Mit Snowflake authentifizieren

RSA-Schlüsselpaare generieren

Generieren Sie mit OpenSSL ein privates und ein öffentliches Schlüsselpaar.

Extrahieren Sie den Inhalt öffentlicher Schlüssel ohne Trennzeichen für Snowflake

# Extract public key content (remove BEGIN/END lines and newlines)
cat rsa_key.pub | grep -v "BEGIN\|END" | tr -d '\n'

Speichern Sie diese Ausgabe, da Sie sie später im nächsten Schritt benötigen werden.

Snowflake-Benutzer konfigurieren

Führen Sie zur Konfiguration eines Snowflake-Benutzrs die folgenden Schritte aus.

1. Erstellen Sie einen dedizierten Benutzer für den Athena-Connector, falls er noch nicht existiert.

   -- Create user for Athena connector
   CREATE USER athena_connector_user;
   
   -- Grant necessary privileges
   GRANT USAGE ON WAREHOUSE your_warehouse TO ROLE athena_connector_role;
   GRANT USAGE ON DATABASE your_database TO ROLE athena_connector_role;
   GRANT SELECT ON ALL TABLES IN DATABASE your_database TO ROLE athena_connector_role;

2. Gewähren Sie Authentifizierungsberechtigungen. Um einem Benutzer einen öffentlichen Schlüssel zuzuweisen, müssen Sie über eine der folgenden Rollen oder Berechtigungen verfügen.

   • Das MODIFY PROGRAMMATIC AUTHENTICATION METHODS oder OWNERSHIP-Recht für den Benutzer.

   • Die SECURITYADMIN-Rolle oder höher.

   Erteilen Sie die notwendigen Berechtigungen für die Zuweisung öffentlicher Schlüssel mit dem folgenden Befehl.

   GRANT MODIFY PROGRAMMATIC AUTHENTICATION METHODS ON USER athena_connector_user TO ROLE your_admin_role;

3. Weisen Sie den öffentlichen Schlüssel mit dem folgenden Befehl dem Snowflake-Benutzer zu.

   ALTER USER athena_connector_user SET RSA_PUBLIC_KEY='RSAkey';

   Stellen Sie mit dem folgenden Befehl sicher, dass der öffentliche Schlüssel dem Benutzer erfolgreich zugewiesen wurde.

   DESC USER athena_connector_user;

Speichern Sie den privaten Schlüssel in AWS Secrets Manager

1. Konvertieren Sie den privaten Schlüssel in das vom Connector benötigte Format.

   # Read private key content
   cat rsa_key.p8

2. Erstellen Sie in AWS Secrets Manager ein Geheimnis mit der folgenden Struktur.

   {
     "sfUser": "your_snowflake_user",
     "pem_private_key": "-----BEGIN PRIVATE KEY-----\n...\n-----END PRIVATE KEY-----",
     "pem_private_key_passphrase": "passphrase_in_case_of_encrypted_private_key(optional)"
   }

   Anmerkung

   • Kopf- und Fußzeile sind optional.

   • Der private Schlüssel muss durch \n getrennt werden.

Erstellen Sie eine Sicherheitsintegration in Snowflake

Führen Sie den folgenden SQL-Befehl in Snowflake aus, um eine Snowflake-OAuth-Sicherheitsintegration zu erstellen.

CREATE SECURITY INTEGRATION my_snowflake_oauth_integration_a
  TYPE = OAUTH
  ENABLED = TRUE
  OAUTH_CLIENT = CUSTOM
  OAUTH_CLIENT_TYPE = 'CONFIDENTIAL'
  OAUTH_REDIRECT_URI = 'https://localhost:8080/oauth/callback'
  OAUTH_ISSUE_REFRESH_TOKENS = TRUE
  OAUTH_REFRESH_TOKEN_VALIDITY = 7776000;

Konfigurationsparameter

Rufen Sie OAuth-Client-Geheimnisse ab

1. Führen Sie den folgenden SQL-Befehl aus, um die Anmeldeinformationen des Kunden abzurufen.

   DESC SECURITY INTEGRATION 'MY_SNOWFLAKE_OAUTH_INTEGRATION_A';

2. Rufen Sie die OAuth-Client-Geheimnisse ab.

   SELECT SYSTEM$SHOW_OAUTH_CLIENT_SECRETS('MY_SNOWFLAKE_OAUTH_INTEGRATION_A');

   Beispielantwort

   {
     "OAUTH_CLIENT_SECRET_2": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
     "OAUTH_CLIENT_SECRET": "je7MtGbClwBF/2Zp9Utk/h3yCo8nvbEXAMPLEKEY,
     "OAUTH_CLIENT_ID": "AIDACKCEVSQ6C2EXAMPLE"
   }

Benutzer autorisieren und Autorisierungscode abrufen

1. Öffnen Sie die folgende URL in einem Browser.

   https://<your_account>.snowflakecomputing.com/oauth/authorize?client_id=<OAUTH_CLIENT_ID>&response_type=code&redirect_uri=https://localhost:8080/oauth/callback

2. Schließen Sie den Autorisierungsablauf ab.

   1. Melden Sie sich mit Ihren Snowflake-Anmeldeinformationen an.

   2. Erteilen Sie die angeforderten Berechtigungen. Sie werden mit einem Autorisierungscode zur Rückruf-URI weitergeleitet.

3. Extrahieren Sie den Autorisierungscode, indem Sie den Codeparameter aus der Umleitungs-URL kopieren.

   https://localhost:8080/oauth/callback?code=<authorizationcode>

   Anmerkung

   Der Autorisierungscode ist für eine begrenzte Zeit gültig und kann nur einmal verwendet werden.

Speichern Sie OAuth-Anmeldeinformationen in AWS Secrets Manager

Erstellen Sie in AWS Secrets Manager ein Geheimnis mit der folgenden Struktur.

{
  "redirect_uri": "https://localhost:8080/oauth/callback",
  "client_secret": "je7MtGbClwBF/2Zp9Utk/h3yCo8nvbEXAMPLEKEY",
  "token_url": "https://<your_account>.snowflakecomputing.com/oauth/token-request",
  "client_id": "AIDACKCEVSQ6C2EXAMPLE,
  "username": "your_snowflake_username",
  "auth_code": "authorizationcode"
}

Pflichtfelder