Integração SCIM Okta com o Snowflake¶

Recursos¶

A administração de usuários e funções tem suporte para o aplicativo Snowflake.

Isto permite ao Okta:

• Gerenciar o ciclo de vida dos usuários (ou seja, criar, atualizar e excluir) no Snowflake.

• Gerenciar o ciclo de vida das funções (ou seja, criar, atualizar e excluir) no Snowflake.

• Gerenciar a atribuição de usuários a funções no Snowflake.

Os seguintes recursos de provisionamento têm suporte:

Push New Users:

Novos usuários criados através do OKTA também serão criados no Snowflake.

Push Profile Updates:

As atualizações feitas no perfil do usuário através do OKTA serão enviadas ao Snowflake.

Push User Deactivation:

Desativar o usuário ou desabilitar o acesso do usuário ao Snowflake através do OKTA irá desativar o usuário no Snowflake.

Nota

Para o Snowflake, desativar um usuário significa definir a propriedade DISABLED para o usuário como TRUE.

Reactivate Users:

As contas de usuário podem ser reativadas no Snowflake.

Sync Password:

A senha do usuário pode ser enviada do Okta para o Snowflake, se necessário.

Dica

A configuração padrão é criar uma senha aleatória para os usuários, dando ao usuário uma configuração de atributo de has_Password=true. Sem uma senha, os usuários devem acessar o Snowflake através do Okta SSO. Para evitar que uma senha seja gerada para os usuários, desative esta configuração antes de provisionar os usuários da seguinte forma:

1. Clique em Edit.

2. Sob Sync Password, desmarque a configuração Generate a new random password whenever the user’s Okta password changes.

3. Salve a alteração.

A ativação desta configuração no Okta cria uma senha para o usuário acessar o Snowflake. Isto poderia resultar em um caminho para os usuários acessarem o Snowflake sem SSO.

Para desabilitar a sincronização de senha, remova esta opção no Okta e atualize a integração de segurança do SCIM Okta do Snowflake para definir a propriedade SYNC_PASSWORD como False.

Push Groups:

O recurso Push Groups cria funções no Snowflake e facilita o gerenciamento de funções. As funções criadas no Snowflake usando Push Groups do Okta têm os mesmos nomes no Okta e no Snowflake. Sempre crie primeiro as funções no Okta e use Push Groups para atualizar o Snowflake para garantir que o Okta e o Snowflake possam se sincronizar. Okta e a função personalizada OKTA_PROVISIONER no Snowflake não podem gerenciar funções criadas manualmente no Snowflake. Push Groups não criam usuários no Snowflake.

Dica

O Okta pode criar usuários no Snowflake se o aplicativo Snowflake no Okta for atribuído a um usuário no Okta.

Para obter mais informações, consulte Atribuir um aplicativo a um usuário.

Os seguintes atributos de usuário têm suporte:

Pré-requisitos¶

1. Antes de provisionar usuários ou grupos, certifique-se de que a política de rede no Snowflake permita o acesso a partir de endereços IP do Okta documentados aqui. Para obter mais informações, consulte Gerenciamento de políticas de rede SCIM.

2. Antes de configurar o provisionamento do Snowflake, certifique-se de ter configurado General Settings e qualquer Sign-On Options para o aplicativo do Snowflake no Okta.

Uma vez concluídas as etapas acima, clique em Next no Okta para voltar à guia Provisioning.

Etapas de configuração¶

O processo de configuração requer a conclusão das etapas no Snowflake e no Okta.

use role accountadmin;
create role if not exists okta_provisioner;
grant create user on account to role okta_provisioner;
grant create role on account to role okta_provisioner;
grant role okta_provisioner to role accountadmin;
create or replace security integration okta_provisioning
    type = scim
    scim_client = 'okta'
    run_as_role = 'OKTA_PROVISIONER';
select system$generate_scim_access_token('OKTA_PROVISIONING');

Habilitação do SSO iniciado pelo Snowflake¶

O processo de provisionamento do SCIM não habilita automaticamente o login único (SSO).

Para usar o SSO depois que o processo de provisionamento do SCIM estiver completo, habilite o SSO iniciado pelo Snowflake.

Gerenciamento de políticas de rede SCIM¶

A aplicação de uma política de redes a uma integração de segurança SCIM permite que a política de redes SCIM seja distinta das políticas de redes que se aplicam a toda a conta Snowflake. Ele permite que o provedor de SCIM provisione usuários e grupos sem adicionar endereços IP a uma política de redes que controla o acesso de usuários normais.

Uma política de redes aplicada a uma integração de SCIM substitui uma política de redes aplicada a toda a conta Snowflake, mas é substituída por uma política de redes atribuída a um usuário.

Depois de criar a integração de segurança SCIM, crie a política de redes SCIM usando este comando:

alter security integration okta_provisioning set network_policy = <scim_network_policy>;

Copy

Para remover a política de redes SCIM, use este comando:

alter security integration okta_provisioning unset network_policy;

Copy

Onde:

okta_provisioning

Especifica o nome da integração de segurança SCIM Okta.

scim_network_policy

Especifica a política de rede do Okta SCIM no Snowflake.

Para obter mais informações, consulte Controle do tráfego de rede com políticas de rede e ALTERSECURITYINTEGRATION.

Uso de funções secundárias com SCIM¶

O Snowflake suporta a definição da propriedade de usuário DEFAULT_SECONDARY_ROLES como 'ALL' com SCIM para permitir que os usuários usem funções secundárias em uma sessão do Snowflake.

Para um exemplo representativo, consulte PUT scim/v2/Users/{id}.

Replicação da integração de segurança Okta SCIM¶

O Snowflake oferece suporte à replicação e failover/failback com a integração de segurança SCIM da conta de origem para a conta de destino.

Para obter mais detalhes, consulte Replicação de integrações de segurança e políticas de redes em múltiplas contas.

Solução de problemas¶

• Transferência de propriedade. Se a atualização do usuário falhar, verifique a propriedade do usuário no Snowflake. Se ele não pertencer à função okta_provisioner (ou à função definida no parâmetro run_as_role ao criar a integração de segurança no Snowflake), então a atualização falhará. Transfira a propriedade executando a seguinte instrução SQL no Snowflake e tente novamente.

  grant ownership on user <username> to role OKTA_PROVISIONER;
  

  Copy

• Garantir que a propriedade login_name esteja definida para os usuários existentes, a qual já deve estar definida se esses usuários existentes do Snowflake estiverem usando o Okta SSO.

• Para verificar se o Okta está enviando atualizações ao Snowflake, verifique os eventos de log no Okta para o aplicativo Snowflake e os logs de auditoria do SCIM no Snowflake para garantir que o Snowflake esteja recebendo atualizações do Okta. Use o seguinte para consultar os logs de auditoria SCIM do Snowflake.

  use role accountadmin;
  use database demo_db;
  use schema information_schema;
  select * from table(rest_event_history('scim'));
  select *
      from table(rest_event_history(
          'scim',
          dateadd('minutes',-5,current_timestamp()),
          current_timestamp(),
          200))
      order by event_timestamp;
  

  Copy

• É possível que ocorra um erro de autenticação durante o processo de provisionamento. Uma mensagem de erro possível é a seguinte:

  Error authenticating: Forbidden. Errors reported by remote server: Invalid JSON: Unexpected character ('<' (code 60)): expected a valid value (number, String, array, object, 'true', 'false' or 'null') at [Source: java.io.StringReader@4c76ba04; line: 1, column: 2]
  

  Copy

  Se esta mensagem de erro ou outras mensagens de erro de autenticação ocorrerem, tente este procedimento de solução de problemas:

  1. No Okta, remova o aplicativo atual do Snowflake e crie um novo aplicativo do Snowflake.

  2. No Snowflake, crie uma nova integração de segurança SCIM e gere um novo token de acesso.

  3. Copie o novo token clicando em Copy.

  4. No Okta, cole e verifique o novo token de acesso, conforme descrito em como configurar o Okta como um provedor de identidade SCIM.

  5. Provisione usuários e funções do Okta ao Snowflake utilizando o novo aplicativo Snowflake no Okta.

Próximos tópicos:

• Como fazer uma solicitação de API SCIM