Snowflake¶

• Snowflakeアカウント
• OktaのSnowflakeで設定済みの外部OAuth。

• Snowflakeアカウント
• Microsoft Azure ADのSnowflakeで設定済みの外部OAuth。

Oktaで新しいアプリ統合を作成します。

1. アプリケーション > 各種アプリケーションに移動します。
2. アプリ統合を作成をクリックします。
3. サインイン方法で、OIDC - OpenID Connectを選択します。
4. アプリケーションタイプで、ウェブアプリケーションを選択します。
5. 次へをクリックします。

6. 次のオプションが選択されていることを確認してください。

   • クライアント資格情報
   • 認証コード
   • リフレッシュトークン
   • 同意が必要

7. ログインで、http://localhost/account/snowflake/snowflake_authz_returnを追加しリダイレクトURIにサインインします。

8. Client IDとClient secretが生成されます。

次に、新しい認証サーバーを作成します。

1. セキュリティ > API > 認証サーバーを追加に移動します。

   • オーディエンスをhttps://<partner_name>.snowflakecomputing.com/に設定します。 <partner_name>は現在のDataRobot Snowflakeインスタンスのdatarobot_partnerです。

2. スコープ > スコープを追加に移動します。

   • 名前をsession:role:publicに設定します（Snowflakeロールを参照）。
   • チェックインの場合、Require user consent for this scopeとBlock services from requesting this scopeを追加します。
   • （オプション）同意を必要とするoffline_accessスコープを設定します。

3. アクセスポリシー > ルールを追加に移動し、次のルールを追加します。

   • チェックインClient Credentialsを追加します。
   • チェックインAuthorization Codeを追加します。
   • クライアントインテグレーション（上記で作成）をAssigned to clientsフィールドに追加します。

4. トークンに移動し、トークンを作成をクリックします。

5. 次の結果が得られます。

   • Issuer、たとえば、https://dev-11863425.okta.com/oauth2/aus15ca55wkdOxplJ5d7。
   • Okta APIへのプログラムによるアクセス用の認証Token。
   • 認証サーバーのメタデータJSON（設定 > メタデータURI）。

Okta API呼び出し

  curl --location --request GET 'https://<OKTA_ACCOUNT>.okta.com/api/v1/users/me' \
  --header 'Accept: application/json' \
  --header 'Content-Type: application/json' \
  --header 'Authorization: SSWS <TOKEN>' 

  curl --location --request GET 'https://<OKTA_ACCOUNT>.okta.com/api/v1/users/<USER_ID>/clients/<CLIENT_ID>/grants' \
  --header 'Accept: application/json' \
  --header 'Content-Type: application/json' \
  --header 'Authorization: SSWS <TOKEN>' 

  curl --location --request DELETE 'https://<OKTA_ACCOUNT>.okta.com/api/v1/users/<USER_ID>/grants/<GRANT_ID>' \
  --header 'Accept: application/json' \
  --header 'Content-Type: application/json' \
  --header 'Authorization: SSWS <TOKEN>' 

Azure ADでSnowflakeリソースのアプリケーションを登録します。

1. MS Azure > Azure AD > アプリの登録に移動します。

2. 新規登録をクリックします。

   • 名前の下に、Snowflake OAuthリソースを入力します。
   • サポートされているアカウントの種類で、この組織のディレクトリのみのアカウントを選択します。
   • リダイレクトURIで、ウェブを選択しhttps://app.datarobot.com/account/snowflake/snowflake_authz_returnと入力します。
   • 登録をクリックします。

3. 概要セクションで、<OAUTH_CLIENT_ID>値となるアプリケーション（クライアント）IDフィールドから、Client IDをコピーします。

4. 証明書とシークレットをクリックし、新規クライアントシークレットをクリックします。
5. シークレットの説明を追加します。
6. 追加をクリックして、シークレットをコピーします。 この値は、この手順の後では使用できないことに注意してください。 これは、<OAUTH_CLIENT_SECRET>の値になります

7. APIを公開します。

   • アプリケーションID URIの横にある設定リンクをクリックし、固有IDであることを確認します（これは変更する必要はありません）。 これは、値になります
   • スコープを追加をクリックして、Snowflakeロールを表すスコープを追加します
   • スコープ名を session:scope:public と入力します。

Azure ADでSnowflakeクライアントアプリのアプリケーションを登録します。

1. MS Azure > Azure AD > アプリの登録に移動します。

2. 新規登録をクリックします。

   • 名前の下に、Snowflake OAuthクライアントを入力します。
   • サポートされているアカウントの種類で、この組織のディレクトリのみのアカウントを選択します。
   • リダイレクトURIで、ウェブを選択しhttps://app.datarobot.com/account/snowflake/snowflake_authz_returnと入力します。
   • 登録をクリックします。

3. API Permission > Add Permission > My APIs > Snowflake Resourceに移動し、上記で作成したSnowflakeリソースのスコープを選択します（session:scope:public）。

4. ユーザーに代わってアクセストークンを要求するプログラマティッククライアントの場合、アプリケーションの委任権限を次のように設定します。

   • [APIのアクセス許可]をクリックします。
   • [アクセス許可の追加]をクリックします。
   • [自分のAPI]をクリックします。
   • ステップ1で作成したSnowflake OAuth Resourceをクリックします。Azure ADで、OAuth Resourceを設定します。
   • [委任されたアクセス許可]ボックスをクリックします。
   • ステップ3で作成されたスコープに関連する権限を確認しますsession:scope:public
   • [アクセス許可の追加]をクリックします。

5. Snowflakeと連携するための追加情報を収集します。

   • [アプリの登録]をクリックします
   • [Snowflake OAuthリソース]をクリックします。
   • [概要]インターフェイスで[エンドポイント]をクリックします
   • <AZURE_AD_OAUTH_TOKEN_ENDPOINT> 値となるOAuth 2.0トークンエンドポイント（v2）をコピーします
   • エンドポイントの概要からOpenID ConnectメタデータのURLをコピーして、新規ウィンドウに貼り付けます
   • 「jwks_uri」 パラメーターを見つけ、<AZURE_AD_JWS_KEY_ENDPOINT>値となるその値をコピーします（例：https://login.microsoftonline.com/6064c47c-80e4-4a2b-82ee-1fc5643b37a2/discovery/v2.0/keys）
   • フェデレーションメタデータドキュメントをコピーし、URLを新規ウィンドウで開きます。 <AZURE_AD_ISSUER> 値となる「entityID」を見つけます（例：https://sts.windows.net/6064c47c-80e4-4a2b-82ee-1fc5643b37a2/）

6. 次の結果が得られます。

   • Client IDとClient secretは、Snowflake OAuth Resourceからコピーしました
   • ステップ5<AZURE_AD_ISSUER>の値からコピーされた発行者URL
   • Azure ADステップ5で、Snowflake Resourceにアプリケーションを登録する<AZURE_AD_JWS_KEY_ENDPOINT>の値
   • Azure ADステップ3で、Snowflake Resourceにアプリケーションを登録する<SNOWFLAKE_APPLICATION_ID_URI>

create security integration external_oauth_okta_2
    type = external_oauth
    enabled = true
    external_oauth_type = okta
    external_oauth_issuer = '<OKTA_ISSUER>'
    external_oauth_jws_keys_url = '<JWKS_URI>'
    external_oauth_audience_list = ('<AUDIENCE>')
    external_oauth_token_user_mapping_claim = 'sub'
    external_oauth_snowflake_user_mapping_attribute = 'login_name';

CREATE OR REPLACE USER <user_name>
  LOGIN_NAME = '<okta_user_name>';

alter user <user_name> set DEFAULT_ROLE = 'PUBLIC'; 

参考値：

• OKTA_ISSUER: https://dev-11863425.okta.com/oauth2/aus15ca55wkdOxplJ5d7
• AUDIENCE: https://hl91180.us-east-2.aws.snowflakecomputing.com/
• JWKS_URI：https://dev-11863425.okta.com/oauth2/aus15ca55wkdOxplJ5d7/v1/keys（Okta認証サーバーのメタデータJSONから取得）
• okta_user_name（Okta > ディレクトリ > ユーザーから取得し、ユーザーを選択してから、プロフィール > ユーザー名/ログインに移動します）

create security integration external_oauth_azure_1
   type = external_oauth
   enabled = true
   external_oauth_type = azure
   external_oauth_issuer = 'https://sts.windows.net/6064c47c-80e4-4a2b-82ee-1fc5643b37a2/'
   external_oauth_jws_keys_url = 'https://login.microsoftonline.com/6064c47c-80e4-4a2b-82ee-1fc5643b37a2/discovery/v2.0/keys'
   external_oauth_audience_list = ('api://8aa2572f-c9e6-4e91-9eb1-dcd84c856dd2')
   external_oauth_token_user_mapping_claim = 'upn'
   external_oauth_any_role_mode = 'ENABLE'
   external_oauth_snowflake_user_mapping_attribute = 'login_name'; 

連携のアクセス権をpublicロールに付与します。

grant USE_ANY_ROLE on integration external_oauth_azure_1 to PUBLIC;

LOGIN_NAMEのユーザーが、Azureログインと同じであることを確認します。 Snowflakeで、次のクエリーを使用して検証します。

DESC USER <SNOWFLAKE_LOGIN_NAME>

ログイン名が異なる場合、Snowflakeは、Azure ADで生成されたアクセストークンを検証できません。 その場合、以下のコマンドを使用し、SnowflakeとAzureを一致させます。

ALTER USER <SNOWFLAKE_LOGIN_NAME> SET LOGIN_NAME='<EMAIL_USED_FOR_AZURE_LOGIN>'