워크로드 ID 페더레이션¶

AWS 구성하기¶

AWS 서비스를 구성하여 AWS IAM을 ID 공급자로 사용하려면 IAM 역할을 연결합니다. 자세한 내용은 워크로드에 해당하는 AWS 설명서를 참조하세요.

• Amazon EC2의 경우 `인스턴스에 IAM 역할 연결<https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/attach-iam-role.html>`_을 참조하세요.

• AWSLambda의 경우 `실행 역할로 Lambda 함수 권한 정의하기<https://docs.aws.amazon.com/lambda/latest/dg/lambda-intro-execution-role.html>`_를 참조하세요.

Snowflake 구성하기¶

Snowflake를 구성하려면 워크로드 ID 페더레이션을 사용하여 Snowflake에 인증하는 Snowflake 서비스 사용자, 즉 SERVICE 유형의 사용자를 생성합니다.

워크로드에 대한 서비스 사용자를 생성:

1. Snowsight 에 로그인합니다.

2. 워크시트 목록을 열려면 Projects » :ui:`Worksheets`를 선택합니다.

3. 새 SQL 워크시트를 열려면 :ui:`+`를 선택합니다.

4. 워크로드 ID 페더레이션을 사용하여 Snowflake에 인증하는 서비스 사용자를 생성하려면 워크시트의 CREATE USER 문을 실행합니다.

   CREATE USER <username>
     WORKLOAD_IDENTITY = (
       TYPE = AWS
       ARN = '<amazon_resource_identifier>'
     )
     TYPE = SERVICE
     DEFAULT_ROLE = PUBLIC;
   

   Copy

   여기서, :code:`ARN`은 이러한 단계를 시작하기 전에 가져온 값입니다.

Snowflake 드라이버를 사용하도록 워크로드 구성하기¶

워크로드에 Python 드라이버가 필요한 경우 다음 단계를 완료합니다.

1. :doc:`Python용 Snowflake Connector를 설치</developer-guide/python-connector/python-connector-install>`합니다.

2. Python 애플리케이션 코드에서 다음 소스 코드를 추가합니다.

   import os
   import snowflake.connector
   
   
   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='AWS'
   )
   

   Copy

3. Python 애플리케이션을 실행합니다. 워크로드 ID 페더레이션을 사용하여 Snowflake에 인증합니다.

Microsoft Entra ID 구성하기¶

Microsoft Entra ID 테넌트 관리자가 Snowflake 워크로드 ID 사용을 허용하려면 다음 단계를 완료해야 합니다. 해당 단계는 Microsoft Entra ID 테넌트당 한 번만 수행해야 합니다.

1. Microsoft Azure 포털에 로그인합니다.

2. Azure tenant 관리자 권한이 있는지 확인합니다.

3. `동의 URI<https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=fd3f753b-eed3-462c-b6a7-a4b5bb650aad&response_type=none&scope=openid&redirect_uri=https://www.snowflake.com/>`_를 방문하여 다중 테넌트 Snowflake EntraID 앱 설치에 동의합니다.

   다중 테넌트 Snowflake EntraID 앱은 게시자 검증을 받았으며 Snowflake를 리소스로 나타냅니다. 앱은 Snowflake에 인증할 때 액세스 토큰의 대상 그룹으로 사용됩니다. 이 앱에는 기본 권한만 필요하며 특권이 없습니다.

4. :ui:`Accept`를 선택하여 Snowflake EntraID 앱에 권한을 부여합니다.

Microsoft Azure 구성하기¶

Microsoft Azure 서비스를 구성하여 워크로드 ID 페더레이션을 사용하려면 다음 단계를 완료합니다.

1. Microsoft Azure 포털에 로그인합니다.

2. `가상 머신<https://learn.microsoft.com/en-us/azure/virtual-machines/>`_ 또는 `앱 서비스<https://learn.microsoft.com/en-us/azure/app-service>`_와 같은 워크로드를 선택합니다.

3. 사이드바에서 Security »:ui:`Identity`로 이동합니다.

4. `Azure VM<https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/how-to-configure-managed-identities?pivots=qs-configure-portal-windows-vm#system-assigned-managed-identity>`_ 또는 `Azure 함수<https://learn.microsoft.com/en-us/azure/app-service/overview-managed-identity?tabs=portal%2Chttp>`_에 대한 관리 ID를 활성화합니다.

5. 이후 단계를 위해 :extui:`Object (Principal) ID`를 저장합니다.

Snowflake 구성하기¶

Snowflake를 구성하려면 워크로드 ID 페더레이션을 사용하여 Snowflake에 인증하는 Snowflake 서비스 사용자, 즉 SERVICE 유형의 사용자를 생성합니다.

워크로드에 대한 서비스 사용자를 생성:

1. Snowsight 에 로그인합니다.

2. 워크시트 목록을 열려면 Projects » :ui:`Worksheets`를 선택합니다.

3. 새 SQL 워크시트를 열려면 :ui:`+`를 선택합니다.

4. 워크로드 ID 페더레이션을 사용하여 Snowflake에 인증하는 서비스 사용자를 생성하려면 워크시트의 CREATE USER 문을 실행합니다.

   CREATE USER <username>
     WORKLOAD_IDENTITY = (
       TYPE = AZURE
       ISSUER = 'https://login.microsoftonline.com/<tenant_id>/v2.0'
       SUBJECT = '<managed_identity_object_id>'
     )
     TYPE = SERVICE
     DEFAULT_ROLE = PUBLIC;
   

   Copy

   여기서, ISSUER 및 :code:`SUBJECT`는 해당 단계를 시작하기 전에 가져온 값입니다.

Snowflake 드라이버를 사용하도록 워크로드 구성하기¶

워크로드에 Python 드라이버가 필요한 경우 다음 단계를 완료합니다.

1. :doc:`Python용 Snowflake Connector를 설치</developer-guide/python-connector/python-connector-install>`합니다.

2. Python 애플리케이션 코드에서 다음 소스 코드를 추가합니다.

   import snowflake.connector
   
   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='AZURE'
   )
   

   Copy

3. Python 애플리케이션을 실행합니다. 워크로드 ID 페더레이션을 사용하여 Snowflake에 인증합니다.

Google Cloud 구성하기¶

|google-csp|를 ID 공급자로 사용하도록 서비스를 구성하려면 `GCE 또는 Cloud Run 인스턴스에 서비스를 연결<https://cloud.google.com/compute/docs/instances/change-service-account>`_합니다.

Snowflake 구성하기¶

Snowflake를 구성하려면 워크로드 ID 페더레이션을 사용하여 Snowflake에 인증하는 Snowflake 서비스 사용자, 즉 SERVICE 유형의 사용자를 생성합니다.

gcloud iam service-accounts describe "<SERVICE_ACCOUNT_EMAIL_ADDRESS>" --format="value(uniqueId)"

워크로드에 대한 서비스 사용자를 생성:

1. Snowsight 에 로그인합니다.

2. 워크시트 목록을 열려면 Projects » :ui:`Worksheets`를 선택합니다.

3. 새 SQL 워크시트를 열려면 :ui:`+`를 선택합니다.

4. 워크로드 ID 페더레이션을 사용하여 Snowflake에 인증하는 서비스 사용자를 생성하려면 워크시트의 CREATE USER 문을 실행합니다.

   CREATE USER <username>
     WORKLOAD_IDENTITY = (
       TYPE = GCP
       SUBJECT = '<unique_id_of_service_account>'
     )
     TYPE = SERVICE
     DEFAULT_ROLE = PUBLIC;
   

   Copy

   여기서, :code:`SUBJECT`는 해당 단계를 시작하기 전에 가져온 값입니다.

Snowflake 드라이버를 사용하도록 워크로드 구성하기¶

워크로드에 Python 드라이버가 필요한 경우 다음 단계를 완료합니다.

1. :doc:`Python용 Snowflake Connector를 설치</developer-guide/python-connector/python-connector-install>`합니다.

2. Python 애플리케이션 코드에서 다음 소스 코드를 추가합니다.

   import snowflake.connector
   
   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='GCP'
   )
   

   Copy

3. Python 애플리케이션을 실행합니다. 워크로드 ID 페더레이션을 사용하여 Snowflake에 인증합니다.

EKS 구성하기¶

1. Snowflake와 호환되는 ID 토큰을 발급하도록 |aws-kubernetes-short|를 구성합니다.

   1. `포드 배포 YAML을 구성하여 예상되는 ServiceAccount 토큰 볼륨을 포함<https://kubernetes.io/docs/tasks/configure-pod-container/configure-service-account/#launch-a-pod-using-service-account-token-projection>`_합니다.

   2. ``snowflakecomputing.com``을 통해 대상 그룹 클레임을 포함하도록 ID 토큰을 구성합니다.

      다음은 적절한 대상 그룹을 포함하는 YAML 구성의 예제입니다.

      kind: Pod
      metadata:
        name: nginx
      spec:
        containers:
        - image: nginx
          name: nginx
          volumeMounts:
          - mountPath: /var/run/secrets/tokens
            name: snowflake-token
        serviceAccountName: build-robot
        volumes:
        - name: snowflake-token
          projected:
            sources:
            - serviceAccountToken:
                path: snowflake-token
                expirationSeconds: 7200
                audience: snowflakecomputing.com
      

      Copy

Snowflake 구성하기¶

Snowflake를 구성하려면 워크로드 ID 페더레이션을 사용하여 Snowflake에 인증하는 Snowflake 서비스 사용자, 즉 SERVICE 유형의 사용자를 생성합니다.

워크로드에 대한 서비스 사용자를 생성:

1. Snowsight 에 로그인합니다.

2. 워크시트 목록을 열려면 Projects » :ui:`Worksheets`를 선택합니다.

3. 새 SQL 워크시트를 열려면 :ui:`+`를 선택합니다.

4. 워크로드 ID 페더레이션을 사용하여 Snowflake에 인증하는 서비스 사용자를 생성하려면 워크시트의 CREATE USER 문을 실행합니다.

   CREATE USER my_eks_service
     WORKLOAD_IDENTITY = (
       TYPE = OIDC
       ISSUER = 'https://oidc.eks.<region>.amazonaws.com/id/<issuer_id>'
       SUBJECT = 'system:serviceaccount:<service_account_namespace>:<service_account_name>'
     )
     TYPE = SERVICE;
   

   Copy

   여기서, ISSUER 및 :code:`SUBJECT`는 해당 단계를 시작하기 전에 가져온 값입니다.

Snowflake 드라이버를 사용하도록 워크로드 구성하기¶

워크로드에 Python 드라이버가 필요한 경우 다음 단계를 완료합니다.

1. :doc:`Python용 Snowflake Connector를 설치</developer-guide/python-connector/python-connector-install>`합니다.

2. Python 애플리케이션 코드에서 다음 소스 코드를 추가합니다.

   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='OIDC',
     token_file_path='<service_account_token_path>'
   )
   

   Copy

   여기서, service_account_token_path`는 :ref:`label-wif_oidc_aws_kubernetes_configure_aws 단계에서 생성한 토큰입니다. 해당 단계의 YAML 예제를 기반으로 토큰 경로는 ``/var/run/secrets/tokens/snowflake-token``이 됩니다.

3. Python 애플리케이션을 실행합니다. 워크로드 ID 페더레이션을 사용하여 Snowflake에 인증합니다.

AKS 구성하기¶

Snowflake와 호환되는 ID 토큰을 발급하도록 AKS 구성하기:

1. `AKS 클러스터에 OIDC 발급자를 활성화<https://learn.microsoft.com/en-us/azure/aks/use-oidc-issuer>`_합니다.

2. Snowflake와 호환되는 ID 토큰을 발급하도록 |microsoft-azure-kubernetes-short|를 구성합니다.

   1. `포드 배포 YAML을 구성하여 예상되는 ServiceAccount 토큰 볼륨을 포함<https://kubernetes.io/docs/tasks/configure-pod-container/configure-service-account/#launch-a-pod-using-service-account-token-projection>`_합니다.

   2. ``snowflakecomputing.com``을 통해 대상 그룹 클레임을 포함하도록 ID 토큰을 구성합니다.

      다음은 적절한 대상 그룹을 포함하는 YAML 구성의 예제입니다.

      kind: Pod
      metadata:
        name: nginx
      spec:
        containers:
        - image: nginx
          name: nginx
          volumeMounts:
          - mountPath: /var/run/secrets/tokens
            name: snowflake-token
        serviceAccountName: build-robot
        volumes:
        - name: snowflake-token
          projected:
            sources:
            - serviceAccountToken:
                path: snowflake-token
                expirationSeconds: 7200
                audience: snowflakecomputing.com
      

      Copy

Snowflake 구성하기¶

Snowflake를 구성하려면 워크로드 ID 페더레이션을 사용하여 Snowflake에 인증하는 Snowflake 서비스 사용자, 즉 SERVICE 유형의 사용자를 생성합니다.

워크로드에 대한 서비스 사용자를 생성:

1. Snowsight 에 로그인합니다.

2. 워크시트 목록을 열려면 Projects » :ui:`Worksheets`를 선택합니다.

3. 새 SQL 워크시트를 열려면 :ui:`+`를 선택합니다.

4. 워크로드 ID 페더레이션을 사용하여 Snowflake에 인증하는 서비스 사용자를 생성하려면 워크시트의 CREATE USER 문을 실행합니다.

   CREATE USER my_aks_service
     WORKLOAD_IDENTITY = (
       TYPE = OIDC
       ISSUER = 'https://<region>.oic.prod-aks.azure.com/<tenant_id>/<uuid>/'
       SUBJECT = 'system:serviceaccount:<service_account_namespace>:<service_account_name>'
     )
     TYPE = SERVICE;
   

   Copy

   여기서, ISSUER 및 :code:`SUBJECT`는 해당 단계를 시작하기 전에 가져온 값입니다.

Snowflake 드라이버를 사용하도록 워크로드 구성하기¶

워크로드에 Python 드라이버가 필요한 경우 다음 단계를 완료합니다.

1. :doc:`Python용 Snowflake Connector를 설치</developer-guide/python-connector/python-connector-install>`합니다.

2. Python 애플리케이션 코드에서 다음 소스 코드를 추가합니다.

   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='OIDC',
     token_file_path='<service_account_token_path>'
   )
   

   Copy

   여기서, service_account_token_path`는 :ref:`label-wif_oidc_azure_kubernetes_configure_azure 단계에서 생성한 토큰입니다. 해당 단계의 YAML 예제를 기반으로 토큰 경로는 ``/var/run/secrets/tokens/snowflake-token``이 됩니다.

3. Python 애플리케이션을 실행합니다. 워크로드 ID 페더레이션을 사용하여 Snowflake에 인증합니다.

GKE 구성하기¶

1. Snowflake와 호환되는 ID 토큰을 발급하도록 |google-kubernetes-short|를 구성합니다.

   1. `포드 배포 YAML을 구성하여 예상되는 ServiceAccount 토큰 볼륨을 포함<https://kubernetes.io/docs/tasks/configure-pod-container/configure-service-account/#launch-a-pod-using-service-account-token-projection>`_합니다.

   2. ``snowflakecomputing.com``을 통해 대상 그룹 클레임을 포함하도록 ID 토큰을 구성합니다.

      다음은 적절한 대상 그룹을 포함하는 YAML 구성의 예제입니다.

      kind: Pod
      metadata:
        name: nginx
      spec:
        containers:
        - image: nginx
          name: nginx
          volumeMounts:
          - mountPath: /var/run/secrets/tokens
            name: snowflake-token
        serviceAccountName: build-robot
        volumes:
        - name: snowflake-token
          projected:
            sources:
            - serviceAccountToken:
                path: snowflake-token
                expirationSeconds: 7200
                audience: snowflakecomputing.com
      

      Copy

Snowflake 구성하기¶

Snowflake를 구성하려면 워크로드 ID 페더레이션을 사용하여 Snowflake에 인증하는 Snowflake 서비스 사용자, 즉 SERVICE 유형의 사용자를 생성합니다.

워크로드에 대한 서비스 사용자를 생성:

1. Snowsight 에 로그인합니다.

2. 워크시트 목록을 열려면 Projects » :ui:`Worksheets`를 선택합니다.

3. 새 SQL 워크시트를 열려면 :ui:`+`를 선택합니다.

4. 워크로드 ID 페더레이션을 사용하여 Snowflake에 인증하는 서비스 사용자를 생성하려면 워크시트의 CREATE USER 문을 실행합니다.

   CREATE USER my_gke_service
     WORKLOAD_IDENTITY = (
       TYPE = OIDC
       ISSUER = 'https://container.googleapis.com/v1/projects/<project_id>/locations/<region>/clusters/<cluster_name>'
       SUBJECT = 'system:serviceaccount:<service_account_namespace>:<service_account_name>'
     )
     TYPE = SERVICE;
   

   Copy

   여기서, ISSUER 및 :code:`SUBJECT`는 해당 단계를 시작하기 전에 가져온 값입니다.

Snowflake 드라이버를 사용하도록 워크로드 구성하기¶

워크로드에 Python 드라이버가 필요한 경우 다음 단계를 완료합니다.

1. :doc:`Python용 Snowflake Connector를 설치</developer-guide/python-connector/python-connector-install>`합니다.

2. Python 애플리케이션 코드에서 다음 소스 코드를 추가합니다.

   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='OIDC',
     token_file_path='<service_account_token_path>'
   )
   

   Copy

   여기서, service_account_token_path`는 :ref:`label-wif_oidc_google_kubernetes_configure_google 단계에서 생성한 토큰입니다. 해당 단계의 YAML 예제를 기반으로 토큰 경로는 ``/var/run/secrets/tokens/snowflake-token``이 됩니다.

3. Python 애플리케이션을 실행합니다. 워크로드 ID 페더레이션을 사용하여 Snowflake에 인증합니다.

OIDC 공급자 구성하기¶

1. 디스커버리 사양에 지정된 대로 OIDC 공급자가 OpenID 구성<https://openid.net/specs/openid-connect-discovery-1_0.html#ProviderConfig>`_을 지원하는지 확인합니다. 구성 및 구성의 ``jwks_uri` 엔드포인트는 공개적으로 액세스할 수 있어야 합니다.

2. snowflakecomputing.com 또는 비어 있지 않은 사용자 지정 목록으로 설정된 대상 클레임으로 ID 토큰을 발급하도록 OpenID 공급자를 구성합니다. 비어 있지 않은 사용자 지정 목록을 정의하는 경우 Snowflake에서 서비스 사용자를 생성할 때 지정해야 합니다.

Snowflake 구성하기¶

Snowflake를 구성하려면 워크로드 ID 페더레이션을 사용하여 Snowflake에 인증하는 Snowflake 서비스 사용자, 즉 SERVICE 유형의 사용자를 생성합니다.

ID_TOKEN_PATH=<id_token_path>

JWS_PAYLOAD=$(cat $ID_TOKEN_PATH | jq -R 'split(".") | .[1] | gsub("-";"+") | gsub("_";"/") | @base64d | fromjson')
echo "ISSUER = '$(echo $JWS_PAYLOAD | jq -r .iss)'"
echo "SUBJECT = '$(echo $JWS_PAYLOAD | jq -r .sub)'"

워크로드에 대한 서비스 사용자를 생성:

1. Snowsight 에 로그인합니다.

2. 워크시트 목록을 열려면 Projects » :ui:`Worksheets`를 선택합니다.

3. 새 SQL 워크시트를 열려면 :ui:`+`를 선택합니다.

4. 워크로드 ID 페더레이션을 사용하여 Snowflake에 인증하는 서비스 사용자를 생성하려면 워크시트의 CREATE USER 문을 실행합니다.

   CREATE USER my_custom_service
     WORKLOAD_IDENTITY = (
       TYPE = OIDC
       ISSUER = '<issuer>'
       SUBJECT = '<subject>'
       OIDC_AUDIENCE_LIST = ('<custom_audience>')
     )
     TYPE = SERVICE;
   

   Copy

   여기서

   • ISSUER 및 :code:`SUBJECT`는 해당 단계를 시작하기 전에 가져온 값입니다.

   • :code:`OIDC_AUDIENCE_LIST`는 :ref:`label-wif_oidc_custom_configure_custom`에 설정된 ID 토큰의 대상 그룹 클레임의 비어 있지 않은 상위 ​​집합입니다. ID 토큰의 대상 그룹 클레임이 ``snowflakecomputing.com``인 경우 :code:`OIDC_AUDIENCE_LIST`를 지정할 필요가 없습니다.

Snowflake 드라이버를 사용하도록 워크로드 구성하기¶

워크로드에 Python 드라이버가 필요한 경우 다음 단계를 완료합니다.

1. :doc:`Python용 Snowflake Connector를 설치</developer-guide/python-connector/python-connector-install>`합니다.

2. Python 애플리케이션 코드에서 다음 소스 코드를 추가합니다.

   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='OIDC',
     token='<id_token>'
   )
   

   Copy

   여기서, :samp:`{id_token}`은 워크로드에 대한 OIDC 공급자에서 받은, 만료되지 않은 ID 토큰입니다. 이 토큰을 가져오는 방법을 알아보려면 OIDC 공급자에 대한 설명서를 참조하세요.

3. Python 애플리케이션을 실행합니다. 워크로드 ID 페더레이션을 사용하여 Snowflake에 인증합니다.