Autenticar com o Snowflake

Gerar pares de chaves RSA

Gere um par de chaves pública e privada usando o OpenSSL.

Extrair conteúdo da chave pública sem delimitadores para o Snowflake

# Extract public key content (remove BEGIN/END lines and newlines)
cat rsa_key.pub | grep -v "BEGIN\|END" | tr -d '\n'

Salve essa saída, pois ela será necessária mais tarde na próxima etapa.

Configurar um usuário do Snowflake

Siga estas etapas para configurar um usuário do Snowflake.

1. Crie um usuário dedicado para o conector do Athena, caso ele ainda não exista.

   -- Create user for Athena connector
   CREATE USER athena_connector_user;
   
   -- Grant necessary privileges
   GRANT USAGE ON WAREHOUSE your_warehouse TO ROLE athena_connector_role;
   GRANT USAGE ON DATABASE your_database TO ROLE athena_connector_role;
   GRANT SELECT ON ALL TABLES IN DATABASE your_database TO ROLE athena_connector_role;

2. Conceda privilégios de autenticação. Para atribuir uma chave pública a um usuário, é necessário ter um dos seguintes perfis ou privilégios.

   • O privilégio MODIFY PROGRAMMATIC AUTHENTICATION METHODS ou OWNERSHIP no usuário.

   • O perfil SECURITYADMIN ou superior.

   Conceda os privilégios necessários para atribuir chaves públicas usando o comando a seguir.

   GRANT MODIFY PROGRAMMATIC AUTHENTICATION METHODS ON USER athena_connector_user TO ROLE your_admin_role;

3. Atribua a chave pública ao usuário do Snowflake usando o comando a seguir.

   ALTER USER athena_connector_user SET RSA_PUBLIC_KEY='RSAkey';

   Verifique se a chave pública foi atribuída com sucesso ao usuário com o comando a seguir.

   DESC USER athena_connector_user;

Armazenar a chave privada em AWS Secrets Manager

1. Converta a chave privada para o formato exigido pelo conector.

   # Read private key content
   cat rsa_key.p8

2. Crie um segredo no AWS Secrets Manager com a estrutura a seguir.

   {
     "sfUser": "your_snowflake_user",
     "pem_private_key": "-----BEGIN PRIVATE KEY-----\n...\n-----END PRIVATE KEY-----",
     "pem_private_key_passphrase": "passphrase_in_case_of_encrypted_private_key(optional)"
   }

   nota

   • O cabeçalho e o rodapé são opcionais.

   • A chave privada deve ser separada por \n.

Criar uma integração de segurança no Snowflake

Execute o seguinte comando SQL no Snowflake para criar uma integração de segurança OAuth do Snowflake.

CREATE SECURITY INTEGRATION my_snowflake_oauth_integration_a
  TYPE = OAUTH
  ENABLED = TRUE
  OAUTH_CLIENT = CUSTOM
  OAUTH_CLIENT_TYPE = 'CONFIDENTIAL'
  OAUTH_REDIRECT_URI = 'https://localhost:8080/oauth/callback'
  OAUTH_ISSUE_REFRESH_TOKENS = TRUE
  OAUTH_REFRESH_TOKEN_VALIDITY = 7776000;

Parâmetros de configuração

Recuperar segredos do cliente OAuth

1. Execute o comando SQL a seguir para obter as credenciais do cliente.

   DESC SECURITY INTEGRATION 'MY_SNOWFLAKE_OAUTH_INTEGRATION_A';

2. Recupere os segredos do cliente OAuth.

   SELECT SYSTEM$SHOW_OAUTH_CLIENT_SECRETS('MY_SNOWFLAKE_OAUTH_INTEGRATION_A');

   Exemplo de resposta

   {
     "OAUTH_CLIENT_SECRET_2": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
     "OAUTH_CLIENT_SECRET": "je7MtGbClwBF/2Zp9Utk/h3yCo8nvbEXAMPLEKEY,
     "OAUTH_CLIENT_ID": "AIDACKCEVSQ6C2EXAMPLE"
   }

Autorizar o usuário e recuperar o código de autorização

1. Abra o URL a seguir no seu navegador.

   https://<your_account>.snowflakecomputing.com/oauth/authorize?client_id=<OAUTH_CLIENT_ID>&response_type=code&redirect_uri=https://localhost:8080/oauth/callback

2. Conclua o fluxo de autorização.

   1. Faça login usando suas credenciais do Snowflake.

   2. Conceda as permissões solicitadas. Você será redirecionado para o URI de retorno de chamada com um código de autorização.

3. Extraia o código de autorização copiando o parâmetro de código do URL de redirecionamento.

   https://localhost:8080/oauth/callback?code=<authorizationcode>

   nota

   O código de autorização é válido por tempo limitado e só pode ser usado uma vez.

Armazenar credenciais do OAuth no AWS Secrets Manager

Crie um segredo no AWS Secrets Manager com a estrutura a seguir.

{
  "redirect_uri": "https://localhost:8080/oauth/callback",
  "client_secret": "je7MtGbClwBF/2Zp9Utk/h3yCo8nvbEXAMPLEKEY",
  "token_url": "https://<your_account>.snowflakecomputing.com/oauth/token-request",
  "client_id": "AIDACKCEVSQ6C2EXAMPLE,
  "username": "your_snowflake_username",
  "auth_code": "authorizationcode"
}

Campos obrigatórios