Configuração de um provedor de identidade (IdP) para o Snowflake¶

Pré-requisitos¶

• Verifique se o AD FS 3.0 está instalado e funcionando no Windows Server 2012 R2.

• Certifique-se de que existe um usuário no AD FS para cada pessoa que precisará ter acesso ao Snowflake. Ao criar usuários, certifique-se de incluir um endereço de e-mail para cada usuário. Os endereços de e-mail são necessários para conectar os usuários no AD FS a seus usuários correspondentes no Snowflake.

Adição de uma terceira parte confiável para o Snowflake¶

No Console de gerenciamento do AD FS, use o Add Relying Party Trust Wizard para adicionar um novo objeto de confiança de terceira parte confiável ao banco de dados de configuração do AD FS:

1. Quando solicitado, selecione o botão de rádio Enter data about the relying party manually.

2. Na tela seguinte, insira um nome de exibição (por exemplo, “Snowflake”) para a terceira parte confiável.

3. Na tela seguinte, selecione o botão de rádio AD FS profile.

4. Pule a próxima tela (para especificar um certificado de criptografia de token opcional).

5. Na tela seguinte:

   • Marque a caixa de seleção Enable support for the SAML 2.0 WebSSO protocol.

   • No campo Relying party SAML 2.0 SSO service URL, digite a URL do SSO da sua conta Snowflake anexada a /fed/login. Por exemplo, para usar a URL de Nome da conta com conectividade privada, digite: https://<nomeorg>-<nome_conta>.privatelink.snowflakecomputing.com/fed/login. Para obter uma lista de formatos de URL possíveis, consulte Conexão com uma URL. Quando você criar a integração de segurança para autenticação federada, certifique-se de que seus parâmetros de URL correspondam ao formato usado nesse campo.

6. Na tela seguinte, no campo Relying party trust identifier, insira o URL de sua conta Snowflake, conforme especificado na etapa anterior.

7. Na tela seguinte, selecione o botão de rádio I do not want to configure multi-factor authentication settings for this relying party trust at this time.

8. Na tela seguinte, selecione o botão de rádio Permit all users to access this relying party.

9. Na tela seguinte, reveja sua configuração do objeto de confiança de terceira parte confiável. Certifique-se também de que, na guia Advanced, SHA-256 seja selecionado como o algoritmo de hash seguro.

10. Na tela seguinte, selecione Open the Edit Claim Rules dialog for this relying party trust when the wizard closes e clique em Close para finalizar a configuração do assistente.

Definição de regras de declaração para a terceira parte confiável do Snowflake¶

A janela Edit Claim Rules for snowflake_trust_name é aberta automaticamente após o fechamento do assistente. Você também pode abrir essa janela a partir do Console de gerenciamento do AD FS clicando em:

AD FS » Trust Relationships » Relying Party Trusts » snowflake_trust_name » Edit Claim Rules…

Na janela:

1. Crie uma regra para o envio de atributos LDAP como declarações:

   1. Clique em Add Rules e selecione Send LDAP Attributes as Claim.

   2. Na caixa de diálogo Edit Rule:

      • Insira um nome (por exemplo, “Obter atributos“) para a regra.

        • Ajuste Attribute store para: Active Directory.

        • Adicione dois atributos LDAP para a regra:

          • E-Mail-Addresses com E-Mail Address como o tipo de declaração de saída.

          • Display-Name com Name como o tipo de declaração de saída.

   3. Clique no botão OK para criar a regra.

2. Crie uma regra para transformar as declarações recebidas:

   1. Clique em Add Rules e selecione Transform an Incoming Claim.

   2. Na caixa de diálogo Add Transform Claim Rule Wizard:

      • Insira um nome (por exemplo, “Nome transformar ID”) para a regra de declaração.

      • Ajuste Incoming claim type para: E-Mail Address.

      • Ajuste Outgoing claim type para: Name ID.

      • Ajuste Outgoing name ID format para: Email.

      • Selecione o botão de rádio Pass through all claim values.

   3. Clique no botão Finish para criar a regra.

3. Clique no botão OK para terminar de adicionar regras de declaração para o objeto de confiança de terceira parte confiável do Snowflake.

Habilitação do logout global — Opcional¶

Para permitir o logout global do Snowflake no AD FS, no Console de gerenciamento do AD FS, clique em:

AD FS » Trust Relationships » Relying Party Trusts » <nome_de_confiança_snowflake> » Properties

Na caixa de diálogo Properties:

1. Vá até a guia Endpoints e clique no botão Add SAML….

2. Na caixa de diálogo Edit Endpoint:

   • Ajuste Endpoint type para: SAML Logout.

   • Ajuste Binding para: POST ou REDIRECT.

   • Ajuste Trusted URL para o valor especificado na etapa 1.

   • Deixe Response URL em branco.

   • Clique no botão OK para salvar suas alterações.

Obtenção do URL do SSO e o certificado¶

Para completar a configuração do AD FS, obtenha o URL do SSO e o certificado do AD FS. Você usará esses dois valores na próxima etapa: Migração para uma integração de segurança SAML2.

• SSO URL

  O ponto de extremidade do URL do AD FS para o qual o Snowflake enviará as solicitações SAML. Esse é normalmente o URL de login do AD FS, que geralmente é o endereço IP ou o nome de domínio totalmente qualificado (ou seja, FQDN) de seu servidor AD FS com /adfs/ls anexado ao final.

• Certificado

  Usado para verificar a comunicação entre o AD FS e o Snowflake. Você faz o download a partir do Console de gerenciamento do AD FS:

  1. No console, clique em:

     AD FS » Service » Certificates

  2. Na página Certificates, clique com o botão direito do mouse na entrada Token-signing e clique em View Certificate….

  3. Na caixa de diálogo Certificate, selecione a guia Details.

  4. Clique em Copy to File… para abrir o assistente de exportação de certificados.

  5. Para o formato de arquivo de exportação, selecione Base-64 encoded X.509 (.CER) e clique em Next.

  6. Salve o arquivo em um diretório em seu ambiente local.

  7. Abra o arquivo e copie o certificado, que consiste em uma única linha localizada entre as seguintes linhas:

     -----BEGIN CERTIFICATE-----
     <certificate>
     -----END CERTIFICATE-----
     

     Copy