Snowflake¶

• Snowflakeアカウント
• OktaのSnowflakeで設定済みの外部OAuth。

• Snowflakeアカウント
• Microsoft Azure ADのSnowflakeで設定済みの外部OAuth。

Oktaで新しいアプリ統合を作成します。

1. アプリケーション > 各種アプリケーションに移動します。
2. アプリ統合を作成をクリックします。
3. サインイン方法で、OIDC - OpenID Connectを選択します。
4. アプリケーションタイプで、ウェブアプリケーションを選択します。
5. 次へをクリックします。

6. 次のオプションが選択されていることを確認してください。

   • クライアント資格情報
   • 認証コード
   • リフレッシュトークン
   • 同意が必要

7. ログインで、http://localhost/account/snowflake/snowflake_authz_returnを追加しリダイレクトURIにサインインします。

8. Client IDとClient secretが生成されます。

次に、新しい認証サーバーを作成します。

1. セキュリティ > API > 認証サーバーを追加に移動します。

   • オーディエンスをhttps://<partner_name>.snowflakecomputing.com/に設定します。 <partner_name>は現在のDataRobot Snowflakeインスタンスのdatarobot_partnerです。

2. スコープ > スコープを追加に移動します。

   • 名前をsession:role:publicに設定します（Snowflakeロールを参照）。
   • チェックインの場合、Require user consent for this scopeとBlock services from requesting this scopeを追加します。
   • （オプション）同意を必要とするoffline_accessスコープを設定します。

3. アクセスポリシー > ルールを追加に移動し、次のルールを追加します。

   • チェックインClient Credentialsを追加します。
   • チェックインAuthorization Codeを追加します。
   • クライアントインテグレーション（上記で作成）をAssigned to clientsフィールドに追加します。

4. トークンに移動し、トークンを作成をクリックします。

5. 次の結果が得られます。

   • Issuer、たとえば、https://dev-11863425.okta.com/oauth2/aus15ca55wkdOxplJ5d7。
   • Okta APIへのプログラムによるアクセス用の認証Token。
   • 認証サーバーのメタデータJSON（設定 > メタデータURI）。

Okta API呼び出し

```

Azure ADでSnowflakeリソースのアプリケーションを登録します。

1. MS Azure > Azure AD > アプリの登録に移動します。

2. 新規登録をクリックします。

   • 名前に、Snowflakeリソースを入力します。
   • サポートされているアカウントの種類で、この組織のディレクトリのみのアカウントを選択します。
   • リダイレクトURIで、ウェブを選択しhttp://localhost/account/snowflake/snowflake_authz_returnと入力します。
   • 登録をクリックします。

3. APIを公開します。

   • Snowflake URIを参照するようにアプリケーションIDのURIを設定します（例：https://hl91180.us-east-2.aws.snowflakecomputing.com）。
   • 既存のSnowflakeロールを参照するスコープを追加します。スコープには、アプリケーションID URIがプレフィックスとして付けられます（例：https://hl91180.us-east-2.aws.snowflakecomputing.com/session:scope:public）。

Azure ADでSnowflakeクライアントアプリのアプリケーションを登録します。

1. MS Azure > Azure AD > アプリの登録に移動します。

2. 新規登録をクリックします。

   • 名前に、Snowflakeリソースを入力します。
   • サポートされているアカウントの種類で、この組織のディレクトリのみのアカウントを選択します。
   • リダイレクトURIで、ウェブを選択しhttp://localhost/account/snowflake/snowflake_authz_returnと入力します。
   • 登録をクリックします。

3. クライアント資格情報 > 新しいクライアントシークレットに移動し、値をコピーします。 この値は、この手順の後では使用できないことに注意してください。

4. API Permission > Add Permission > My APIs > Snowflake Resourceに移動し、上記で作成したSnowflakeリソースのスコープを選択します（session:scope:public）。

5. 次の結果が得られます。

   • Snowflakeクライアントアプリ：Client IDとClient secret

   • 発行者URL（Snowflakeとの連携では<external_oauth_jws_keys_url>）

     • Snowflakeクライアントアプリ > 概要 > エンドポイント > OpenID Connectメタデータのドキュメントに移動し、ブラウザーでドキュメントを開き、jwks_uri（例えば、https://login.microsoftonline.com/6064c47c-80e4-4a2b-82ee-1fc5643b37a2/discovery/v2.0/keys）を検索します。

   • エンティティID（Snowflakeとの連携では<external_oauth_issuer>）

     • Snowflakeクライアントアプリ > 概要 > エンドポイント > フェデレーションメタデータのドキュメントに移動し、ブラウザーでドキュメントを開き、entityID（例えば、https://sts.windows.net/6064c47c-80e4-4a2b-82ee-1fc5643b37a2/）を検索します。

create security integration external_oauth_okta_2
    type = external_oauth
    enabled = true
    external_oauth_type = okta
    external_oauth_issuer = '<OKTA_ISSUER>'
    external_oauth_jws_keys_url = '<JWKS_URI>'
    external_oauth_audience_list = ('<AUDIENCE>')
    external_oauth_token_user_mapping_claim = 'sub'
    external_oauth_snowflake_user_mapping_attribute = 'login_name';

CREATE OR REPLACE USER <user_name>
  LOGIN_NAME = '<okta_user_name>';

alter user <user_name> set DEFAULT_ROLE = 'PUBLIC'; 

参考値：

• OKTA_ISSUER: https://dev-11863425.okta.com/oauth2/aus15ca55wkdOxplJ5d7
• AUDIENCE: https://hl91180.us-east-2.aws.snowflakecomputing.com/
• JWKS_URI：https://dev-11863425.okta.com/oauth2/aus15ca55wkdOxplJ5d7/v1/keys（Okta認証サーバーのメタデータJSONから取得）
• okta_user_name（Okta > ディレクトリ > ユーザーから取得し、ユーザーを選択してから、プロフィール > ユーザー名/ログインに移動します）