Autenticare con Snowflake

Generare una coppia di chiavi RSA

Generare una coppia di chiavi privata e pubblica usando OpenSSL.

Estrarre il contenuto della chiave pubblica senza delimitatori per Snowflake

# Extract public key content (remove BEGIN/END lines and newlines)
cat rsa_key.pub | grep -v "BEGIN\|END" | tr -d '\n'

Salvare l'output poiché sarà necessario nella fase successiva.

Configurare l'utente Snowflake

Per configurare un account utente Snowflake, seguire la procedura illustrata qui.

1. Creare un utente dedicato per il connettore Athena se non esiste già.

   -- Create user for Athena connector
   CREATE USER athena_connector_user;
   
   -- Grant necessary privileges
   GRANT USAGE ON WAREHOUSE your_warehouse TO ROLE athena_connector_role;
   GRANT USAGE ON DATABASE your_database TO ROLE athena_connector_role;
   GRANT SELECT ON ALL TABLES IN DATABASE your_database TO ROLE athena_connector_role;

2. Concedere i privilegi di autenticazione. Per assegnare una chiave pubblica a un utente, è necessario disporre di uno dei seguenti ruoli o privilegi.

   • Il privilegio MODIFY PROGRAMMATIC AUTHENTICATION METHODS o OWNERSHIP sull'utente.

   • Il ruolo SECURITYADMIN o il livello superiore.

   Concedere i privilegi necessari per l'assegnazione delle chiavi pubbliche tramite il seguente comando.

   GRANT MODIFY PROGRAMMATIC AUTHENTICATION METHODS ON USER athena_connector_user TO ROLE your_admin_role;

3. Assegnare la chiave pubblica all'account utente Snowflake con il seguente comando.

   ALTER USER athena_connector_user SET RSA_PUBLIC_KEY='RSAkey';

   Verificare che la chiave pubblica sia stata assegnata correttamente all'utente con il seguente comando.

   DESC USER athena_connector_user;

Memorizzare la chiave privata in Gestione dei segreti AWS

1. Convertire la chiave privata nel formato richiesto dal connettore.

   # Read private key content
   cat rsa_key.p8

2. Creare un segreto in Gestione dei segreti AWS con la seguente struttura.

   {
     "sfUser": "your_snowflake_user",
     "pem_private_key": "-----BEGIN PRIVATE KEY-----\n...\n-----END PRIVATE KEY-----",
     "pem_private_key_passphrase": "passphrase_in_case_of_encrypted_private_key(optional)"
   }

   Nota

   • L'intestazione e il piè di pagina sono opzionali.

   • La chiave privata deve essere separata da \n.

Creare un'integrazione di sicurezza in Snowflake

Eseguire il seguente comando SQL in Snowflake per creare un'integrazione di sicurezza Snowflake OAuth.

CREATE SECURITY INTEGRATION my_snowflake_oauth_integration_a
  TYPE = OAUTH
  ENABLED = TRUE
  OAUTH_CLIENT = CUSTOM
  OAUTH_CLIENT_TYPE = 'CONFIDENTIAL'
  OAUTH_REDIRECT_URI = 'https://localhost:8080/oauth/callback'
  OAUTH_ISSUE_REFRESH_TOKENS = TRUE
  OAUTH_REFRESH_TOKEN_VALIDITY = 7776000;

Parametri di configurazione

Recupera i segreti del client OAuth

1. Eseguire il seguente comando, per ottenere queste credenziali.

   DESC SECURITY INTEGRATION 'MY_SNOWFLAKE_OAUTH_INTEGRATION_A';

2. Recuperare i segreti del client OAuth.

   SELECT SYSTEM$SHOW_OAUTH_CLIENT_SECRETS('MY_SNOWFLAKE_OAUTH_INTEGRATION_A');

   Risposta di esempio

   {
     "OAUTH_CLIENT_SECRET_2": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
     "OAUTH_CLIENT_SECRET": "je7MtGbClwBF/2Zp9Utk/h3yCo8nvbEXAMPLEKEY,
     "OAUTH_CLIENT_ID": "AIDACKCEVSQ6C2EXAMPLE"
   }

Autorizzare l'utente e recuperare il codice di autorizzazione

1. Aprire il seguente URL in un browser.

   https://<your_account>.snowflakecomputing.com/oauth/authorize?client_id=<OAUTH_CLIENT_ID>&response_type=code&redirect_uri=https://localhost:8080/oauth/callback

2. Completare il flusso di autorizzazione.

   1. Accedere usando le credenziali Snowflake.

   2. Concedere le autorizzazioni richieste. Si verrà reindirizzati all'URI di callback con un codice di autorizzazione.

3. Estrarre il codice di autorizzazione copiando il parametro code dall'URL di reindirizzamento.

   https://localhost:8080/oauth/callback?code=<authorizationcode>

   Nota

   Il codice di autorizzazione è valido per un periodo di tempo limitato e può essere utilizzato una sola volta.

Memorizzare le credenziali OAuth in Gestione dei segreti AWS

Creare un segreto in Gestione dei segreti AWS con la seguente struttura.

{
  "redirect_uri": "https://localhost:8080/oauth/callback",
  "client_secret": "je7MtGbClwBF/2Zp9Utk/h3yCo8nvbEXAMPLEKEY",
  "token_url": "https://<your_account>.snowflakecomputing.com/oauth/token-request",
  "client_id": "AIDACKCEVSQ6C2EXAMPLE,
  "username": "your_snowflake_username",
  "auth_code": "authorizationcode"
}

Campi obbligatori