SSO do Power BI no Snowflake¶

Fluxo de trabalho geral¶

O diagrama a seguir resume o fluxo de autorização para instanciar uma sessão do Snowflake a partir do Power BI:

1. O usuário faz login no serviço Power BI usando o Microsoft Azure Active Directory (Azure AD).

2. Opcionalmente, o Azure AD pode verificar o usuário por meio de um IdP via SAML. Atualmente, a Microsoft oferece suporte apenas ao Azure AD como IdP para Power BI SSO.

3. Quando o usuário se conecta ao Snowflake, o serviço Power BI pede ao Azure AD que lhe dê um token para o Snowflake.

4. O serviço Power BI usa o driver Snowflake incorporado para enviar o token do Azure AD ao Snowflake como parte da cadeia de conexão.

5. O Snowflake valida o token, extrai o nome de usuário do token, mapeia-o para o usuário Snowflake e cria uma sessão Snowflake para o serviço Power BI usando a função padrão do usuário.

Criação de uma integração de segurança do Power BI¶

Para usar o Power BI para acessar os dados do Snowflake pelo SSO, é necessário criar uma integração de segurança para o Power BI usando CREATESECURITY INTEGRATION, como mostrado abaixo.

A integração de segurança deve ter o valor correto para o parâmetro external_oauth_issuer. Parte deste valor é mapeada para seu locatário Azure AD. Você pode encontrar este valor na seção About de seu locatário do Power BI.

Se sua organização tem uma implantação avançada do serviço Power BI, então verifique com seu administrador Azure AD para obter o valor correto do locatário do Azure AD para usar na construção da URL do emissor.

Por exemplo, se a ID de seu locatário do Azure AD for a828b821-f44f-4698-85b2-3c6749302698, então construa o valor AZURE_AD_ISSUER semelhante a https://sts.windows.net/a828b821-f44f-4698-85b2-3c6749302698/. É importante incluir a barra (ou seja, /) no final do valor.

Depois de construir o valor para AZURE_AD_ISSUER, execute o comando CREATESECURITYINTEGRATION.

Se sua conta Snowflake ou serviço do Microsoft Power BI estiver em uma região da nuvem do Microsoft Azure Government, defina o valor da propriedade external_oauth_audience_list como https://analysis.usgovcloudapi.net/powerbi/connector/Snowflake.

Integração de segurança para Microsoft Power BI

create security integration powerbi
    type = external_oauth
    enabled = true
    external_oauth_type = azure
    external_oauth_issuer = '<AZURE_AD_ISSUER>'
    external_oauth_jws_keys_url = 'https://login.windows.net/common/discovery/keys'
    external_oauth_audience_list = ('https://analysis.windows.net/powerbi/connector/Snowflake', 'https://analysis.windows.net/powerbi/connector/snowflake')
    external_oauth_token_user_mapping_claim = 'upn'
    external_oauth_snowflake_user_mapping_attribute = 'login_name'

Copy

Integração de segurança do Microsoft Azure Government para Microsoft Power BI

create security integration powerbi_mag
    type = external_oauth
    enabled = true
    external_oauth_type = azure
    external_oauth_issuer = '<AZURE_AD_ISSUER>'
    external_oauth_jws_keys_url = 'https://login.windows.net/common/discovery/keys'
    external_oauth_audience_list = ('https://analysis.usgovcloudapi.net/powerbi/connector/Snowflake', 'https://analysis.usgovcloudapi.net/powerbi/connector/snowflake')
    external_oauth_token_user_mapping_claim = 'upn'
    external_oauth_snowflake_user_mapping_attribute = 'login_name'

Copy

create security integration powerbi
    type = external_oauth
    ...
    external_oauth_snowflake_user_mapping_attribute = 'email_address';

Uso do SSO do Power BI com usuários convidados B2B¶

Para permitir que usuários convidados do Azure AD business to business (isto é, B2B) acessem o Snowflake usando o SSO do Microsoft Power BI, defina o valor da propriedade EXTERNAL_OAUTH_TOKEN_USER_MAPPING_CLAIM como 'unique_name'. Por exemplo:

create security integration powerbi
  type = external_oauth
  enabled = true
  external_oauth_type = azure
  external_oauth_issuer = '<AZURE_AD_ISSUER>'
  external_oauth_jws_keys_url = 'https://login.windows.net/common/discovery/keys'
  external_oauth_audience_list = ('https://analysis.windows.net/powerbi/connector/Snowflake', 'https://analysis.windows.net/powerbi/connector/snowflake')
  external_oauth_token_user_mapping_claim = 'unique_name'
  external_oauth_snowflake_user_mapping_attribute = 'login_name';

Copy

Para obter mais informações, consulte Explicação do usuário B2B.

Modificação de sua integração de segurança External OAuth¶

Você pode atualizar sua integração de segurança External OAuth executando uma instrução ALTER para a integração de segurança.

Para obter mais informações, consulte ALTER SECURITY INTEGRATION (OAuth externo).

Uso de funções secundárias com o SSO do Power BI no Snowflake¶

O escopo desejado para a função principal é passado no token externo. Essa função é uma função específica que foi concedida ao usuário (session:role:<role_name>).

Por padrão, as funções secundárias padrão para um usuário (ou seja, a propriedade de usuário DEFAULT_SECONDARY_ROLES) não são ativadas na sessão.

Para ativar as funções secundárias padrão para um usuário em uma sessão e permitir a execução do comando USE SECONDARY ROLES enquanto utiliza OAuth externo, complete esta etapa:

1. Configure a integração de segurança para a conexão. Defina o valor do parâmetro EXTERNAL_OAUTH_ANY_ROLE_MODE como ENABLE ou ENABLE_FOR_PRIVILEGE quando criar a integração de segurança (usando CREATE SECURITY INTEGRATION) ou mais tarde (usando ALTER SECURITY INTEGRATION).

Uso do Redirecionamento do cliente com SSO do Power BI no Snowflake¶

O Snowflake suporta o uso do Redirecionamento do cliente com SSO do Power BI no Snowflake.

Para obter mais informações, consulte Redirecionamento de conexões do cliente.

Uso da replicação com Power BI SSO¶

O Snowflake oferece suporte à replicação e failover/failback da integração de segurança OAuth externo a partir da conta de origem para a conta de destino.

Para obter mais detalhes, consulte Replicação de integrações de segurança e políticas de redes em múltiplas contas.

Conexão ao Snowflake a partir do Power BI¶

Para mais detalhes sobre como se conectar ao Snowflake a partir do Power BI, consulte a documentação do Power BI.

• Documentação do Power BI Desktop

• Documentação do Power BI Service

Uso de políticas de rede com External OAuth¶

Atualmente, políticas de rede não podem ser adicionadas a uma integração de segurança External OAuth, o que significa que você não pode definir uma política de rede que se aplique apenas à integração do Power BI. Entretanto, você ainda pode implementar políticas de rede que se aplicam amplamente a toda a conta Snowflake. Para obter mais informações sobre o intervalo IP da Microsoft que deve ser incluído na política de rede, consulte a seção Pré-requisitos (neste tópico).

Mensagens de erro¶

A tabela a seguir descreve mensagens de erro que o Snowflake retorna enquanto um usuário se autentica no Power BI:

Histórico de login¶

Se um usuário for capaz de acessar o Power BI mas não de instanciar uma sessão do Snowflake, você pode determinar quando o usuário acessou o Snowflake pela última vez executando os seguintes comandos, usando qualquer conector com suporte ou a interface da Web para o Snowflake. Observe que somente autenticações bem sucedidas são registradas.

use role accountadmin;
select *
from table(information_schema.login_history(dateadd('hours',-1,current_timestamp()),current_timestamp()))
order by event_timestamp;

Para cada resultado, avalie as colunas USER_NAME e FIRST_AUTHENTICATION_FACTOR.

• O valor USER_NAME deve estar alinhado com os mapeamentos de atributos descritos na seção Pré-requisitos.

• O FIRST_AUTHENTICATION_FACTOR deve ser definido como OAUTH_ACCESS_TOKEN.