Mit Snowflake authentifizieren

RSA-Schlüsselpaare generieren

Generieren Sie mit OpenSSL ein privates und ein öffentliches Schlüsselpaar.

Extrahieren Sie den Inhalt öffentlicher Schlüssel ohne Trennzeichen für Snowflake

# Extract public key content (remove BEGIN/END lines and newlines)
cat rsa_key.pub | grep -v "BEGIN\|END" | tr -d '\n'

Speichern Sie diese Ausgabe, da Sie sie später im nächsten Schritt benötigen werden.

Snowflake-Benutzer konfigurieren

Führen Sie zur Konfiguration eines Snowflake-Benutzrs die folgenden Schritte aus.

1. Erstellen Sie einen dedizierten Benutzer für den Athena-Connector, falls er noch nicht existiert.

   -- Create user for Athena connector
   CREATE USER athena_connector_user;
   
   -- Grant necessary privileges
   GRANT USAGE ON WAREHOUSE your_warehouse TO ROLE athena_connector_role;
   GRANT USAGE ON DATABASE your_database TO ROLE athena_connector_role;
   GRANT SELECT ON ALL TABLES IN DATABASE your_database TO ROLE athena_connector_role;

2. Gewähren Sie Authentifizierungsberechtigungen. Um einem Benutzer einen öffentlichen Schlüssel zuzuweisen, müssen Sie über eine der folgenden Rollen oder Berechtigungen verfügen.

   • Das MODIFY PROGRAMMATIC AUTHENTICATION METHODS oder OWNERSHIP-Recht für den Benutzer.

   • Die SECURITYADMIN-Rolle oder höher.

   Erteilen Sie die notwendigen Berechtigungen für die Zuweisung öffentlicher Schlüssel mit dem folgenden Befehl.

   GRANT MODIFY PROGRAMMATIC AUTHENTICATION METHODS ON USER athena_connector_user TO ROLE your_admin_role;

3. Weisen Sie den öffentlichen Schlüssel mit dem folgenden Befehl dem Snowflake-Benutzer zu.

   ALTER USER athena_connector_user SET RSA_PUBLIC_KEY='RSAkey';

   Stellen Sie mit dem folgenden Befehl sicher, dass der öffentliche Schlüssel dem Benutzer erfolgreich zugewiesen wurde.

   DESC USER athena_connector_user;

Speichern Sie den privaten Schlüssel in AWS Secrets Manager

1. Konvertieren Sie den privaten Schlüssel in das vom Connector benötigte Format.

   # Read private key content
   cat rsa_key.p8

2. Erstellen Sie ein Secret in AWS Secrets Manager mit der folgenden Struktur.

   {
     "sfUser": "your_snowflake_user",
     "pem_private_key": "-----BEGIN PRIVATE KEY-----\n...\n-----END PRIVATE KEY-----",
     "pem_private_key_passphrase": "passphrase_in_case_of_encrypted_private_key(optional)"
   }

   Anmerkung

   • Kopf- und Fußzeile sind optional.

   • Der private Schlüssel muss durch \n getrennt werden.

Erstellen Sie eine Sicherheitsintegration in Snowflake

Führen Sie den folgenden SQL-Befehl in Snowflake aus, um eine Snowflake-Sicherheitsintegration zu erstellen. OAuth

CREATE SECURITY INTEGRATION my_snowflake_oauth_integration_a
  TYPE = OAUTH
  ENABLED = TRUE
  OAUTH_CLIENT = CUSTOM
  OAUTH_CLIENT_TYPE = 'CONFIDENTIAL'
  OAUTH_REDIRECT_URI = 'https://localhost:8080/oauth/callback'
  OAUTH_ISSUE_REFRESH_TOKENS = TRUE
  OAUTH_REFRESH_TOKEN_VALIDITY = 7776000;

Konfigurationsparameter

Rufen Sie OAuth Client-Geheimnisse ab

1. Führen Sie den folgenden SQL-Befehl aus, um die Anmeldeinformationen des Kunden abzurufen.

   DESC SECURITY INTEGRATION 'MY_SNOWFLAKE_OAUTH_INTEGRATION_A';

2. Rufen Sie die OAuth Kundengeheimnisse ab.

   SELECT SYSTEM$SHOW_OAUTH_CLIENT_SECRETS('MY_SNOWFLAKE_OAUTH_INTEGRATION_A');

   Beispielantwort

   {
     "OAUTH_CLIENT_SECRET_2": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
     "OAUTH_CLIENT_SECRET": "je7MtGbClwBF/2Zp9Utk/h3yCo8nvbEXAMPLEKEY,
     "OAUTH_CLIENT_ID": "AIDACKCEVSQ6C2EXAMPLE"
   }

Benutzer autorisieren und Autorisierungscode abrufen

1. Öffnen Sie die folgende URL in einem Browser.

   https://<your_account>.snowflakecomputing.com/oauth/authorize?client_id=<OAUTH_CLIENT_ID>&response_type=code&redirect_uri=https://localhost:8080/oauth/callback

2. Schließen Sie den Autorisierungsablauf ab.

   1. Melden Sie sich mit Ihren Snowflake-Anmeldeinformationen an.

   2. Erteilen Sie die angeforderten Berechtigungen. Sie werden mit einem Autorisierungscode zur Rückruf-URI weitergeleitet.

3. Extrahieren Sie den Autorisierungscode, indem Sie den Codeparameter aus der Umleitungs-URL kopieren.

   https://localhost:8080/oauth/callback?code=<authorizationcode>

   Anmerkung

   Der Autorisierungscode ist für eine begrenzte Zeit gültig und kann nur einmal verwendet werden.

Speichern Sie die OAuth Anmeldeinformationen in AWS Secrets Manager

Erstellen Sie ein Secret in AWS Secrets Manager mit der folgenden Struktur.

{
  "redirect_uri": "https://localhost:8080/oauth/callback",
  "client_secret": "je7MtGbClwBF/2Zp9Utk/h3yCo8nvbEXAMPLEKEY",
  "token_url": "https://<your_account>.snowflakecomputing.com/oauth/token-request",
  "client_id": "AIDACKCEVSQ6C2EXAMPLE,
  "username": "your_snowflake_username",
  "auth_code": "authorizationcode"
}

Pflichtfelder