Configuração de servidores de autorização personalizados para External OAuth¶

Obter valores de ambiente chave para usar External OAuth¶

Ao configurar seu IdP e servidor de autorização, você deve coletar os seguintes valores para definir uma integração de segurança do OAuth externo:

URL do emissor:

Inclua esta URL com o parâmetro external_oauth_issuer.

Chave pública RSA:

Inclua este valor com o parâmetro external_oauth_rsa_public_key.

URLs de público:

Se for necessário mais de uma URL de público, separe cada URL com uma vírgula no parâmetro external_oauth_audience_list.

Atributo de escopo:

Você pode definir esse valor como scp ou scope. Por padrão, esse valor é scp.

Você pode definir o valor do parâmetro external_oauth_scope_mapping_attribute como esse valor.

Se você não usar o valor padrão, scp, defina o valor do parâmetro external_oauth_scope_mapping_attribute como scope.

Para obter mais informações, consulte Requisitos de carga útil de token do External OAuth.

Atributo de usuário:

Este atributo se refere ao atributo para identificar usuários em seu IdP. Inclua este valor de atributo no parâmetro external_oauth_user_mapping_claim.

Atributo de usuário do Snowflake:

O atributo no Snowflake para identificar os usuários. Inclua este valor no parâmetro external_oauth_snowflake_user_mapping_attribute.

Criação de uma integração de segurança de External OAuth no Snowflake¶

Esta etapa cria uma integração de segurança externa OAuth no Snowflake. A integração de segurança do OAuth externo garante que o Snowflake possa se comunicar com segurança e validar os tokens de acesso a partir de seu servidor de autorização personalizado, e fornece aos usuários acesso aos dados do Snowflake com base em sua função de usuário associada ao token de acesso. Para obter mais informações, consulte CREATE SECURITY INTEGRATION.

Criação de uma integração de segurança de External OAuth no Snowflake

create security integration external_oauth_custom
    type = external_oauth
    enabled = true
    external_oauth_type = custom
    external_oauth_issuer = '<authorization_server_url>'
    external_oauth_rsa_public_key = '<public_key_value>'
    external_oauth_audience_list = ('<audience_url_1>', '<audience_url_2>')
    external_oauth_token_user_mapping_claim = 'upn'
    external_oauth_snowflake_user_mapping_attribute = 'login_name';

Copy

Modificação de sua integração de segurança External OAuth¶

Você pode atualizar sua integração de segurança External OAuth executando uma instrução ALTER para a integração de segurança.

Para obter mais informações, consulte ALTER SECURITY INTEGRATION (OAuth externo).

Uso da função ANY com External OAuth¶

Na etapa de configuração para criar uma integração de segurança no Snowflake, o token de acesso OAuth inclui a definição do escopo. Portanto, no tempo de execução, usar a integração de segurança External OAuth não permite nem ao cliente OAuth nem ao usuário usar uma função indefinida no token de acesso OAuth.

Após validar o token de acesso e criar uma sessão, a função ANY pode permitir que o cliente OAuth e o usuário decidam sua função. Se necessário, o cliente ou o usuário pode mudar para uma função que seja diferente da função definida no token de acesso OAuth.

Para configurar a função ANY, defina o escopo como SESSION:ROLE-ANY e configure a integração de segurança com o parâmetro external_oauth_any_role_mode. Este parâmetro pode ter três valores de cadeia de caracteres possíveis:

• DISABLE não permite que o cliente OAuth ou usuário troque de função (ou seja, use role <função>;). Padrão.

• ENABLE permite que o cliente OAuth ou usuário troque de função.

• ENABLE_FOR_PRIVILEGE permite que o cliente OAuth ou usuário troque de função somente para um cliente ou usuário com o privilégio USE_ANY_ROLE. Este privilégio pode ser concedido e revogado para uma ou mais funções disponíveis para o usuário. Por exemplo:

  grant USE_ANY_ROLE on integration external_oauth_1 to role1;
  

  Copy

  revoke USE_ANY_ROLE on integration external_oauth_1 from role1;
  

  Copy

Defina a integração de segurança da seguinte forma:

create security integration external_oauth_1
    type = external_oauth
    enabled = true
    external_oauth_any_role_mode = 'ENABLE'
    ...

Uso de funções secundárias com External OAuth¶

O escopo desejado para a função primária é passado no token externo: ou a função padrão para o usuário (session:role-any) ou uma função específica que foi concedida ao usuário (session:role:<nome_da_função>).

Por padrão, o Snowflake não ativa as funções secundárias padrão para um usuário (ou seja, DEFAULT_SECONDARY_ROLES) na sessão.

Para ativar as funções secundárias padrão para um usuário em uma sessão e permitir a execução do comando USE SECONDARY ROLES enquanto utiliza External OAuth, complete as seguintes etapas:

1. Configure a integração de segurança para a conexão. Defina o valor do parâmetro EXTERNAL_OAUTH_ANY_ROLE_MODE como ENABLE ou ENABLE_FOR_PRIVILEGE quando criar a integração de segurança (usando CREATE SECURITY INTEGRATION) ou mais tarde (usando ALTER SECURITY INTEGRATION).

2. Configure o servidor de autorização para passar o valor estático de session:role-any no atributo de escopo do token. Para obter mais informações sobre o parâmetro de escopo, consulte Visão geral de External OAuth.

Uso do redirecionamento do cliente com External OAuth¶

O Snowflake oferece suporte para o uso do redirecionamento do cliente com OAuth externo, incluindo o uso do redirecionamento do cliente e OAuth externo com clientes Snowflake com suporte.

Para obter mais informações, consulte Redirecionamento de conexões do cliente.

Uso de políticas de rede com External OAuth¶

Atualmente, políticas de rede não podem ser adicionadas à sua integração de segurança External OAuth. Entretanto, você ainda pode implementar políticas de rede que se aplicam amplamente a toda a conta Snowflake.

Se seu caso de uso exigir uma política de redes que seja específica para a integração de segurança OAuth, use Snowflake OAuth. Esta abordagem permite que a política de redes OAuth do Snowflake seja distinta de outras políticas de rede que possam se aplicar à conta Snowflake.

Para obter mais informações, consulte Políticas de redes.

Uso da replicação com External OAuth¶

O Snowflake oferece suporte à replicação e failover/failback da integração de segurança OAuth externo a partir da conta de origem para a conta de destino.

Para obter mais detalhes, consulte Replicação de integrações de segurança e políticas de redes em múltiplas contas.