Autenticación con Snowflake

Generación de par de claves de RSA

Genere un par de claves privada y pública con OpenSSL.

Extraiga el contenido de la clave pública sin delimitadores para Snowflake

# Extract public key content (remove BEGIN/END lines and newlines)
cat rsa_key.pub | grep -v "BEGIN\|END" | tr -d '\n'

Guarde esta salida, ya que la necesitará más adelante en el siguiente paso.

Configure el usuario de Snowflake

Siga estos pasos para configurar un usuario de Snowflake.

1. Cree un usuario dedicado para el conector de Athena si aún no existe.

   -- Create user for Athena connector
   CREATE USER athena_connector_user;
   
   -- Grant necessary privileges
   GRANT USAGE ON WAREHOUSE your_warehouse TO ROLE athena_connector_role;
   GRANT USAGE ON DATABASE your_database TO ROLE athena_connector_role;
   GRANT SELECT ON ALL TABLES IN DATABASE your_database TO ROLE athena_connector_role;

2. Conceda privilegios de autenticación. Para asignar una clave pública a un usuario, debe contar con uno de los siguientes roles o privilegios.

   • El privilegio MODIFY PROGRAMMATIC AUTHENTICATION METHODS o el privilegio OWNERSHIP sobre el usuario.

   • El rol de SECURITYADMIN o superior.

   Conceda los privilegios necesarios para asignar claves públicas con el siguiente comando.

   GRANT MODIFY PROGRAMMATIC AUTHENTICATION METHODS ON USER athena_connector_user TO ROLE your_admin_role;

3. Asigne la clave pública al usuario de Snowflake con el siguiente comando.

   ALTER USER athena_connector_user SET RSA_PUBLIC_KEY='RSAkey';

   Verifique que la clave pública se haya asignado correctamente al usuario con el siguiente comando.

   DESC USER athena_connector_user;

Almacene la clave privada en AWS Secrets Manager

1. Convierta la clave privada al formato requerido por el conector.

   # Read private key content
   cat rsa_key.p8

2. Cree un secreto en AWS Secrets Manager con la siguiente estructura.

   {
     "sfUser": "your_snowflake_user",
     "pem_private_key": "-----BEGIN PRIVATE KEY-----\n...\n-----END PRIVATE KEY-----",
     "pem_private_key_passphrase": "passphrase_in_case_of_encrypted_private_key(optional)"
   }

   nota

   • El encabezado y el pie de página son opcionales.

   • La clave privada debe estar separada por \n.

Cree una integración de seguridad en Snowflake

Ejecute el siguiente comando SQL en Snowflake para crear una integración de seguridad OAuth de Snowflake.

CREATE SECURITY INTEGRATION my_snowflake_oauth_integration_a
  TYPE = OAUTH
  ENABLED = TRUE
  OAUTH_CLIENT = CUSTOM
  OAUTH_CLIENT_TYPE = 'CONFIDENTIAL'
  OAUTH_REDIRECT_URI = 'https://localhost:8080/oauth/callback'
  OAUTH_ISSUE_REFRESH_TOKENS = TRUE
  OAUTH_REFRESH_TOKEN_VALIDITY = 7776000;

Parámetros de configuración

Recupera los secretos de los clientes de OAuth

1. Ejecute el siguiente comando SQL para obtener las credenciales de cliente.

   DESC SECURITY INTEGRATION 'MY_SNOWFLAKE_OAUTH_INTEGRATION_A';

2. Recupere los secretos de cliente de OAuth.

   SELECT SYSTEM$SHOW_OAUTH_CLIENT_SECRETS('MY_SNOWFLAKE_OAUTH_INTEGRATION_A');

   Ejemplo de respuesta

   {
     "OAUTH_CLIENT_SECRET_2": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
     "OAUTH_CLIENT_SECRET": "je7MtGbClwBF/2Zp9Utk/h3yCo8nvbEXAMPLEKEY,
     "OAUTH_CLIENT_ID": "AIDACKCEVSQ6C2EXAMPLE"
   }

Autorice al usuario y recupere el código de autorización

1. Abra la siguiente URL en un navegador.

   https://<your_account>.snowflakecomputing.com/oauth/authorize?client_id=<OAUTH_CLIENT_ID>&response_type=code&redirect_uri=https://localhost:8080/oauth/callback

2. Complete el flujo de autorización.

   1. Inicie sesión con las credenciales de Snowflake.

   2. Conceda los permisos solicitados. Será redirigido al URI de retorno con un código de autorización.

3. Extraiga el código de autorización. Para ello, copie el parámetro código de la URL de redirección.

   https://localhost:8080/oauth/callback?code=<authorizationcode>

   nota

   El código de autorización es válido por un tiempo limitado y solo se puede usar una vez.

Almacene las credenciales de OAuth en AWS Secrets Manager

Cree un secreto en AWS Secrets Manager con la siguiente estructura.

{
  "redirect_uri": "https://localhost:8080/oauth/callback",
  "client_secret": "je7MtGbClwBF/2Zp9Utk/h3yCo8nvbEXAMPLEKEY",
  "token_url": "https://<your_account>.snowflakecomputing.com/oauth/token-request",
  "client_id": "AIDACKCEVSQ6C2EXAMPLE,
  "username": "your_snowflake_username",
  "auth_code": "authorizationcode"
}

Campos obligatorios