AWS PrivateLink e Snowflake¶

AWS PrivateLink: visão geral¶

AWS PrivateLink é um serviço de criação de pontos de extremidade privados de VPC da AWS que permite conectividade direta e segura entre suas VPCs da AWS e a VPC Snowflake sem atravessar a internet pública. A conectividade AWS PrivateLink é compatível com serviços de ponto de extremidade de VPC e com VPCs da AWS que estejam em regiões diferentes da AWS ou na mesma. A conectividade entre regiões para o AWS PrivateLink permite que você use um serviço de ponto de extremidade personalizado para conectar uma conta Snowflake em uma região diferente da sua região da VPC da AWS. A conectividade entre regiões não é compatível atualmente com nenhum serviço de plataforma como serviço (PaaS), como o Amazon Simple Storage Service (Amazon S3) ou o serviço de gerenciamento de chaves (KMS).

Para obter mais informações, consulte a página do blog da AWS, Introducing Cross-Region Connectivity for AWS PrivateLink. Para obter informações sobre como encontrar os nomes de região da sua conta, consulte Encontrar o nome do provedor de nuvem da região da sua conta.

Ao escrever funções externas, você também pode usar o AWS PrivateLink com pontos de extremidade privados.

Se você tiver um ambiente no local (por exemplo, um data center não hospedado), você pode optar por usar o AWS Direct Connect com o AWS PrivateLink para conectar todos os seus ambientes virtuais e físicos em uma única rede privada.

Habilitação do AWS PrivateLink¶

Para habilitar o AWS PrivateLink para sua conta Snowflake, complete as seguintes etapas:

1. Gere um token federado e salve a saída.

   1. Para gerar um token, execute o comando AWS CLI STS. get-federation-token requer um usuário de gerenciamento de identidade e acesso na AWS ou o usuário raiz da conta da AWS. Para obter mais detalhes, consulte a documentação do AWS.

      Importante

      O token federado expira após 12 horas. Se você chamar qualquer uma das funções do sistema para autorizar, verificar ou desativar sua conta Snowflake para usar o AWS PrivateLink e o token tiver expirado, gere o token de novo executando o comando STS da AWS CLI.

      aws sts get-federation-token --name sam
      

      Copy

      Em uma etapa posterior, você fornece a saída deste comando como o argumento federated_token para a função SYSTEM$AUTHORIZE_PRIVATELINK.

   2. Do token gerado, extraia o valor do campo "FederatedUserId". Por exemplo, se seu token tiver os seguintes valores:

      {
       ...
         "FederatedUser": {
           "FederatedUserId": "185...:sam",
           "Arn": "arn:aws:sts::185...:federated-user/sam"
         },
       "PackedPolicySize": 0
      }
      

      Copy

      Extraia 185.... Na próxima etapa, você fornece este número de 12 dígitos como o argumento aws_id para a função SYSTEM$AUTHORIZE_PRIVATELINK.

2. Usando a função do sistema ACCOUNTADMIN do Snowflake, chame a função SYSTEM$AUTHORIZE_PRIVATELINK para autorizar (habilitar) o AWS PrivateLink para sua conta Snowflake:

   SELECT SYSTEM$AUTHORIZE_PRIVATELINK ( '<aws_id>' , '<federated_token>' );
   

   Copy

   Onde:

   • 'aws_id'

     O identificador de 12 dígitos que identifica de forma única sua conta no Amazon Web Services (AWS) como uma cadeia de caracteres.

   • 'federated_token'

     O valor do token federado que contém as credenciais de acesso para um usuário federado como uma cadeia de caracteres.

   Por exemplo:

   USE ROLE ACCOUNTADMIN;
   
   SELECT SYSTEM$AUTHORIZE_PRIVATELINK (
     '185...',
       '{
         "Credentials": {
           "AccessKeyId": "ASI...",
           "SecretAccessKey": "enw...",
           "SessionToken": "Fwo...",
           "Expiration": "2021-01-07T19:06:23+00:00"
         },
         "FederatedUser": {
           "FederatedUserId": "185...:sam",
           "Arn": "arn:aws:sts::185...:federated-user/sam"
         },
         "PackedPolicySize": 0
        }'
     );
   

   Copy

   Para verificar sua configuração, chame a função SYSTEM$GET_PRIVATELINK em sua conta Snowflake na AWS. Esta função usa os mesmos valores de argumento para 'aws_id' e 'federated_token' que foram usados para autorizar sua conta Snowflake.

   SYSTEM$GET_PRIVATELINK retorna Account is authorized for PrivateLink. para uma autorização bem-sucedida.

3. Opcional: se for necessário desabilitar o AWS PrivateLink em sua conta Snowflake, chame a função SYSTEM$REVOKE_PRIVATELINK usando os mesmos valores de argumento para 'aws_id' e 'federated_token'.

Para reforçar ainda mais sua postura de segurança, a Snowflake recomenda fixar pontos de extremidade privados para sua conta Snowflake. Para obter mais informações, consulte Fixação de pontos de extremidade de conectividade privada para tráfego de entrada.

Configuração do ambiente VPC da AWS¶

SELECT CURRENT_REGION();

+------------------+
| CURRENT_REGION() |
|------------------|
| AWS_US_WEST_2    |
+------------------+

SHOW REGIONS;

+------------------+-------+-----------|-----------------+
| snowflake_region | cloud | region    | display_name    |
|------------------|-------|-----------|-----------------|
| AWS_US_WEST_2    | aws   | us-west-2 | US West (Oregon)|
+------------------+-------+-----------+-----------------+

Conexão com o Snowflake¶

Antes de se conectar ao Snowflake, você pode opcionalmente usar a ferramenta de diagnóstico da conectividade do Snowflake (SnowCD) para avaliar a conexão de rede com o Snowflake e o AWS PrivateLink.

Para obter mais informações, consulte SnowCD e SYSTEM$ALLOWLIST_PRIVATELINK.

Caso conectividade privada, conecte-se ao Snowflake com a URL da sua conta de conectividade privada.

Se você quiser se conectar ao Snowsight pelo AWS PrivateLink, siga as instruções na Documentação do Snowsight.

Bloqueio de acesso público — Recomendado¶

Depois de testar a conectividade privada com o Snowflake usando o AWS PrivateLink, uma opção é bloquear o acesso público ao Snowflake. Isso significa que os usuários só podem acessar o Snowflake se sua solicitação de conexão tiver origem em um endereço IP dentro de um determinado intervalo de blocos CIDR especificado em uma política de redes do Snowflake.

Para bloquear o acesso público usando uma política de redes:

1. Crie uma nova política de redes ou edite uma política de redes existente.

2. Adicione o intervalo de blocos CIDR para sua organização.

3. Ative a política de redes para sua conta.

Para obter mais informações, consulte Controle do tráfego de rede com políticas de rede.

Configuração de clientes Snowflake¶

As seções a seguir descrevem como configurar clientes Snowflake para casos de uso específicos.

Uso de SSO com o AWS PrivateLink¶

O Snowflake oferece suporte ao uso de SSO com o AWS PrivateLink. Para obter mais informações, consulte:

• SSO com conectividade privada

• Aplicativos de parceiros

Uso do redirecionamento do cliente com o AWS PrivateLink¶

O Snowflake oferece suporte ao uso do redirecionamento do cliente com o AWS PrivateLink.

Para obter mais informações, consulte Redirecionamento de conexões do cliente.

Usando replicação e Tri-Secret Secure com conectividade privada¶

O Snowflake oferece suporte à replicação de seus dados da conta de origem para a conta de destino, independentemente de você habilitar o Tri-Secret Secure ou este recurso na conta de destino.

Solução de problemas¶

Para solucionar problemas que você possa encontrar com o PrivateLink, consulte os seguintes artigos da Comunidade Snowflake:

• Como recuperar um token de federação do AWS for PrivateLink Self-Service

• FAQ: PrivateLink Self-Service com AWS

• Solução de problemas: funções de auto-serviço Snowflake para AWS PrivateLink