Integração SCIM Okta com o Snowflake¶

Recursos¶

A administração de usuários e funções tem suporte para o aplicativo Snowflake.

Isto permite ao Okta:

• Gerenciar o ciclo de vida dos usuários (ou seja, criar, atualizar e excluir) no Snowflake.

• Gerenciar o ciclo de vida das funções (ou seja, criar, atualizar e excluir) no Snowflake.

• Gerenciar a atribuição de usuários a funções no Snowflake.

Os seguintes recursos de provisionamento têm suporte:

Push New Users

Novos usuários criados através do OKTA também serão criados no Snowflake.

Push Profile Updates

As atualizações feitas no perfil do usuário através do OKTA serão enviadas ao Snowflake.

Push User Deactivation

Desativar o usuário ou desabilitar o acesso do usuário ao Snowflake através do OKTA irá desativar o usuário no Snowflake.

Nota

Para o Snowflake, desativar um usuário significa definir a propriedade DISABLED para o usuário como TRUE.

Reactivate Users

As contas de usuário podem ser reativadas no Snowflake.

Sync Password

A senha do usuário pode ser enviada do Okta para o Snowflake, se necessário.

Dica

A configuração padrão é criar uma senha aleatória para os usuários, dando ao usuário uma configuração de atributo de has_Password=true. Sem uma senha, os usuários devem acessar o Snowflake através do Okta SSO. Para evitar que uma senha seja gerada para os usuários, desative esta configuração antes de provisionar os usuários da seguinte forma:

1. Clique em Edit.

2. Sob Sync Password, desmarque a configuração Generate a new random password whenever the user’s Okta password changes.

3. Salve a alteração.

A ativação desta configuração no Okta cria uma senha para o usuário acessar o Snowflake. Isto poderia resultar em um caminho para os usuários acessarem o Snowflake sem SSO.

Para desabilitar a sincronização de senha, remova esta opção no Okta e atualize a integração de segurança do SCIM Okta do Snowflake para definir a propriedade SYNC_PASSWORD como False.

Push Groups

O recurso Push Groups cria funções no Snowflake e facilita o gerenciamento de funções. As funções criadas no Snowflake usando Push Groups do Okta têm os mesmos nomes no Okta e no Snowflake. Sempre crie primeiro as funções no Okta e use Push Groups para atualizar o Snowflake para garantir que o Okta e o Snowflake possam se sincronizar. Okta e a função personalizada OKTA_PROVISIONER no Snowflake não podem gerenciar funções criadas manualmente no Snowflake. Push Groups não criam usuários no Snowflake.

Dica

O Okta pode criar usuários no Snowflake se o aplicativo Snowflake no Okta for atribuído a um usuário no Okta.

Para obter mais informações, consulte Atribuir um aplicativo a um usuário.

Os seguintes atributos de usuário têm suporte:

Pré-requisitos¶

1. Antes de provisionar usuários ou grupos, certifique-se de que a política de rede no Snowflake permita o acesso a partir de endereços IP do Okta documentados aqui. Para obter mais informações, consulte Gerenciamento de políticas de rede SCIM.

2. Antes de configurar o provisionamento do Snowflake, certifique-se de ter configurado General Settings e qualquer Sign-On Options para o aplicativo do Snowflake no Okta.

Uma vez concluídas as etapas acima, clique em Next no Okta para voltar à guia Provisioning.

Etapas de configuração¶

O processo de configuração requer a conclusão das etapas no Snowflake e no Okta.

use role accountadmin;
create role if not exists okta_provisioner;
grant create user on account to role okta_provisioner;
grant create role on account to role okta_provisioner;
grant role okta_provisioner to role accountadmin;
create or replace security integration okta_provisioning
    type = scim
    scim_client = 'okta'
    run_as_role = 'OKTA_PROVISIONER';
select system$generate_scim_access_token('OKTA_PROVISIONING');

Habilitação do SSO iniciado pelo Snowflake¶

O processo de provisionamento do SCIM não habilita automaticamente o login único (SSO).

Para usar o SSO depois que o processo de provisionamento do SCIM estiver completo, habilite o SSO iniciado pelo Snowflake.

Gerenciamento de políticas de rede SCIM¶

A aplicação de uma política de redes a uma integração de segurança SCIM permite que a política de redes SCIM seja distinta das políticas de redes que se aplicam a toda a conta Snowflake. Ele permite que o provedor de SCIM provisione usuários e grupos sem adicionar endereços IP a uma política de redes que controla o acesso de usuários normais.

Uma política de redes aplicada a uma integração de SCIM substitui uma política de redes aplicada a toda a conta Snowflake, mas é substituída por uma política de redes atribuída a um usuário.

Depois de criar a integração de segurança SCIM, crie a política de redes SCIM usando este comando:

alter security integration okta_provisioning set network_policy = <scim_network_policy>;

Copy

Para remover a política de redes SCIM, use este comando:

alter security integration okta_provisioning unset network_policy;

Copy

Onde:

okta_provisioning

Especifica o nome da integração de segurança SCIM Okta.

scim_network_policy

Especifica a política de rede do Okta SCIM no Snowflake.

Para obter mais informações, consulte Políticas de rede e ALTERSECURITYINTEGRATION.

Uso de funções secundárias com SCIM¶

O Snowflake suporta a definição da propriedade de usuário DEFAULT_SECONDARY_ROLES como 'ALL' com SCIM para permitir que os usuários usem funções secundárias em uma sessão do Snowflake.

Para um exemplo representativo, consulte PUT scim/v2/Users/{id}.

Replicação da integração de segurança Okta SCIM¶

O Snowflake oferece suporte à replicação e failover/failback com a integração de segurança SCIM da conta de origem para a conta de destino.

Para obter mais detalhes, consulte Replicação de integrações de segurança e políticas de redes em múltiplas contas.

Solução de problemas¶

• Transferência de propriedade. Se a atualização do usuário falhar, verifique a propriedade do usuário no Snowflake. Se ele não pertencer à função okta_provisioner (ou à função definida no parâmetro run_as_role ao criar a integração de segurança no Snowflake), então a atualização falhará. Transfira a propriedade executando a seguinte instrução SQL no Snowflake e tente novamente.

  grant ownership on user <username> to role OKTA_PROVISIONER;
  

  Copy

• Garantir que a propriedade login_name esteja definida para os usuários existentes, a qual já deve estar definida se esses usuários existentes do Snowflake estiverem usando o Okta SSO.

• Para verificar se o Okta está enviando atualizações ao Snowflake, verifique os eventos de log no Okta para o aplicativo Snowflake e os logs de auditoria do SCIM no Snowflake para garantir que o Snowflake esteja recebendo atualizações do Okta. Use o seguinte para consultar os logs de auditoria SCIM do Snowflake.

  use role accountadmin;
  use database demo_db;
  use schema information_schema;
  select * from table(rest_event_history('scim'));
  select *
      from table(rest_event_history(
          'scim',
          dateadd('minutes',-5,current_timestamp()),
          current_timestamp(),
          200))
      order by event_timestamp;
  

  Copy

• É possível que ocorra um erro de autenticação durante o processo de provisionamento. Uma mensagem de erro possível é a seguinte:

  Error authenticating: Forbidden. Errors reported by remote server: Invalid JSON: Unexpected character ('<' (code 60)): expected a valid value (number, String, array, object, 'true', 'false' or 'null') at [Source: java.io.StringReader@4c76ba04; line: 1, column: 2]
  

  Copy

  Se esta mensagem de erro ou outras mensagens de erro de autenticação ocorrerem, tente este procedimento de solução de problemas:

  1. No Okta, remova o aplicativo atual do Snowflake e crie um novo aplicativo do Snowflake.

  2. No Snowflake, crie uma nova integração de segurança SCIM e gere um novo token de acesso.

  3. Copie o novo token clicando em Copy.

  4. No Okta, cole e verifique o novo token de acesso, conforme descrito em como configurar o Okta como um provedor de identidade SCIM.

  5. Provisione usuários e funções do Okta ao Snowflake utilizando o novo aplicativo Snowflake no Okta.

Próximos tópicos:

• Como fazer uma solicitação de API SCIM