Visão geral da autenticação federada e SSO¶

Fluxo de trabalho de login¶

Quando um usuário faz login, o comportamento do sistema é determinado se o login é iniciado por meio do Snowflake ou do IdP:

• Login iniciado pelo Snowflake:

  Para fazer login pelo Snowflake:

  1. O usuário vai para a interface da Web do Snowflake.

  2. O usuário escolhe fazer login usando o IdP configurado para sua conta (Okta, AD FS ou um IdP personalizado).

  3. O usuário se autentica com o IdP usando suas credenciais IdP (por exemplo, endereço de e-mail e senha).

  4. Se a autenticação for bem-sucedida, o IdP envia uma resposta SAML ao Snowflake para iniciar uma sessão e exibe a interface da Web do Snowflake.

  Nota

  Para login iniciado pelo Snowflake, a página de login do Snowflake oferece duas opções de autenticação (IdP ou Snowflake). Para usar a autenticação federada, os usuários devem escolher a opção IdP e então inserir suas credenciais quando solicitados. A escolha da opção Snowflake evita a autenticação federada e registra o usuário no uso da autenticação nativa do Snowflake.

• Login iniciado pelo IdP:

  Para fazer login em sua conta por meio do IdP:

  1. O usuário acessa o site/aplicativo IdP e se autentica usando suas credenciais IdP (por exemplo, endereço de e-mail e senha).

  2. No IdP, o usuário clica no aplicativo Snowflake (se estiver usando Okta ou AD FS) ou no aplicativo personalizado que foi definido no IdP (se estiver usando outro IdP).

  3. O IdP envia uma resposta SAML ao Snowflake para iniciar uma sessão e então exibe a interface da Web do Snowflake.

Fluxo de trabalho de logout¶

Quando um usuário faz logout, as opções disponíveis são ditadas pelo fato de o IdP oferecer suporte para logout global ou apenas para logout padrão:

Padrão:

Exige que os usuários façam logout explícito tanto do IdP quanto do Snowflake para se desconectar completamente. Todos os IdPs oferecem suporte ao logout padrão.

Global:

Permite que um usuário saia do IdP e posteriormente de todas as suas sessões do Snowflake. O suporte para logout global depende do IdP.

Além disso, o comportamento do sistema é determinado se o logout é iniciado por meio do Snowflake ou do IdP:

• Logout iniciado pelo Snowflake:

  O logout global não é compatível com o Snowflake, independentemente do suporte do IdP. Quando um usuário sai de uma sessão do Snowflake, ele é desconectado somente daquela sessão. Todas as outras sessões atuais do Snowflake permanecem abertas, assim como a sessão do IdP. Como resultado, os usuários podem continuar trabalhando em suas outras sessões ou podem iniciar sessões adicionais sem ter que se autenticar novamente por meio do IdP.

  Para desconectar-se completamente, os usuários devem sair explicitamente do Snowflake e do IdP.

• Logout iniciado pelo IdP:

  Quando um usuário faz logout por meio de um IdP, o comportamento depende do fato de o IdP oferecer suporte somente ao logout padrão ou também ao logout global:

  • AD FS é compatível tanto com o logout padrão quanto com o logout global. Se o logout global estiver ativado, a página de login do FS IdP do AD fornece uma opção para sair de todos os sites que o usuário acessou. Selecionar esta opção e clicar em Sign Out faz com que o usuário saia do AD FS e de todas as suas sessões do Snowflake. Para acessar o Snowflake novamente, eles devem se reautenticar usando o AD FS.

  • O Okta oferece suporte apenas ao logout padrão. Quando um usuário sai do Okta, ele não é automaticamente desconectado de nenhuma de suas sessões ativas do Snowflake e pode continuar trabalhando. Entretanto, para iniciar qualquer nova sessão do Snowflake, o usuário deve se autenticar novamente por meio do Okta.

  • Todos os provedores personalizados oferecem suporte ao logout padrão; o suporte para logout global varia de acordo com o provedor.

  Nota

  Para um IdP baseado na Web (por exemplo, Okta), fechar a guia/janela do navegador não encerra necessariamente a sessão do IdP. Se a sessão do IdP de um usuário ainda estiver ativa, ele ainda poderá acessar o Snowflake até que a sessão do IdP expire.

Fluxo de trabalho de tempo limite¶

Quando a sessão de um usuário atinge o tempo limite, o comportamento é determinado pelo tempo limite da sessão do Snowflake ou do IdP:

• Tempo limite do Snowflake:

  Se um usuário fizer login no Snowflake usando SSO e sua sessão do Snowflake expirar devido a inatividade, a interface da Web do Snowflake é desativada e o prompt para a autenticação IdP é exibido:

  • Para continuar usando a sessão do Snowflake expirada, o usuário deve se autenticar novamente por meio do IdP.

  • O usuário pode sair da sessão clicando no botão Cancel.

  • O usuário também pode ir diretamente ao site/aplicativo do IdP e reiniciar o Snowflake, mas isso inicia uma nova sessão do Snowflake.

• Tempo limite do IdP:

  Após um período especificado (definido pelo IdP), a sessão de um usuário no IdP se encerra automaticamente, mas isso não afeta suas sessões do Snowflake. Qualquer sessão do Snowflake que esteja ativa no momento permanece aberta e não requer reautenticação. Entretanto, para iniciar qualquer nova sessão do Snowflake, o usuário deve fazer o login novamente no IdP.