다단계 인증(MFA)¶

MFA 토큰 캐싱을 사용하여 인증 도중 프롬프트 수 최소화하기 — 선택 사항¶

MFA 토큰 캐싱은 Snowflake에 연결하여 인증하는 동안, 특히 상대적으로 짧은 기간 동안 여러 연결 시도가 수행될 때 확인해야 하는 프롬프트의 수를 줄여줍니다.

캐시된 MFA 토큰은 최대 4시간 동안 유효합니다.

캐시된 MFA 토큰은 다음 조건 중 하나가 충족되는 경우 유효하지 않습니다.

1. 계정에 대한 ALLOW_CLIENT_MFA_CACHING 매개 변수가 FALSE로 설정되었습니다.

2. 인증 방법이 변경됩니다.

3. 인증 자격 증명(즉, 사용자 이름 및/또는 비밀번호)이 변경됩니다.

4. 인증 자격 증명이 유효하지 않습니다.

5. 캐시된 토큰이 만료되거나 암호학적으로 유효하지 않습니다.

6. 캐시된 토큰과 연결된 계정 이름이 변경됩니다.

MFA 토큰을 캐시하기 위해 Snowflake에서 사용하는 전체 프로세스는 브라우저 기반 페더레이션 SSO(single sign-on) 용 연결 토큰을 캐시하기 위해 사용되는 프로세스와 유사합니다. 클라이언트 애플리케이션은 클라이언트측 운영 체제의 키 저장소에 MFA 토큰을 저장합니다. 사용자는 언제라도 캐시된 MFA 토큰을 키 저장소에서 삭제할 수 있습니다.

Snowflake는 macOS 및 Windows에서 다음 드라이버와 커넥터를 사용하여 MFA 토큰 캐싱을 지원합니다. 이 기능은 Linux에서 지원되지 않습니다.

• ODBC 드라이버 버전 2.23.0 이상.

• JDBC 드라이버 버전 3.12.16 이상.

• Snowflake용 Python Connector 버전 2.3.7 이상.

Snowflake는 내부 보안 및 컴플라이언스 책임자에게 문의한 후 MFA 토큰 캐싱을 활성화할 것을 권장합니다.

MFA 토큰 캐싱을 활성화하려면 다음 단계를 완료하십시오.

1. 계정 관리자(즉, ACCOUNTADMIN 시스템 역할 사용자)로, ALTER ACCOUNT 명령을 사용하여 계정에 대한 ALLOW_CLIENT_MFA_CACHING 매개 변수를 true 로 설정합니다.

   ALTER ACCOUNT SET ALLOW_CLIENT_MFA_CACHING = TRUE;
   

   Copy

2. 클라이언트 연결 문자열에서 인증자 값을 authenticator = username_password_mfa 로 업데이트합니다.

3. 드라이버 또는 커넥터에 필요한 패키지 또는 라이브러리를 추가합니다.

   • Python용 Snowflake Connector를 사용 중인 경우에는 다음을 실행하여 옵션으로 제공되는 인증 키 패키지를 설치합니다.

     pip install "snowflake-connector-python[secure-local-storage]"
     

     Copy

     명령에서와 같이 대괄호([ 및 ])를 반드시 입력해야 합니다. 대괄호는 설치해야 하는 패키지의 추가 부분 을 지정합니다.

     예시와 같이 패키지 이름 주위에 따옴표를 사용하여 대괄호가 와일드카드로 해석되지 않도록 합니다.

     다른 추가 항목(예: Pandas용 Python Connector APIs를 사용 하기 위한 pandas)을 설치해야 하는 경우에는 추가 항목 사이에 쉼표를 사용합니다.

     pip install "snowflake-connector-python[secure-local-storage,pandas]"
     

     Copy

   • Snowflake JDBC 드라이브에 대한 내용은 클래스 경로에 JNA 클래스 추가하기 를 참조하십시오.

MFA 토큰 캐싱을 비활성화하려면 ALLOW_CLIENT_MFA_CACHING 매개 변수의 설정을 해제합니다.

ALTER ACCOUNT UNSET ALLOW_CLIENT_MFA_CACHING;

로그인하기 위한 두 번째 인증으로 MFA 토큰 캐싱을 사용하는 모든 사용자를 찾으려면 계정 관리자(ACCOUNTADMIN 역할을 가진 사용자)로 다음 SQL 문을 실행할 수 있습니다.

SELECT EVENT_TIMESTAMP,
       USER_NAME,
       IS_SUCCESS
  FROM SNOWFLAKE.ACCOUNT_USAGE.LOGIN_HISTORY
  WHERE SECOND_AUTHENTICATION_FACTOR = 'MFA_TOKEN';

Snowsight 에서 MFA 사용하기¶

Snowsight 에 MFA로 로그인하는 방법은 다음과 같습니다.

1. Snowsight 에 로그인합니다.

2. 사용자 자격 증명(사용자 로그인 이름 및 비밀번호)을 입력합니다.

3. Duo Push를 사용하는 경우 알림 방식을 선택할 수 있습니다. Send Me a Push 를 선택하면 푸시 알림이 Duo Mobile 애플리케이션으로 전송됩니다. 알림이 도착했을 때 Approve 를 클릭하면 Snowflake에 로그인됩니다.

   

   위에 표시된 것처럼, 푸시 알림을 사용하는 대신 다음을 선택할 수도 있습니다.

   • Call Me 를 선택하여 등록된 모바일 디바이스로 전화 통화를 통해 로그인 지침을 제공받습니다.

   • Enter a Passcode 를 선택하여 Duo Mobile 애플리케이션에서 제공된 암호를 수동으로 입력하여 로그인합니다.

Classic Console 웹 인터페이스에서 MFA 사용하기¶

MFA 로 Classic Console 에 로그인하려면 다음을 수행하십시오.

1. 브라우저에서 계정 의 URL을 가리킵니다. 예를 들어 https://myorg-account1.snowflakecomputing.com 과 같습니다.

2. 사용자 자격 증명(사용자 로그인 이름 및 비밀번호)을 입력합니다.

3. Duo Push가 활성화되면 푸시 알림이 Duo Mobile 애플리케이션으로 전송됩니다. 알림이 도착했을 때 Approve 를 클릭하면 Snowflake에 로그인됩니다.

   

   위의 스크린샷에서와 같이, 푸시 알림을 사용하는 대신 다음을 선택할 수도 있습니다.

   • Call Me 를 선택하여 등록된 모바일 디바이스로 전화 통화를 통해 로그인 지침을 제공받습니다.

   • Enter a Passcode 를 선택하여 Duo Mobile 애플리케이션에서 제공된 암호를 수동으로 입력하여 로그인합니다.

SnowSQL에서 MFA 사용하기¶

MFA를 사용하여 SnowSQL을 통해 Snowflake에 연결할 수 있습니다. 기본적으로 사용자가 MFA에 등록할 때 Duo Push 인증 방법을 사용할 수 있습니다.

푸시 방법 대신 Duo에서 생성되는 암호를 사용하려면 로그인 매개 변수에 다음 연결 옵션 중 1개를 반드시 포함해야 합니다.

--mfa-passcode <문자열> 또는 --mfa-passcode-in-password

자세한 내용은 SnowSQL(CLI 클라이언트) 섹션을 참조하십시오.

JDBC에서 MFA 사용하기¶

MFA를 사용하여 Snowflake JDBC 드라이버를 통해 Snowflake에 연결할 수 있습니다. 기본적으로 사용자가 MFA에 등록할 때 Duo Push 인증 방법을 사용할 수 있으며, JDBC 연결 문자열을 변경할 필요가 없습니다.

푸시 방법 대신 Duo에서 생성되는 암호를 사용하려면 JDBC 연결 문자열에 다음 매개 변수 중 1개를 반드시 포함해야 합니다.

passcode=<암호_문자열> 또는 passcodeInPassword=on

여기서

• passcode_string 은 연결 중인 사용자를 위해 Duo가 생성한 암호입니다. 이 암호는 Duo Mobile 애플리케이션 또는 SMS 암호에서 생성된 암호일 수 있습니다.

• passcodeInPassword=on 인 경우, <비밀번호_문자열><암호_문자열> 의 형식으로 비밀번호와 암호가 연결됩니다.

자세한 내용은 JDBC 드라이버 섹션을 참조하십시오.

ODBC에서 MFA 사용하기¶

MFA를 사용하여 Snowflake ODBC 드라이버를 통해 Snowflake에 연결할 수 있습니다. 기본적으로 사용자가 MFA에 등록할 때 Duo Push 인증 방법을 사용할 수 있으며, ODBC 설정을 변경할 필요가 없습니다.

푸시 방법 대신 Duo에서 생성되는 암호를 사용하려면 드라이버에 다음 매개 변수 중 1개를 반드시 지정해야 합니다.

passcode=<암호_문자열> 또는 passcodeInPassword=on

여기서

• passcode_string 은 연결 중인 사용자를 위해 Duo가 생성한 암호입니다. 이 암호는 Duo Mobile 애플리케이션 또는 SMS 암호에서 생성된 암호일 수 있습니다.

• passcodeInPassword=on 인 경우, <비밀번호_문자열><암호_문자열> 의 형식으로 비밀번호와 암호가 연결됩니다.

자세한 내용은 ODBC 드라이버 섹션을 참조하십시오.

Python에서 MFA 사용하기¶

MFA를 사용하여 Snowflake Python Connector를 통해 Snowflake에 연결할 수 있습니다. 기본적으로 사용자가 MFA에 등록할 때 Duo Push 인증 방법을 사용할 수 있으며, Python API 호출을 변경할 필요가 없습니다.

푸시 방법 대신 Duo에서 생성되는 암호를 사용하려면 connect() 메서드에서 드라이버에 다음 매개 변수 중 1개를 반드시 지정해야 합니다.

passcode=<암호_문자열> 또는 passcode_in_password=True

여기서

• passcode_string 은 연결 중인 사용자를 위해 Duo가 생성한 암호입니다. 이 암호는 Duo Mobile 애플리케이션 또는 SMS 암호에서 생성된 암호일 수 있습니다.

• passcode_in_password=True 인 경우, <비밀번호_문자열><암호_문자열> 의 형식으로 비밀번호와 암호가 연결됩니다.

자세한 내용은 Python Connector API 설명서의 함수 섹션에서 제공되는 connect() 메서드에 대한 설명을 참조하십시오.