다단계 인증(MFA)¶

사용자에게 새 MFA 방법을 추가하라는 메시지 표시¶

사용자가 두 번째 인증 요소로 사용하는 MFA 방법에 액세스할 수 없는 경우(예: 패스키를 저장하는 YubiKey 분실 등) 관리자는 사용자가 새로운 MFA 방법을 설정하도록 도와 Snowflake에 로그인할 수 있도록 할 수 있습니다.

사용자가 MFA 방법에 액세스할 수 없고 새 방법을 설정해야 하는 경우 관리자는 ALTER USER … ENROLL MFA 문을 실행합니다. 예를 들어, joe 사용자가 MFA 방법을 새로 설정해야 하는 경우 관리자는 다음을 실행하면 됩니다.니다.

ALTER USER joe ENROLL MFA;

• 사용자에게 인증 이메일 이 있는 경우, Snowflake는 MFA 인증 방법을 추가하라는 이메일을 보냅니다.

• 사용자에게 인증된 이메일이 없는 경우 Snowflake는 사용자에게 MFA 인증 방법을 추가하라는 메시지를 표시하는 페이지의 URL 을 반환합니다. 관리자는 이 URL 을 잠긴 사용자에게 보낼 수 있습니다.

MFA 를 일시적으로 비활성화¶

관리자가 사용자에 대해 MFA 를 일시적으로 비활성화해야 하는 경우 ALTER USER … SET MINS_TO_BYPASS_MFA 문을 실행하면 됩니다. 예를 들어, joe 사용자가 30분 동안 단일 요소 비밀번호로 인증할 수 있도록 MFA 를 일시적으로 비활성화하려면 다음을 실행합니다.

ALTER USER joe SET MINS_TO_BYPASS_MFA = 30;

MFA 토큰 캐싱을 사용하여 인증 도중 프롬프트 수 최소화하기 — 선택 사항¶

MFA 토큰 캐싱은 Snowflake에 연결하여 인증하는 동안, 특히 상대적으로 짧은 기간 동안 여러 연결 시도가 수행될 때 확인해야 하는 프롬프트의 수를 줄여줍니다.

캐시된 MFA 토큰은 최대 4시간 동안 유효합니다.

캐시된 MFA 토큰은 다음 조건 중 하나가 충족되는 경우 유효하지 않습니다.

1. 계정에 대한 ALLOW_CLIENT_MFA_CACHING 매개 변수가 FALSE로 설정되었습니다.

2. 인증 방법이 변경됩니다.

3. 인증 자격 증명(즉, 사용자 이름 및/또는 비밀번호)이 변경됩니다.

4. 인증 자격 증명이 유효하지 않습니다.

5. 캐시된 토큰이 만료되거나 암호학적으로 유효하지 않습니다.

6. 캐시된 토큰과 연결된 계정 이름이 변경됩니다.

MFA 토큰을 캐시하기 위해 Snowflake에서 사용하는 전체 프로세스는 브라우저 기반 페더레이션 SSO(single sign-on) 용 연결 토큰을 캐시하기 위해 사용되는 프로세스와 유사합니다. 클라이언트 애플리케이션은 클라이언트측 운영 체제의 키 저장소에 MFA 토큰을 저장합니다. 사용자는 언제라도 캐시된 MFA 토큰을 키 저장소에서 삭제할 수 있습니다.

Snowflake는 macOS와 Windows에서 다음 드라이버, 커넥터 및 도구로 MFA 토큰 캐싱을 지원합니다. 이 기능은 Linux에서 지원되지 않습니다.

• Snowflake CLI 버전 3.0 이상

• ODBC 드라이버 버전 2.23.0 이상.

• JDBC 드라이버 버전 3.12.16 이상.

• Snowflake용 Python Connector 버전 2.3.7 이상.

Snowflake는 내부 보안 및 컴플라이언스 책임자에게 문의한 후 MFA 토큰 캐싱을 활성화할 것을 권장합니다.

MFA 토큰 캐싱을 활성화하려면 다음 단계를 완료하십시오.

1. 계정 관리자(즉, ACCOUNTADMIN 시스템 역할 사용자)로, ALTER ACCOUNT 명령을 사용하여 계정에 대한 ALLOW_CLIENT_MFA_CACHING 매개 변수를 true 로 설정합니다.

   ALTER ACCOUNT SET ALLOW_CLIENT_MFA_CACHING = TRUE;
   

   Copy

2. 클라이언트 연결 문자열에서 인증자 값을 authenticator = username_password_mfa 로 업데이트합니다.

3. 드라이버 또는 커넥터에 필요한 패키지 또는 라이브러리를 추가합니다.

   • Python용 Snowflake Connector를 사용 중인 경우에는 다음을 실행하여 옵션으로 제공되는 인증 키 패키지를 설치합니다.

     pip install "snowflake-connector-python[secure-local-storage]"
     

     Copy

     명령에서와 같이 대괄호([ 및 ])를 반드시 입력해야 합니다. 대괄호는 설치해야 하는 패키지의 추가 부분 을 지정합니다.

     예시와 같이 패키지 이름 주위에 따옴표를 사용하여 대괄호가 와일드카드로 해석되지 않도록 합니다.

     다른 추가 항목(예: Pandas용 Python Connector APIs를 사용 하기 위한 pandas)을 설치해야 하는 경우에는 추가 항목 사이에 쉼표를 사용합니다.

     pip install "snowflake-connector-python[secure-local-storage,pandas]"
     

     Copy

   • Snowflake JDBC 드라이브에 대한 내용은 JNA 클래스를 클래스 경로에 추가하기 를 참조하십시오.

MFA 토큰 캐싱을 비활성화하려면 ALLOW_CLIENT_MFA_CACHING 매개 변수의 설정을 해제합니다.

ALTER ACCOUNT UNSET ALLOW_CLIENT_MFA_CACHING;

로그인하기 위한 두 번째 인증으로 MFA 토큰 캐싱을 사용하는 모든 사용자를 찾으려면 계정 관리자(ACCOUNTADMIN 역할을 가진 사용자)로 다음 SQL 문을 실행할 수 있습니다.

SELECT EVENT_TIMESTAMP,
       USER_NAME,
       IS_SUCCESS
  FROM SNOWFLAKE.ACCOUNT_USAGE.LOGIN_HISTORY
  WHERE SECOND_AUTHENTICATION_FACTOR = 'MFA_TOKEN';

SnowSQL에서 MFA 사용하기¶

MFA를 사용하여 SnowSQL을 통해 Snowflake에 연결할 수 있습니다. 기본적으로 사용자가 MFA에 등록할 때 Duo Push 인증 방법을 사용할 수 있습니다.

푸시 방법 대신 Duo에서 생성되는 암호를 사용하려면 로그인 매개 변수에 다음 연결 옵션 중 1개를 반드시 포함해야 합니다.

--mfa-passcode <문자열> 또는 --mfa-passcode-in-password

자세한 내용은 SnowSQL(CLI 클라이언트) 섹션을 참조하십시오.

JDBC에서 MFA 사용하기¶

MFA를 사용하여 Snowflake JDBC 드라이버를 통해 Snowflake에 연결할 수 있습니다. 기본적으로 사용자가 MFA에 등록할 때 Duo Push 인증 방법을 사용할 수 있으며, JDBC 연결 문자열을 변경할 필요가 없습니다.

푸시 방법 대신 Duo에서 생성되는 암호를 사용하려면 JDBC 연결 문자열에 다음 매개 변수 중 1개를 반드시 포함해야 합니다.

passcode=<암호_문자열> 또는 passcodeInPassword=on

여기서

• passcode_string 은 연결 중인 사용자를 위해 Duo가 생성한 암호입니다. 이 암호는 Duo Mobile 애플리케이션 또는 SMS 암호에서 생성된 암호일 수 있습니다.

• passcodeInPassword=on 인 경우, <비밀번호_문자열><암호_문자열> 의 형식으로 비밀번호와 암호가 연결됩니다.

자세한 내용은 JDBC 드라이버 섹션을 참조하십시오.

Node.js와 함께 MFA 사용하기¶

MFA를 사용하여 Snowflake Node.js 드라이버를 통해 Snowflake에 연결할 수 있습니다. 기본적으로 사용자가 MFA에 등록할 때 Duo Push 인증 방법을 사용할 수 있습니다.

푸시 방법 대신 Duo에서 생성되는 암호를 사용하려면 로그인 매개 변수에 다음 연결 옵션 중 1개를 반드시 포함해야 합니다. 두 예제 모두에서 비밀번호는:codenowrap:abc123 을 사용하고 MFA 암호는:codenowrap:987654 를 사용하여 구성을 설명합니다.

• 다음과 같이 비밀번호 문자열의 일부로 비밀번호를 포함하도록 passcodeInPassword 옵션을 true 로 설정합니다.

  authenticator: 'USERNAME_PASSWORD_MFA',
  password: "abc123987654", // passcode 987654 is part of the password
  passcodeInPassword: true  // because passcodeInPassword is true
  

  Copy

• 다음과 같이 비밀번호와 암호를 별도로 지정하려면 passcode 옵션을 암호의 값으로 설정합니다.

  authenticator: 'USERNAME_PASSWORD_MFA',
  password: "abc123", // password and MFA passcode are input separately
  passcode: "987654"
  

  Copy

  이 방법을 사용하려면 passcodeInPassword 옵션이 false (기본값)인지 확인합니다. passcodeInPassword 가 모두 true 로 설정되어 있고:codenowrap:passcode 도 구성된 경우,:codenowrap:passcodeInPassword 설정이 우선 적용되며 드라이버는 인증 시:codenowrap:password 필드에 비밀번호와 MFA 암호가 모두 포함되어 있는 것으로 가정합니다.

자세한 내용은 MFA 암호 사용하기 섹션을 참조하십시오.

ODBC에서 MFA 사용하기¶

MFA를 사용하여 Snowflake ODBC 드라이버를 통해 Snowflake에 연결할 수 있습니다. 기본적으로 사용자가 MFA에 등록할 때 Duo Push 인증 방법을 사용할 수 있으며, ODBC 설정을 변경할 필요가 없습니다.

푸시 방법 대신 Duo에서 생성되는 암호를 사용하려면 드라이버에 다음 매개 변수 중 1개를 반드시 지정해야 합니다.

passcode=<암호_문자열> 또는 passcodeInPassword=on

여기서

• passcode_string 은 연결 중인 사용자를 위해 Duo가 생성한 암호입니다. 이 암호는 Duo Mobile 애플리케이션 또는 SMS 암호에서 생성된 암호일 수 있습니다.

• passcodeInPassword=on 인 경우, <비밀번호_문자열><암호_문자열> 의 형식으로 비밀번호와 암호가 연결됩니다.

자세한 내용은 ODBC 드라이버 섹션을 참조하십시오.

Python에서 MFA 사용하기¶

MFA를 사용하여 Snowflake Python Connector를 통해 Snowflake에 연결할 수 있습니다. 기본적으로 사용자가 MFA에 등록할 때 Duo Push 인증 방법을 사용할 수 있으며, Python API 호출을 변경할 필요가 없습니다.

푸시 방법 대신 Duo에서 생성되는 암호를 사용하려면 connect() 메서드에서 드라이버에 다음 매개 변수 중 1개를 반드시 지정해야 합니다.

passcode=<암호_문자열> 또는 passcode_in_password=True

여기서

• passcode_string 은 연결 중인 사용자를 위해 Duo가 생성한 암호입니다. 이 암호는 Duo Mobile 애플리케이션 또는 SMS 암호에서 생성된 암호일 수 있습니다.

• passcode_in_password=True 인 경우, <비밀번호_문자열><암호_문자열> 의 형식으로 비밀번호와 암호가 연결됩니다.

자세한 내용은 Python Connector API 설명서의 함수 섹션에서 제공되는 connect() 메서드에 대한 설명을 참조하십시오.