AWS PrivateLink e Snowflake¶

O que é AWS PrivateLink?¶

AWS PrivateLink é um serviço AWS para a criação de pontos de extremidade VPC privados que permitem conectividade direta e segura entre suas VPCs da AWS e a VPC Snowflake sem atravessar a internet pública. A conectividade é para as VPCs da AWS na mesma região da AWS.

Para Como escrever funções externas, você também pode usar o AWS PrivateLink com pontos de extremidade privados.

Além disso, se você tiver um ambiente no local (por exemplo, um data center não hospedado), você pode optar por usar o AWS Direct Connect, em conjunto com o AWS PrivateLink, para conectar todos os seus ambientes virtuais e físicos em uma única rede privada.

Habilitação do AWS PrivateLink¶

Para habilitar o AWS PrivateLink para sua conta Snowflake, complete as seguintes etapas:

1. Em seu ambiente de linha de comando, execute o seguinte comando AWS CLI STS e salve a saída. A saída será usada como o valor para o argumento federated_token na próxima etapa.

   aws sts get-federation-token --name sam
   

   Copy

   Note que get-federation-token exige um usuário de gerenciamento de acesso ou identidade em AWS ou o usuário raiz da conta AWS. Para obter mais detalhes, consulte a documentação do AWS.

   Extraia o número de 12 dígitos no valor "FederatedUserId" (truncado). Por exemplo, se seu token contém:

   {
      ...
      "FederatedUser": {
          "FederatedUserId": "185...:sam",
          "Arn": "arn:aws:sts::185...:federated-user/sam"
      },
      "PackedPolicySize": 0
    }
   

   Copy

   Extraia 185.... Esse número de 12 dígitos será o valor para aws_id na próxima etapa.

2. Como administrador da conta Snowflake (ou seja, um usuário com a função do sistema ACCOUNTADMIN), chame a função SYSTEM$AUTHORIZE_PRIVATELINK para autorizar (ou seja, habilitar) o AWS PrivateLink para sua conta Snowflake:

   select SYSTEM$AUTHORIZE_PRIVATELINK ( '<aws_id>' , '<federated_token>' );
   

   Copy

   Onde:

   • 'aws_id'

     O identificador de 12 dígitos que identifica de forma única sua conta no Amazon Web Services (AWS) como uma cadeia de caracteres.

   • 'federated_token'

     O valor do token federado que contém as credenciais de acesso para um usuário federado como uma cadeia de caracteres.

   Por exemplo:

   use role accountadmin;
   
   select SYSTEM$AUTHORIZE_PRIVATELINK (
       '185...',
       '{
          "Credentials": {
              "AccessKeyId": "ASI...",
              "SecretAccessKey": "enw...",
              "SessionToken": "Fwo...",
              "Expiration": "2021-01-07T19:06:23+00:00"
          },
          "FederatedUser": {
              "FederatedUserId": "185...:sam",
              "Arn": "arn:aws:sts::185...:federated-user/sam"
          },
          "PackedPolicySize": 0
       }'
     );
   

   Copy

Para verificar sua configuração autorizada, chame a função SYSTEM$GET_PRIVATELINK em sua conta Snowflake na AWS. Esta função usa os mesmos valores de argumento para 'aws_id' e 'federated_token' que foram usados para autorizar sua conta Snowflake.

O Snowflake retorna Account is authorized for PrivateLink. para uma autorização bem-sucedida.

Se for necessário desabilitar o AWS PrivateLink em sua conta Snowflake, chame a função SYSTEM$REVOKE_PRIVATELINK usando os mesmos valores de argumento para 'aws-id' e 'federated_token'.

Configuração de seu ambiente VPC da AWS¶

Conexão com o Snowflake¶

Antes de se conectar ao Snowflake, você pode opcionalmente aproveitar o SnowCD (ferramenta de diagnóstico da conectividade do Snowflake) para avaliar a conexão de rede com o Snowflake e o AWS PrivateLink.

Para obter mais informações, consulte SnowCD e SYSTEM$ALLOWLIST_PRIVATELINK.

Caso conectividade privada, conecte-se ao Snowflake com a URL da sua conta de conectividade privada.

Observe que se você quiser se conectar à Snowsight via AWS PrivateLink, siga as instruções na documentação do Snowsight.

Bloqueio do acesso público — Opcional¶

Após testar a conectividade privada ao Snowflake usando o AWS PrivateLink, você pode opcionalmente bloquear o acesso público ao Snowflake. Isso significa que os usuários só podem acessar o Snowflake se sua solicitação de conexão tiver origem em um endereço IP dentro de um determinado intervalo de blocos CIDR especificado em uma política de redes do Snowflake.

Para bloquear o acesso público usando uma política de redes:

1. Crie uma nova política de redes ou edite uma política de redes existente. Adicione o intervalo de blocos CIDR para sua organização.

2. Ative a política de redes para sua conta.

Para obter mais detalhes, consulte Controle do tráfego de rede com políticas de rede.

Configuração de seus clientes Snowflake¶

Uso de SSO com o AWS PrivateLink¶

O Snowflake oferece suporte ao uso de SSO com o AWS PrivateLink. Para obter mais informações, consulte:

• SSO com conectividade privada

• Aplicativos de parceiros

Uso do redirecionamento do cliente com o AWS PrivateLink¶

O Snowflake oferece suporte ao uso do redirecionamento do cliente com o AWS PrivateLink.

Para obter mais informações, consulte Redirecionamento de conexões do cliente.

Como usar a replicação e Tri-Secret Secure com conectividade privada¶

O Snowflake oferece suporte à replicação de seus dados da conta de origem para a conta de destino, independentemente de você habilitar o Tri-Secret Secure ou este recurso na conta de destino.

Para obter mais detalhes, consulte Replicação de banco de dados e criptografia.

Solução de problemas¶

Observe os seguintes artigos da Comunidade Snowflake:

• Como recuperar um token de federação do AWS for PrivateLink Self-Service

• FAQ: PrivateLink Self-Service com AWS

• Solução de problemas: funções de auto-serviço Snowflake para AWS PrivateLink