명령을 사용하여 SCIM 네트워크 정책을 생성합니다.

alter security integration okta_provisioning set network_policy = <scim_network_policy>;

Copy

SCIM 네트워크 정책의 설정을 해제하려면 다음 명령을 사용합니다.

alter security integration okta_provisioning unset network_policy;

Copy

여기서

okta_provisioning

Okta SCIM 보안 통합의 이름을 지정합니다.

scim_network_policy

Snowflake에서 Okta SCIM 네트워크 정책을 지정합니다.

자세한 내용은 네트워크 정책으로 네트워크 트래픽 제어하기 및 ALTER SECURITY INTEGRATION 을 참조하십시오.

SCIM이 포함된 보조 역할 사용하기¶

Snowflake는 SCIM으로 사용자 속성 DEFAULT_SECONDARY_ROLES 를 'ALL' 로 설정하여 사용자가 Snowflake 세션에서 보조 역할 을 사용할 수 있도록 지원합니다.

대표적인 예는 사용자 업데이트 섹션을 참조하십시오.

Okta SCIM 보안 통합 복제하기¶

Snowflake는 원본 계정에서 대상 계정으로의 SCIM 보안 통합의 복제 및 장애 조치/장애 복구를 지원합니다.

자세한 내용은 여러 계정에 보안 통합 및 네트워크 정책 복제 섹션을 참조하십시오.

문제 해결하기¶

• 소유권 이전. 사용자 업데이트가 실패하면 Snowflake에서 사용자의 소유권을 확인하십시오. okta_provisioner 역할(또는 Snowflake에서 보안 통합을 생성할 때 run_as_role 매개 변수에 설정된 역할)이 소유하지 않은 경우 업데이트가 실패하게 됩니다. Snowflake에서 다음 SQL 문을 실행하여 소유권을 이전한 후 다시 시도하십시오.

  grant ownership on user <username> to role OKTA_PROVISIONER;
  

  Copy

• 기존 Snowflake 사용자가 Okta SSO를 사용하는 경우, 이미 설정되어 있어야 하는 기존 사용자에게 login_name 속성이 설정되어 있는지 확인합니다.

• Okta가 Snowflake로 업데이트를 전송 중인지를 확인하려면 Snowflake 애플리케이션에 대한 Okta의 로그 이벤트 및 Snowflake의 SCIM 감사 로그를 확인하여 Snowflake에서 Okta의 업데이트를 수신 중인지 확인하십시오. 다음을 사용하여 Snowflake SCIM 감사 로그를 쿼리하십시오.

  USE ROLE ACCOUNTADMIN;
  USE SCHEMA snowflake.information_schema;
  
  SELECT * FROM TABLE(REST_EVENT_HISTORY('scim'));
  
  SELECT *
    FROM TABLE(REST_EVENT_HISTORY(
    'scim',
    DATEADD('MINUTES',-5,CURRENT_TIMESTAMP()),
    CURRENT_TIMESTAMP(),
    200))
    ORDER BY event_timestamp;
  

  Copy

• 프로비저닝 절차 중에 인증 오류가 발생할 수 있습니다. 가능한 오류 메시지는 다음과 같습니다.

  Error authenticating: Forbidden. Errors reported by remote server: Invalid JSON: Unexpected character ('<' (code 60)): expected a valid value (number, String, array, object, 'true', 'false' or 'null') at [Source: java.io.StringReader@4c76ba04; line: 1, column: 2]
  

  Copy

  이 오류 메시지 또는 기타 인증 오류 메시지가 발생하면, 다음 문제 해결 절차를 시도하십시오.

  1. Okta에서 현재 Snowflake 애플리케이션을 제거하고 새 Snowflake 애플리케이션을 생성합니다.

  2. Snowflake에서 새 SCIM 보안 통합을 생성하고 새 액세스 토큰을 생성합니다.

  3. Copy 를 클릭하여 새 토큰을 복사합니다.

  4. Okta에서 Okta를 SCIM ID 공급자로 구성하는 방법에서의 설명과 같이 새 액세스 토큰을 붙여넣은 후 확인합니다.

  5. Okta에서의 새로운 Snowflake 애플리케이션을 사용하여 Okta에서 Snowflake로 사용자와 역할을 프로비저닝합니다.

다음 항목:

• SCIM API 참조