Authentifiez-vous avec Snowflake

Générer une paire de clés RSA

Générez une paire de clés privées et publiques à l'aide d'OpenSSL.

Extraire le contenu de la clé publique sans délimiteurs pour Snowflake

# Extract public key content (remove BEGIN/END lines and newlines)
cat rsa_key.pub | grep -v "BEGIN\|END" | tr -d '\n'

Enregistrez cette sortie car vous en aurez besoin ultérieurement à l'étape suivante.

Configurer l'utilisateur Snowflake

Suivez ces étapes pour configurer un utilisateur Snowflake.

1. Créez un utilisateur dédié pour le connecteur Athena s'il n'existe pas déjà.

   -- Create user for Athena connector
   CREATE USER athena_connector_user;
   
   -- Grant necessary privileges
   GRANT USAGE ON WAREHOUSE your_warehouse TO ROLE athena_connector_role;
   GRANT USAGE ON DATABASE your_database TO ROLE athena_connector_role;
   GRANT SELECT ON ALL TABLES IN DATABASE your_database TO ROLE athena_connector_role;

2. Accordez des privilèges d'authentification. Pour attribuer une clé publique à un utilisateur, vous devez disposer de l'un des rôles ou privilèges suivants.

   • Le OWNERSHIP privilège MODIFY PROGRAMMATIC AUTHENTICATION METHODS or de l'utilisateur.

   • Le SECURITYADMIN rôle ou un rôle supérieur.

   Accordez les privilèges nécessaires pour attribuer des clés publiques à l'aide de la commande suivante.

   GRANT MODIFY PROGRAMMATIC AUTHENTICATION METHODS ON USER athena_connector_user TO ROLE your_admin_role;

3. Attribuez la clé publique à l'utilisateur Snowflake à l'aide de la commande suivante.

   ALTER USER athena_connector_user SET RSA_PUBLIC_KEY='RSAkey';

   Vérifiez que la clé publique est correctement attribuée à l'utilisateur à l'aide de la commande suivante.

   DESC USER athena_connector_user;

Stocker la clé privée dans AWS Secrets Manager

1. Convertissez votre clé privée au format requis par le connecteur.

   # Read private key content
   cat rsa_key.p8

2. Créez un secret AWS Secrets Manager avec la structure suivante.

   {
     "sfUser": "your_snowflake_user",
     "pem_private_key": "-----BEGIN PRIVATE KEY-----\n...\n-----END PRIVATE KEY-----",
     "pem_private_key_passphrase": "passphrase_in_case_of_encrypted_private_key(optional)"
   }

   Note

   • L'en-tête et le pied de page sont facultatifs.

   • La clé privée doit être séparée par\n.

Créez une intégration de sécurité dans Snowflake

Exécutez la commande SQL suivante dans Snowflake pour créer une intégration de sécurité OAuth Snowflake.

CREATE SECURITY INTEGRATION my_snowflake_oauth_integration_a
  TYPE = OAUTH
  ENABLED = TRUE
  OAUTH_CLIENT = CUSTOM
  OAUTH_CLIENT_TYPE = 'CONFIDENTIAL'
  OAUTH_REDIRECT_URI = 'https://localhost:8080/oauth/callback'
  OAUTH_ISSUE_REFRESH_TOKENS = TRUE
  OAUTH_REFRESH_TOKEN_VALIDITY = 7776000;

Paramètres de configuration

Récupérez les secrets des OAuth clients

1. Exécutez la commande SQL suivante pour obtenir les informations d'identification du client.

   DESC SECURITY INTEGRATION 'MY_SNOWFLAKE_OAUTH_INTEGRATION_A';

2. Récupérez les secrets OAuth du client.

   SELECT SYSTEM$SHOW_OAUTH_CLIENT_SECRETS('MY_SNOWFLAKE_OAUTH_INTEGRATION_A');

   Exemple de réponse

   {
     "OAUTH_CLIENT_SECRET_2": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
     "OAUTH_CLIENT_SECRET": "je7MtGbClwBF/2Zp9Utk/h3yCo8nvbEXAMPLEKEY,
     "OAUTH_CLIENT_ID": "AIDACKCEVSQ6C2EXAMPLE"
   }

Autoriser l'utilisateur et récupérer le code d'autorisation

1. Ouvrez l'URL suivante dans un navigateur.

   https://<your_account>.snowflakecomputing.com/oauth/authorize?client_id=<OAUTH_CLIENT_ID>&response_type=code&redirect_uri=https://localhost:8080/oauth/callback

2. Terminez le flux d'autorisation.

   1. Connectez-vous à l'aide de vos informations d'identification Snowflake.

   2. Accordez les autorisations demandées. Vous serez redirigé vers l'URI de rappel avec un code d'autorisation.

3. Extrayez le code d'autorisation en copiant le paramètre de code depuis l'URL de redirection.

   https://localhost:8080/oauth/callback?code=<authorizationcode>

   Note

   Le code d'autorisation est valide pour une durée limitée et ne peut être utilisé qu'une seule fois.

Stockez les OAuth informations d'identification dans AWS Secrets Manager

Créez un secret AWS Secrets Manager avec la structure suivante.

{
  "redirect_uri": "https://localhost:8080/oauth/callback",
  "client_secret": "je7MtGbClwBF/2Zp9Utk/h3yCo8nvbEXAMPLEKEY",
  "token_url": "https://<your_account>.snowflakecomputing.com/oauth/token-request",
  "client_id": "AIDACKCEVSQ6C2EXAMPLE,
  "username": "your_snowflake_username",
  "auth_code": "authorizationcode"
}

Champs obligatoires