Pontos de extremidade da interface AWS VPC para estágios internos¶

Benefícios¶

A implementação de pontos de extremidade da interface VPC para acessar os estágios internos do Snowflake oferece as seguintes vantagens:

• Os dados do estágio interno não atravessam a Internet pública.

• Aplicativos clientes e SaaS, tais como Microsoft PowerBI, que funcionam fora do AWS VPC, podem se conectar ao Snowflake com segurança.

• Os administradores não são obrigados a modificar as configurações do firewall para acessar os dados do estágio interno.

• Os administradores podem implementar segurança e monitoramento consistentes sobre como os usuários se conectam às contas de armazenamento.

Limitações¶

• AWS Gov Cloud (US) não tem suporte com AWS PrivateLink para S3.

• Para limitações adicionais, consulte a documentação AWS.

Pré-requisitos¶

• AWS PrivateLink para S3.

  Importante

  O AWS PrivateLink para S3 é um serviço AWS que precisa ser habilitado em seu ambiente de nuvem.

  Para obter ajuda na configuração e implementação deste serviço, entre em contato com seu administrador AWS interno.

• Atualize a lista de permissões do firewall da seguinte forma:

  • Se utilizar um firewall de saída, certifique-se de que ele permite todas as URLs exigidas pelo Snowflake. Para obter mais detalhes, consulte SnowCD (Connectivity Diagnostic Tool).

• Para clientes us-east-1 somente: Se utilizar um dos seguintes clientes Snowflake para conectar-se ao Snowflake, atualize para a versão de cliente da seguinte forma:

  • Driver JDBC: 3.13.3 (ou superior)

  • Driver ODBC: 2.23.2 (ou superior)

  • Conector Python para Snowflake: 2.5.1 (ou superior)

  • SnowSQL: 1.2.17 (ou superior)

    • Atualize o SnowSQL antes de utilizar este recurso. Para obter mais informações, consulte Instalação do SnowSQL.

    • Observe que se for utilizada a opção SnowSQL --noup ,, a atualização automática do SnowSQL fica desativada e uma nova versão do SnowSQL não pode ser baixada. Para atualizar, desative a opção --noup e reative-a após a atualização estar concluída.

Procedimento¶

Complete as seguintes etapas para configurar e implementar o acesso seguro aos estágios internos do Snowflake através do ponto de extremidade VPC:

1. Como administrador de conta Snowflake, execute as seguintes instruções em sua conta Snowflake e registre o valor definido pela chave privatelink_internal_stage. Observe que o nome do bucket Amazon S3 é definido no primeiro segmento da URL quando lido da esquerda para a direita. Para obter mais informações, consulte ENABLE_INTERNAL_STAGES_PRIVATELINK e SYSTEM$GET_PRIVATELINK_CONFIG.

   use role accountadmin;
   alter account set ENABLE_INTERNAL_STAGES_PRIVATELINK = true;
   select key, value from table(flatten(input=>parse_json(system$get_privatelink_config())));
   

   Copy

2. Como administrador AWS, crie um ponto de extremidade VPC para AWS PrivateLink para S3 usando o Console AWS. Registre o nome VPCE DNS para uso na próxima etapa; não registre qualquer nome de zona VPCE DNS.

   O nome VPCE DNS pode ser encontrado descrevendo um ponto de extremidade de interface uma vez que o ponto de extremidade esteja criado.

   Neste exemplo, um curinga (ou seja, *) é listado como o caractere principal no nome VPCE DNS. Substitua o curinga principal pelo nome do bucket S3 da etapa anterior. Por exemplo:

   Substitua

   *.vpce-000000000000a12-abc00ef0.s3.us-west-2.vpce.amazonaws.com

   Por

   <nome_do_bucket>.vpce-000000000000a12-abc00ef0.s3.us-west-2.vpce.amazonaws.com

3. Como administrador da rede, atualizar as configurações DNS para resolver a seguinte URL:

   <nome_do_bucket>.s3.<região>.amazonaws.com para o nome VPCE DNS depois que o curinga principal tiver sido substituído pelo nome do bucket Amazon S3.

   Neste exemplo, resolva <nome_do_bucket>.s3.<região>.amazonaws.com para <nome_do_bucket>.vpce-000000000000a12-abc00ef0.s3.us-west-2.vpce.amazonaws.com.

   Dica

   • Não utilize caracteres curinga (ou seja, *) com mapeamento DNS devido ao possível impacto de acessar outros buckets Amazon S3 fora do Snowflake.

   • Use uma conta Snowflake separada para testes e configure uma zona DNS hospedada privada em um VPC de teste para testar o recurso de forma que o teste seja isolado e não tenha impacto em suas outras cargas de trabalho.

   • Se não for possível usar uma conta Snowflake separada, use um usuário de teste para acessar o Snowflake a partir de um VPC de teste onde as alterações DNS são feitas.

   • Para testar a partir de aplicativos no local, use o encaminhamento de DNS para encaminhar solicitações para a zona hospedada privada AWS no VPC onde as configurações DNS são feitas. Se houver aplicativos clientes tanto no VPC quanto no local, use o AWS Transit Gateway.

   • Execute o seguinte comando da máquina cliente para verificar se o endereço IP retornado é o endereço IP privado para a conta de armazenamento:

     dig <bucket_name>.s3.<region>.amazonaws.com
     

     Copy

4. Para contas Snowflake em us-east-1, verifique se seus clientes Snowflake estão em suas versões mais recentes.