Autenticação multifator (MFA)¶

Uso do armazenamento em cache de tokens MFA para minimizar o número de tentativas durante a autenticação — opcional¶

O armazenamento em cache de tokens MFA pode ajudar a reduzir o número de prompts que devem ser confirmados ao se conectar e autenticar no Snowflake, especialmente quando múltiplas tentativas de conexão são feitas dentro de um intervalo de tempo relativamente curto.

Um token MFA armazenado em cache é válido por até quatro horas.

O token MFA armazenado em cache é inválido se alguma das seguintes condições for preenchida:

1. O parâmetro ALLOW_CLIENT_MFA_CACHING está definido como FALSE para a conta.

2. O método de autenticação muda.

3. As credenciais de autenticação mudam (ou seja, nome de usuário e/ou senha).

4. As credenciais de autenticação não são válidas.

5. O token armazenado em cache expira ou não é válido criptograficamente.

6. O nome da conta associada ao token armazenado em cache muda.

O processo geral que o Snowflake usa para armazenar tokens MFA em cache é semelhante ao usado para armazenar tokens de conexão em cache para o login único federado baseado em navegador. O aplicativo cliente armazena o token MFA no keystore do sistema operacional do lado do cliente. Os usuários podem excluir o token MFA em cache do keystore a qualquer momento.

Snowflake oferece suporte ao cache de tokenMFA com os seguintes drivers e conectores em macOS e Windows. Este recurso não é suportado no Linux.

• Versão do driver ODBC 2.23.0 (ou posterior).

• Versão do driver JDBC 3.12.16 (ou posterior).

• Conector Python para Snowflake versão 2.3.7 (ou superior).

O Snowflake recomenda consultar os responsáveis pela segurança interna e conformidade antes de habilitar o armazenamento de tokens MFA.

Para ativar o armazenamento em cache de tokens MFA, complete as seguintes etapas:

1. Como administrador de conta (ou seja, um usuário com a função ACCOUNTADMIN do sistema), defina o parâmetro ALLOW_CLIENT_MFA_CACHING para true para uma conta usando o comando ALTER ACCOUNT.

   ALTER ACCOUNT SET ALLOW_CLIENT_MFA_CACHING = TRUE;
   

   Copy

2. Na cadeia de conexão do cliente, atualize o valor do autenticador para authenticator = username_password_mfa.

3. Adicione o pacote ou as bibliotecas necessárias para o driver ou conector:

   • Se você estiver usando o conector Snowflake para Python, instale o pacote opcional de token de autenticação executando:

     pip install "snowflake-connector-python[secure-local-storage]"
     

     Copy

     Você deve inserir os colchetes ([ e ]) como mostrado no comando. Os colchetes especificam a parte extra do pacote que deve ser instalada.

     Use aspas ao redor do nome do pacote, como mostrado, para evitar que os colchetes sejam interpretados como um curinga.

     Se você precisar instalar outros extras (por exemplo, pandas para usando as APIs do conector Python para Pandas), use uma vírgula entre os extras:

     pip install "snowflake-connector-python[secure-local-storage,pandas]"
     

     Copy

   • Para o driver Snowflake JDBC, consulte Adição de classes JNA a seu classpath.

Para desativar o armazenamento em cache de tokens MFA, desabilite o parâmetro ALLOW_CLIENT_MFA_CACHING:

ALTER ACCOUNT UNSET ALLOW_CLIENT_MFA_CACHING;

Para encontrar todos os usuários que usam armazenamento em cache de token MFA como autenticação de segundo fator para fazer login, você pode executar a seguinte instrução SQL como administrador de conta (um usuário com a função ACCOUNTADMIN):

SELECT EVENT_TIMESTAMP,
       USER_NAME,
       IS_SUCCESS
  FROM SNOWFLAKE.ACCOUNT_USAGE.LOGIN_HISTORY
  WHERE SECOND_AUTHENTICATION_FACTOR = 'MFA_TOKEN';

Uso de MFA com Snowsight¶

Para entrar no Snowsight com MFA:

1. Entre no Snowsight.

2. Insira suas credenciais (nome de login e senha do usuário).

3. Se o Duo Push estiver ativado, você pode selecionar um método de notificação. Se Send Me a Push for selecionado, uma notificação push é enviada para seu aplicativo Duo Mobile. Ao receber a notificação, selecione Approve e você estará conectado ao Snowflake.

   

   Como mostrado acima, em vez de usar a notificação push, você também pode optar por:

   • Selecione Call Me para receber instruções de login por telefone para o dispositivo móvel registrado.

   • Selecione Enter a Passcode para fazer o login digitando manualmente uma senha fornecida pelo aplicativo Duo Mobile.

Uso de MFA com a interface da web Classic Console¶

Para fazer login no Classic Console com MFA:

1. Aponte seu navegador para o URL de sua conta. Por exemplo: https://myorg-account1.snowflakecomputing.com.

2. Insira suas credenciais (nome de login e senha do usuário).

3. Se o Duo Push estiver ativado, uma notificação push é enviada para seu aplicativo Duo Mobile. Ao receber a notificação, selecione Approve e você estará conectado ao Snowflake.

   

   Como mostrado na captura de tela acima, em vez de usar a notificação push, você também pode optar por:

   • Selecione Call Me para receber instruções de login por telefone para o dispositivo móvel registrado.

   • Selecione Enter a Passcode para fazer o login digitando manualmente uma senha fornecida pelo aplicativo Duo Mobile.

Uso de MFA com SnowSQL¶

A MFA pode ser usada para conexão com o Snowflake através do SnowSQL. Por padrão, o mecanismo de autenticação Duo Push é usado quando um usuário é inscrito na MFA.

Para usar um código de acesso gerado pelo Duo em vez do mecanismo de push, os parâmetros de login devem incluir uma das seguintes opções de conexão:

--mfa-passcode <string> OR --mfa-passcode-in-password

Para obter mais detalhes, consulte SnowSQL (cliente CLI).

Uso de MFA com JDBC¶

A MFA pode ser usada para conexão com o Snowflake através do driver Snowflake JDBC. Por padrão, o mecanismo de autenticação Duo Push é usado quando um usuário é inscrito na MFA; não são necessárias alterações na cadeia de conexão JDBC.

Para usar um código de acesso gerado pelo Duo em vez do mecanismo push, um dos parâmetros a seguir deve ser incluído na cadeia de conexão JDBC:

passcode=<passcode_string> OR passcodeInPassword=on

Onde:

• passcode_string é um código de acesso gerado pelo Duo para o usuário que está se conectando. Pode ser um código de acesso gerado pelo aplicativo Duo Mobile ou uma senha SMS.

• Se passcodeInPassword=on, então a senha e o código de acesso são concatenados, na forma de <password_string><passcode_string>.

Para obter mais detalhes, consulte Driver JDBC.

Uso de MFA com ODBC¶

A MFA pode ser usada para conexão com o Snowflake através do driver Snowflake ODBC. Por padrão, o mecanismo de autenticação Duo Push é usado quando um usuário é inscrito na MFA; não são necessárias alterações nas configurações do ODBC.

Para usar um código de acesso gerado pelo Duo em vez do mecanismo push, um dos parâmetros a seguir deve ser especificado para o driver:

passcode=<passcode_string> OR passcodeInPassword=on

Onde:

• passcode_string é um código de acesso gerado pelo Duo para o usuário que está se conectando. Pode ser um código de acesso gerado pelo aplicativo Duo Mobile ou uma senha SMS.

• Se passcodeInPassword=on, então a senha e o código de acesso são concatenados, na forma de <password_string><passcode_string>.

Para obter mais detalhes, consulte Driver ODBC.

Uso da MFA com Python¶

A MFA pode ser usada para conexão com o Snowflake através do conector Snowflake Python. Por padrão, o mecanismo de autenticação Duo Push é usado quando um usuário é inscrito na MFA; não são necessárias alterações nas chamadas de API do Python.

Para usar um código de acesso gerado pelo Duo em vez do mecanismo push, um dos parâmetros a seguir deve ser especificado para o driver no método connect():

passcode=<passcode_string> OR passcode_in_password=True

Onde:

• passcode_string é um código de acesso gerado pelo Duo para o usuário que está se conectando. Pode ser um código de acesso gerado pelo aplicativo Duo Mobile ou uma senha SMS.

• Se passcode_in_password=True, então a senha e o código de acesso são concatenados, na forma de <password_string><passcode_string>.

Para obter mais detalhes, consulte a descrição do método connect() na seção Funções da documentação da API do Conector Python.