Gerenciamento/uso da autenticação federada¶

Como funciona o SSO baseado em navegador¶

Quando um aplicativo cliente é configurado para usar SSO baseado em navegador, o aplicativo usa o seguinte fluxo de trabalho para autenticação do usuário:

1. O aplicativo inicia o navegador da Web padrão no sistema operacional do usuário ou abre uma nova guia/janela do navegador, exibindo a página de autenticação do IdP.

2. O usuário insere suas credenciais IdP (nome de usuário e senha).

3. Se o usuário estiver inscrito na MFA (autenticação multifator) no Snowflake, ele será solicitado a digitar a senha de MFA (enviada de outro dispositivo) ou a confirmar a autenticação (no outro dispositivo).

4. Após o IdP ter autenticado as credenciais do usuário, o navegador exibe uma mensagem de sucesso. O usuário pode então fechar a guia/janela do navegador (ela não precisa estar aberta após a autenticação), retornar ao aplicativo e usar a sessão Snowflake que foi iniciada.

Requisitos para uso de SSO baseado em navegador¶

Com SSO baseado em navegador, o cliente fornecido pelo Snowflake (por exemplo, o driver Snowflake JDBC) precisa ser capaz de abrir o navegador da Web do usuário. Por esse motivo, o cliente fornecido pelo Snowflake e o aplicativo cliente que o utiliza precisam ser instalados na máquina do usuário. O SSO baseado em navegador não funciona se o cliente fornecido pelo Snowflake for usado por código que roda em um servidor.

Configuração de SSO baseado em navegador¶

Para configurar o SSO baseado em navegador para autenticação, defina o parâmetro/opção de login authenticator para externalbrowser para o cliente.

Uso do cache de conexão para minimizar o número de tentativas de autenticação — Opcional¶

Sempre que um aplicativo cliente estabelece uma nova conexão com o Snowflake, o usuário é solicitado a se autenticar. Isso pode resultar em múltiplas solicitações de autenticação se o aplicativo cliente estabelecer uma conexão várias vezes.

Para minimizar o número de vezes que um usuário é solicitado a se autenticar, o administrador da conta pode habilitar o cache de conexão.

Quando o cache de conexão é ativado, o aplicativo cliente armazena um token de conexão para uso em conexões subsequentes. Por segurança, o token de conexão é armazenado no keystore do sistema operacional. Antes de ativar o cache de conexão, consulte sua equipe de segurança para determinar se isso está de acordo com as políticas de segurança.

O Snowflake oferece suporte ao cache de conexão com os seguintes drivers e conectores em macOS e Windows (atualmente, este recurso não é compatível com Linux):

• Driver Go versão 1.6.15 (ou posterior)

• Driver JDBC versão 3.12.8 (ou posterior)

• Driver ODBC versão 2.21.2 (ou posterior)

• Conector Snowflake para Python 2.2.8 (ou posterior)

Para permitir o cache de conexão:

1. Defina o parâmetro no nível da conta ALLOW_ID_TOKEN como true:

   alter account set allow_id_token = true;
   

   Copy

   Nota

   Você deve ser um administrador de conta (ou seja, um usuário com a função ACCOUNTADMIN) para permitir o cache de conexão.

2. Adicione o pacote ou as bibliotecas necessárias para o driver ou conector:

   • Se você estiver usando o conector Snowflake para Python, instale o pacote opcional de token de autenticação executando:

     pip install "snowflake-connector-python[secure-local-storage]"
     

     Copy

     Você deve inserir os colchetes ([ e ]) como mostrado no comando. Os colchetes especificam a parte extra do pacote que deve ser instalada.

     Use aspas ao redor do nome do pacote, como mostrado, para evitar que os colchetes sejam interpretados como um curinga.

     Se você precisar instalar outros extras (por exemplo, pandas para usando as APIs do conector Python para Pandas), use uma vírgula entre os extras:

     pip install "snowflake-connector-python[secure-local-storage,pandas]"
     

     Copy

   • Para o driver Snowflake JDBC, consulte Adição de classes JNA a seu classpath.

Atualização para Okta Identity Engine¶

Se você estiver atualizando do Okta Classic para o Okta Identity Engine for SSO nativo, será necessário atualizar os drivers do cliente Snowflake antes da atualização.

Se você encontrar erros HTTP 429 após a atualização, é provável que tenha atingido o limite de taxa imposto pelo ponto de extremidade de autenticação usado pelos drivers de cliente mais recentes. Para obter mais detalhes, consulte Erros HTTP 429 (neste tópico).

Erros HTTP 429¶

O Okta Identity Engine exige comunicação por meio de seu ponto de extremidade de autenticação (/api/v1/authn), que atualmente tem um limite de taxa de 20 solicitações por usuário por 5 segundos. Para oferecer suporte ao Okta Identity Engine, os drivers mais recentes do cliente Snowflake usam esse ponto de extremidade de autenticação e, portanto, estão sujeitos ao limite de taxa. Se esse limite for proibitivo, entre em contato com o Suporte da Okta para aumentar o limite de taxa do ponto de extremidade de autenticação.

Os drivers do cliente Snowflake mudaram para o ponto de extremidade de autenticação nas seguintes versões:

• Go: 1.6.20

• JDBC: 3.13.22

• .NET: 2.0.20

• Node.js: 1.6.21

• ODBC: 2.25.5

• Python: 2.7.12

• SnowSQL: 1.2.24

• SQLAlchemy: 1.4.6