Snowflake Data Clean Room: Dados externos de um bucket Amazon S3¶

Criação de uma política de IAM no AWS¶

A Snowflake recomenda que você crie uma política IAM dedicada para que o conector que inclua as permissões necessárias para acessar o bucket S3. Em uma etapa subsequente, você adiciona essa política a uma função IAM que representa a identidade do conector.

Para concluir este procedimento, você precisa saber a região da conta associada ao ambiente da sala limpa.

• Para encontrar a região da conta associada a um ambiente de sala limpa, entre na sala limpa, e selecione Connectors » Cleanrooms » Snowflake.

Para criar uma política IAM que contenha permissões para o bucket S3:

1. Faça login na AWS Management Console.

2. No painel Console Home, selecione Identity and Access Management (IAM).

3. Na navegação da esquerda, selecione Account settings.

4. Na seção Security Token Service (STS), encontre a região da conta associada ao ambiente de sala limpa e mude para Active.

5. Na navegação da esquerda, selecione Policies.

6. Selecione Create policy.

7. Na seção Policy editor, selecione JSON.

8. Copie e cole o seguinte corpo de política no editor de política e edite o JSON para incluir o nome do seu bucket (<bucket>) e prefixo do caminho da pasta (<prefixo>):

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "s3:GetObject",
           "s3:GetObjectVersion"
         ],
         "Resource": "arn:aws:s3:::<bucket>/<prefix>/*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "s3:ListBucket",
           "s3:GetBucketLocation"
         ],
         "Resource": "arn:aws:s3:::<bucket>",
         "Condition": {
           "StringLike": {
             "s3:prefix": [
               "<prefix>/*"
             ]
           }
         }
       }
     ]
   }
   

   Copy

   Certifique-se de manter o formato :::. Por exemplo, se o URI de seu bucket S3 for s3://sales/customers/, o valor do campo Resource JSON será arn:aws:s3:::sales/customers/*.

9. Selecione Next.

10. Insira um nome de política (por exemplo, snowflake_cleanroom_access) e selecione Create policy.

Criação de uma função IAM no AWS¶

A função AWS IAM representa a identidade do conector. Durante o processo de criação, você associa a função à nova política IAM que concede as permissões necessárias para que o conector acesse o bucket S3.

Para criar uma nova função IAM:

1. No painel Console Home em AWS, selecione Identity and Access Management (IAM).

2. Na navegação da esquerda, selecione Roles.

3. Selecione Create role.

4. Na seção Trusted entity type, selecione AWS account.

5. Na seção An AWS account, selecione Another AWS account.

6. No campo Account ID, insira um valor de espaço reservado temporário com 12 dígitos (por exemplo, o identificador da conta AWS atual). Você substituirá esse valor mais tarde.

7. Selecione Require external id e depois insira um valor de espaço reservado temporário, como 0000. Você substituirá esse valor mais tarde.

8. Selecione Next.

9. Na seção Permissions policies, encontre a política que você criou no procedimento anterior e marque sua caixa de seleção.

10. Selecione Next.

11. Insira um nome de função (por exemplo, snowflake_cleanroom_connector) e selecione Create role.

Cópia do bucket S3 e dos identificadores de função IAM¶

Ao criar o conector no ambiente de sala limpa, você precisa dos identificadores do bucket S3 e da função IAM. Antes de criar o conector, siga estas etapas para copiar e salvar esses identificadores:

Para copiar o identificador de função IAM:

1. No painel Console Home em AWS, selecione Identity and Access Management (IAM).

2. Na navegação da esquerda, selecione Roles.

3. Encontre a função que você criou no procedimento anterior e selecione-a para abri-la.

4. Na seção Summary, encontre ARN e selecione o ícone de cópia. Salve este identificador de função para uma etapa posterior.

Para copiar o identificador do bucket S3:

1. No painel Console Home em AWS, selecione S3.

2. Encontre o nome de seu bucket S3 e selecione-o para abri-lo. O bucket deve conter os dados que você deseja incluir na sala limpa.

3. Navegue até o prefixo do bucket e selecione Copy S3 URI. Salve este identificador de bucket para uma etapa posterior.

   Não tente selecionar o botão na seção Objects.

Criação do conector e cópia dos detalhes da conta de serviço¶

Agora você está pronto para criar o conector no ambiente de sala limpa. Depois de criar o conector, copie os detalhes sobre sua conta de serviço para que ele possa ser associado à função IAM em AWS.

Para criar o conector em seu ambiente de sala limpa:

1. Navegue até a página de login do Snowflake Data Clean Rooms.

2. Digite seu endereço de e-mail e selecione Continue.

3. Insira sua senha.

4. Se você estiver associado a vários ambientes de sala limpa, selecione a conta Snowflake que deseja usar.

5. No painel de navegação à esquerda, selecione Connectors e expanda a seção Amazon Web Services.

6. No campo AWS Role ARN, insira o identificador da função IAM que você copiou do AWS como arn:aws:iam::772412615275:role/mub00002_vhb71832_role.

7. No campo S3 Bucket URI, insira o identificador do bucket S3 que você copiou do AWS, como s3://sales/customer_data/.

8. Selecione Create.

   A sala limpa gera uma conta de serviço que ela usa para acessar o AWS.

9. Use o ícone de cópia para copiar os identificadores Principal e External ID da conta de serviço do conector e salve-os para o próximo procedimento.

Atualização da função IAM com detalhes da conta de serviço¶

Agora você está pronto para atualizar a função IAM com os identificadores associados à conta de serviço do conector. Para atualizar a função IAM:

1. Faça login na AWS Management Console.

2. No painel Console Home, selecione Identity and Access Management (IAM).

3. Na navegação da esquerda, selecione Roles.

4. Encontre a função que você criou anteriormente e selecione-a para abri-la.

5. Selecione a guia Trust relationships.

6. Selecione Edit trust policy.

7. Modifique o JSON da política de confiança para incluir os identificadores da conta de serviço do conector. Você copiou esses identificadores anteriormente. Fazer as seguintes mudanças em JSON:

   • Substitua o valor do campo AWS JSON pelo valor Principal que você copiou do ambiente de sala limpa.

     No exemplo a seguir, o valor de Principal no ambiente de sala limpa é arn:aws:iam::115136555074:user/x4gy-s-p2345g38.

   • Substitua o valor do campo sts:ExternalId JSON pelo valor External ID que você copiou do ambiente de sala limpa.

     No exemplo a seguir, o valor de External ID no ambiente de sala limpa é UCA56729_SFCRole=4447_uht2344sdf3mrWLNRM0y3bE=.

     {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Sid": "Statement1",
           "Effect": "Allow",
           "Principal": {
             "AWS": "arn:aws:iam::115136555074:user/x4gy-s-p2345g38"
           },
           "Action": "sts:AssumeRole",
           "Condition": {
             "StringEquals": {
               "sts:ExternalId": "UCA56729_SFCRole=4447_uht2344sdf3mrWLNRM0y3bE="
             }
           }
         }
       ]
     }
     

     Copy

8. Selecione Update policy.

Autenticação do conector¶

Agora você está pronto para autenticar o conector e garantir que ele possa acessar o bucket S3. Para autenticar o conector:

1. Se você estiver desconectado do ambiente de sala limpa, consulte Faça login no aplicativo da Web..

2. No ambiente de sala limpa, selecione Connectors e expanda a seção Amazon Web Services.

3. Selecione o bucket S3 ao qual você está se conectando e, em seguida, selecione Authenticate.