Authentification auprès de Snowflake

Génération d’une paire de clés RSA

Générez une paire de clés privées et publiques à l’aide d’OpenSSL.

Extraction du contenu de la clé publique sans délimiteurs pour Snowflake

# Extract public key content (remove BEGIN/END lines and newlines)
cat rsa_key.pub | grep -v "BEGIN\|END" | tr -d '\n'

Enregistrez cette sortie, dont vous aurez besoin à l’étape suivante.

Configuration de l’utilisateur Snowflake

Suivez ces étapes pour configurer un utilisateur Snowflake.

1. Créez un utilisateur dédié pour le connecteur Athena s’il n’existe pas déjà.

   -- Create user for Athena connector
   CREATE USER athena_connector_user;
   
   -- Grant necessary privileges
   GRANT USAGE ON WAREHOUSE your_warehouse TO ROLE athena_connector_role;
   GRANT USAGE ON DATABASE your_database TO ROLE athena_connector_role;
   GRANT SELECT ON ALL TABLES IN DATABASE your_database TO ROLE athena_connector_role;

2. Accordez des privilèges d’authentification. Pour attribuer une clé publique à un utilisateur, l’un des rôles ou privilèges suivants doit être accordé.

   • Le privilège MODIFY PROGRAMMATIC AUTHENTICATION METHODS ou OWNERSHIP doit être accordé à l’utilisateur.

   • Le rôle SECURITYADMIN ou un rôle supérieur doit être accordé.

   Accordez les privilèges nécessaires pour attribuer des clés publiques à l’aide de la commande suivante.

   GRANT MODIFY PROGRAMMATIC AUTHENTICATION METHODS ON USER athena_connector_user TO ROLE your_admin_role;

3. Attribuez la clé publique à l’utilisateur Snowflake à l’aide de la commande suivante.

   ALTER USER athena_connector_user SET RSA_PUBLIC_KEY='RSAkey';

   Vérifiez que la clé publique a bien été attribuée à l’utilisateur à l’aide de la commande suivante.

   DESC USER athena_connector_user;

Stocker la clé privée dans AWS Secrets Manager

1. Convertissez votre clé privée au format requis par le connecteur.

   # Read private key content
   cat rsa_key.p8

2. Créez un secret AWS Secrets Manager avec la structure suivante.

   {
     "sfUser": "your_snowflake_user",
     "pem_private_key": "-----BEGIN PRIVATE KEY-----\n...\n-----END PRIVATE KEY-----",
     "pem_private_key_passphrase": "passphrase_in_case_of_encrypted_private_key(optional)"
   }

   Note

   • L’en-tête et le pied de page sont facultatifs.

   • La clé privée doit être séparée par \n.

Création d’une intégration de sécurité dans Snowflake

Exécutez la commande SQL suivante dans Snowflake pour créer une intégration de sécurité OAuth Snowflake.

CREATE SECURITY INTEGRATION my_snowflake_oauth_integration_a
  TYPE = OAUTH
  ENABLED = TRUE
  OAUTH_CLIENT = CUSTOM
  OAUTH_CLIENT_TYPE = 'CONFIDENTIAL'
  OAUTH_REDIRECT_URI = 'https://localhost:8080/oauth/callback'
  OAUTH_ISSUE_REFRESH_TOKENS = TRUE
  OAUTH_REFRESH_TOKEN_VALIDITY = 7776000;

Paramètres de configuration

Récupérez les secrets des OAuth clients

1. Pour obtenir les informations d’identification du client, exécutez la commande suivante.

   DESC SECURITY INTEGRATION 'MY_SNOWFLAKE_OAUTH_INTEGRATION_A';

2. Récupérez les secrets OAuth du client.

   SELECT SYSTEM$SHOW_OAUTH_CLIENT_SECRETS('MY_SNOWFLAKE_OAUTH_INTEGRATION_A');

   Exemple de réponse

   {
     "OAUTH_CLIENT_SECRET_2": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
     "OAUTH_CLIENT_SECRET": "je7MtGbClwBF/2Zp9Utk/h3yCo8nvbEXAMPLEKEY,
     "OAUTH_CLIENT_ID": "AIDACKCEVSQ6C2EXAMPLE"
   }

Autorisation de l’utilisateur et récupération du code d’autorisation

1. Ouvrez l’URL suivante dans un navigateur.

   https://<your_account>.snowflakecomputing.com/oauth/authorize?client_id=<OAUTH_CLIENT_ID>&response_type=code&redirect_uri=https://localhost:8080/oauth/callback

2. Exécutez le flux d’autorisation.

   1. Connectez-vous à l’aide de vos informations d’identification Snowflake.

   2. Accordez les autorisations demandées. Vous serez redirigé vers l’URI de rappel avec un code d’autorisation.

3. Extrayez le code d’autorisation en copiant le paramètre de code depuis l’URL de redirection.

   https://localhost:8080/oauth/callback?code=<authorizationcode>

   Note

   Le code d’autorisation est valide pour une durée limitée et ne peut être utilisé qu’une seule fois.

Stockez les OAuth informations d'identification dans AWS Secrets Manager

Créez un secret AWS Secrets Manager avec la structure suivante.

{
  "redirect_uri": "https://localhost:8080/oauth/callback",
  "client_secret": "je7MtGbClwBF/2Zp9Utk/h3yCo8nvbEXAMPLEKEY",
  "token_url": "https://<your_account>.snowflakecomputing.com/oauth/token-request",
  "client_id": "AIDACKCEVSQ6C2EXAMPLE,
  "username": "your_snowflake_username",
  "auth_code": "authorizationcode"
}

Champs obligatoires