Snowflake¶

DataRobot ClassicでSnowflakeデータ接続を作成する場合は、資格情報タイプとしてキーペアを選択します。 続いて、必要なパラメーターを入力します。

ワークベンチでSnowflakeデータ接続を作成する場合は、資格情報タイプとしてキーペアを選択します。 続いて、必要なパラメーターを入力します。

• Snowflakeアカウント
• OktaのSnowflakeで設定済みの外部OAuth。

Microsoft Entra IDはAzure Active Directoryの新しい名前です。

• Snowflakeアカウント
• Microsoft Entra IDのSnowflakeで設定済みの外部OAuth。

Oktaで新しいアプリ統合を作成します。

1. アプリケーション > 各種アプリケーションに移動します。
2. アプリ統合を作成をクリックします。
3. サインイン方法で、OIDC - OpenID Connectを選択します。
4. アプリケーションタイプで、ウェブアプリケーションを選択します。
5. 次へをクリックします。
6. 新しいアプリケーションの名前を入力します。

7. 付与タイプで、以下のオプションが選択されていることを確認します。

   • クライアント資格情報
   • 認証コード
   • リフレッシュトークン

8. ログインで、サインインリダイレクトURIにhttp://<datarobot_app_server>/account/snowflake/snowflake_authz_returnを追加します。

9. 保存をクリックします。これにより、クライアントIDとクライアントシークレットが生成されます。

新しい認証サーバーを作成する

1. セキュリティ > API > 認証サーバーへ移動します。 認証サーバーの追加をクリックします。
2. 名前を入力します。
3. オーディエンスをhttps://<account_identifier>.snowflakecomputing.com/に設定します。
4. 保存をクリックします。

5. スコープ > スコープを追加に移動します。

   • 名前をsession:role:publicに設定します。 publicはPublicというSnowflakeのロールを指します。 これは別のロール名でもかまいませんが、Snowflake内にも存在する必要があります。
   • ユーザーの同意には必須を設定します。
   • このスコープではユーザーの同意が必要とサービスがこのスコープを要求するのをブロックするを追加します。
   • （オプション）同意を必要とするoffline_accessスコープを設定します。

6. アクセスポリシーに移動して、ポリシーの追加をクリックします。

7. 割り当て先で、次のクライアントを選択し、作成したばかりのアプリケーションを選択します。
8. ポリシーを作成をクリックします。
9. ルールを追加をクリックします。

10. 名前を入力し、以下のオプションが選択されていることを確認します。

    • チェックインClient Credentialsを追加します。
    • チェックインAuthorization Codeを追加します。

11. ルールを作成をクリックします。

 curl --location --request GET 'https://<OKTA_ACCOUNT>.okta.com/api/v1/users/me' \
 --header 'Accept: application/json' \
 --header 'Content-Type: application/json' \
 --header 'Authorization: SSWS <TOKEN>' 

 curl --location --request GET 'https://<OKTA_ACCOUNT>.okta.com/api/v1/users/<USER_ID>/clients/<CLIENT_ID>/grants' \
 --header 'Accept: application/json' \
 --header 'Content-Type: application/json' \
 --header 'Authorization: SSWS <TOKEN>' 

 curl --location --request DELETE 'https://<OKTA_ACCOUNT>.okta.com/api/v1/users/<USER_ID>/grants/<GRANT_ID>' \
 --header 'Accept: application/json' \
 --header 'Content-Type: application/json' \
 --header 'Authorization: SSWS <TOKEN>' 

Microsoft Entra IDでSnowflakeリソースのアプリケーションを登録します。

1. MS Azure > Microsoft Entra ID > アプリの登録に移動します。

2. 新規登録をクリックします。

   • 名前の下に、Snowflake OAuthリソースを入力します。
   • サポートされているアカウントの種類で、この組織のディレクトリのみのアカウントを選択します。
   • リダイレクトURIで、ウェブを選択しhttps://<datarobot_app_server>/account/snowflake/snowflake_authz_returnと入力します。
   • 登録をクリックします。

3. APIを公開します。

   • アプリケーションID URIの横にある設定リンクをクリックし、固有IDであることを確認します（これは変更する必要はありません）。 これは、値になります。
   • スコープを追加をクリックして、Snowflakeロールを表すスコープを追加します
   • Snowflakeのロール名を使用して、スコープをsession:scope:<snowflake_role_name>のように入力します。 カスタムロールの場合は、Snowflakeでロール名を設定し、スコープをsession:scope:<custom_role_name>のように入力します。
   • スコープ名を session:role-anyと入力します。
   • 新しく作成されたスコープの値をコピーします。 これは、<OAUTH_SCOPES>の値になります。

Microsoft Entra IDでSnowflakeクライアントアプリのアプリケーションを登録します。

1. MS Azure > Microsoft Entra ID > アプリの登録に移動します。

2. 新規登録をクリックします。

   • 名前の下に、Snowflake OAuthクライアントを入力します。
   • サポートされているアカウントの種類で、この組織のディレクトリのみのアカウントを選択します。
   • リダイレクトURIで、ウェブを選択しhttps://<datarobot_app_server>/account/snowflake/snowflake_authz_returnと入力します。
   • 登録をクリックします。

3. 概要セクションで、アプリケーション（クライアント）IDフィールドからクライアントIDをコピーします。 これは<OAUTH_CLIENT_ID>と呼ばれます。

4. 証明書とシークレットをクリックし、新規クライアントシークレットをクリックします。
5. 追加をクリックします。 シークレットをコピーします。 これは<OAUTH_CLIENT_SECRET>と呼ばれます。

6. オプション ユーザーに代わってアクセストークンをリクエストする必要があるプログラムクライアントの場合は、アプリケーションの委任権限を以下のように設定します。

   • APIのアクセス許可をクリックします。
   • アクセス許可の追加をクリックします。
   • [自分のAPI]をクリックします。
   • ステップ1で作成したSnowflake OAuth Resourceをクリックします。Entra IDで、OAuth Resourceを設定します。
   • [委任されたアクセス許可]ボックスをクリックします。
   • ステップ3で作成されたスコープに関連する権限を確認しますsession:scope:role-any
   • [アクセス許可の追加]をクリックします。

Snowflakeとの連携のために以下の情報を収集します。

• アプリの登録をクリックします。
• Snowflake OAuthリソースをクリックします。
• 概要ページで、エンドポイントをクリックします。
• OAuth 2.0トークンエンドポイント（v2） のURLの最初の部分（例：https://login.microsoftonline.com/6064c47c-80e4-4a555b-82ee-1fc5643b37a2）をコピーします。 これは、<ISSUER_URL>の値になります
• OpenID Connectメタデータドキュメントの値をコピーし、新しいウィンドウに貼り付けます。 「jwks_uri」 パラメーターを見つけ、<JWS_KEY_ENDPOINT>値となるその値をコピーします（例：https://login.microsoftonline.com/6064c47c-80e4555b-82ee-1fc5643b37a2/discovery/v2.0/keys）
• フェデレーションメタデータドキュメントをコピーし、URLを新規ウィンドウで開きます。 <ENTITY_ID>値となる"entityID"パラメーターを見つけます。これは<AZURE_AD_ISSUER>とも呼ばれます（例：https://sts.windows.net/6064c47c-80e4-555582ee-1fc5643b37a2/）。

以下の値をコピーしたことを確認します。

• <OAUTH_SCOPES>は、Snowflake OAuth Resourceからコピーしました

• Snowflake OAuthリソースの概要およびエンドポイントビューにある<APP_ID_URI>、<ISSUER_URL>、<JWS_KEY_ENDPOINT>、<ENTITY_ID>の各値。

• <OAUTH_CLIENT_ID>と<OAUTH_CLIENT_SECRET>は、Snowflake OAuthクライアントからコピーしました

create security integration external_oauth_okta_2
    type = external_oauth
    enabled = true
    external_oauth_type = okta
    external_oauth_issuer = '<OKTA_ISSUER>'
    external_oauth_jws_keys_url = '<JWKS_URI>'
    external_oauth_audience_list = ('<AUDIENCE>')
    external_oauth_token_user_mapping_claim = 'sub'
    external_oauth_snowflake_user_mapping_attribute = 'login_name';

CREATE OR REPLACE USER <user_name>
  LOGIN_NAME = '<okta_user_name>';

alter user <user_name> set DEFAULT_ROLE = 'PUBLIC'; 

参考値：

• OKTA_ISSUER: https://dev-11863425.okta.com/oauth2/aus15ca55wxplJ5d7

• AUDIENCE: https://hl91180.us-east-2.aws.snowflakecomputing.com/

• JWKS_URI：https://dev-11863425.okta.com/oauth2/aus15ca55wxplJ5d7/v1/keys（Okta認証サーバーのメタデータJSONから取得）

• okta_user_name（Okta > ディレクトリ > ユーザーから取得し、ユーザーを選択してから、プロフィール > ユーザー名/ログインに移動します）

create security integration external_oauth_azure_1
   type = external_oauth
   enabled = true
   external_oauth_type = azure
   external_oauth_issuer = '<ENTITY_ID>'
   external_oauth_jws_keys_url = '<JWS_KEY_ENDPOINT>'
   external_oauth_audience_list = ('<APP_ID_URI>')
   external_oauth_token_user_mapping_claim = 'upn'
   external_oauth_any_role_mode = 'ENABLE'
   external_oauth_snowflake_user_mapping_attribute = 'login_name'; 

参考値：

• <ENTITY_ID>: https://sts.windows.net/6064c47c-80e4-4a2b-4444-1fc5643b37a2/

• <JWS_KEY_ENDPOINT>: https://login.microsoftonline.com/6064c47c-80e4-4a2b-4444-1fc5643b37a2/discovery/v2.0/keys

• <APP_ID_URI>: api://8aa2572f-c9e6-4e91-4444-dcd84c856dd2

連携のアクセス権をpublicロールに付与します。

grant USE_ANY_ROLE on integration external_oauth_azure_1 to PUBLIC;

grant USE_ANY_ROLE on integration external_oauth_azure_1 to <custom_role>;

LOGIN_NAMEのユーザーが、Azureログインと同じであることを確認します。 Snowflakeで、次のクエリーを使用して検証します。

DESC USER <SNOWFLAKE_LOGIN_NAME>

ログイン名が異なる場合、Snowflakeは、Entra IDで生成されたアクセストークンを検証できません。 その場合、以下のコマンドを使用し、SnowflakeとAzureを一致させます。

ALTER USER <SNOWFLAKE_LOGIN_NAME> SET LOGIN_NAME='<EMAIL_USED_FOR_AZURE_LOGIN>'

カスタムロールを使用していてデフォルトでない場合は、以下のコマンドでデフォルトとして設定し、接続をテストします。

ALTER USER <USERNAME> SET DEFAULT ROLE='<custom_role>';