对连接进行身份验证¶

通过 Web 浏览器使用单点登录 (SSO)¶

如果您已 将 Snowflake 配置为使用单点登录 (SSO)，则可以将客户端应用程序配置为使用基于浏览器的 SSO 进行身份验证。

在应用程序代码中，执行以下操作：

1. 将 authenticator 选项设置为 EXTERNALBROWSER。

2. 要建立连接，请调用 connectAsync 方法，而不是 connect 方法。

例如：

// Use a browser to authenticate via SSO.
var connection = snowflake.createConnection({
  ...,
  authenticator: "EXTERNALBROWSER"
});
// Establish a connection. Use connectAsync, rather than connect.
connection.connectAsync(
  function (err, conn)
  {
    ... // Handle any errors.
  }
).then(() =>
{
  // Execute SQL statements.
  var statement = connection.execute({...});
});

有关使用基于浏览器的 SSO 进行身份验证的更多信息，请参阅 基于浏览器的 SSO。

通过 Okta 使用原生 SSO¶

如果您已 :doc:` 将 Snowflake 配置为使用单点登录 (SSO) </user-guide/admin-security-fed-auth-overview>` （通过 Okta），则可以将客户端应用程序配置为通过 Okta 使用原生 SSO 身份验证。

在应用程序代码中，执行以下操作：

1. 设置以下选项：

   • 将 authenticator 选项设置为 Okta 账户的 Okta URL 端点（例如 https://<okta_account_name>.okta.com）。

   • 将 username 和 password 选项设置为身份提供程序 (IdP) 的用户名和密码。

2. 要建立连接，请调用 connectAsync 方法，而不是 connect 方法。

例如：

// Use native SSO authentication through Okta.
var connection = snowflake.createConnection({
  ...,
  username: '<user_name_for_okta>',
  password: '<password_for_okta>',
  authenticator: "https://myaccount.okta.com"
});

// Establish a connection.
connection.connectAsync(
  function (err, conn)
  {
    ... // Handle any errors.
  }
);

// Execute SQL statements.
var statement = connection.execute({...});

有关通过 Okta 使用原生 SSO 身份验证的更多信息，请参阅 原生 SSO – 仅限 Okta。

使用密钥对身份验证和密钥对轮换¶

该驱动程序支持密钥对身份验证和密钥轮换。要使用密钥对身份验证和密钥轮换，请按照以下步骤操作：

1. 配置密钥对身份验证，如 密钥对身份验证和密钥对轮换 中所述。

2. 在应用程序代码中，执行以下操作：

   1. 将 authenticator 选项设置为 SNOWFLAKE_JWT。

   2. 使用私钥通过以下方式之一进行身份验证：

      • 将 privateKey 选项设置为私钥。

      • 将 privateKeyPath 选项设置为私钥文件的路径。

        如果文件已加密，还必须将 privateKeyPass 选项设置为密码以解密私钥。

以下示例从文件加载私钥并将 privateKey 选项设置为私钥：

// Read the private key file from the filesystem.
var crypto = require('crypto');
var fs = require('fs');
var privateKeyFile = fs.readFileSync('<path_to_private_key_file>/rsa_key.p8');

// Get the private key from the file as an object.
const privateKeyObject = crypto.createPrivateKey({
  key: privateKeyFile,
  format: 'pem',
  passphrase: 'passphrase'
});

// Extract the private key from the object as a PEM-encoded string.
var privateKey = privateKeyObject.export({
  format: 'pem',
  type: 'pkcs8'
});

// Use the private key for authentication.
var connection = snowflake.createConnection({
  ...
  authenticator: "SNOWFLAKE_JWT",
  privateKey: privateKey
});

// Establish a connection.
connection.connect(
  function (err, conn)
  {
    ... // Handle any errors.
  }
);

// Execute SQL statements.
var statement = connection.execute({...});

Copy

以下示例将 privateKeyPath 选项设置为加密的私钥文件，并将 privateKeyPass 选项设置为用于解密私钥的密码：

// Use an encrypted private key file for authentication.
// Specify the passphrase for decrypting the key.
var connection = snowflake.createConnection({
  ...
  authenticator: "SNOWFLAKE_JWT",
  privateKeyPath: "<path-to-privatekey>/privatekey.p8",
  privateKeyPass: '<passphrase_to_decrypt_the_private_key>'
});

// Establish a connection.
connection.connect(
  function (err, conn)
  {
    ... // Handle any errors.
  }
);

// Execute SQL statements.
var statement = connection.execute({...});

Copy

使用 OAuth¶

要使用 OAuth 进行连接，请将 authenticator 选项设置为 OAUTH，将 token 选项设置为 OAuth 访问令牌。例如：

// Use OAuth for authentication.
var connection = snowflake.createConnection({
  ...
  authenticator: "OAUTH",
  token: "<your_oauth_token>"
});

// Establish a connection.
connection.connect(
  function (err, conn)
  {
    ... // Handle any errors.
  }
);

// Execute SQL statements.
var statement = connection.execute({...});

有关更多信息，请参阅 客户端、驱动程序和连接器。

使用 OAuth 2.0 授权码流程¶

OAuth 2.0 授权码流程是一种安全的方法，客户端应用程序可以使用该流程，在不泄露用户凭据的情况下代表用户从授权服务器获取访问令牌。

要启用 OAuth 2.0 授权码流程，请执行以下操作：

1. 将 authenticator 连接参数设置为 oauth_authorization_code。

2. 设置以下 OAuth 连接参数：

   • oauthClientId：身份提供商为 Snowflake 集成提供的 :codenowrap:client id 的值（Snowflake 安全集成元数据）。

   • oauthClientSecret：身份提供商为 Snowflake 集成提供的 :codenowrap:client secret 的值（Snowflake 安全集成元数据）。

   • oauthAuthorizationUrl：向驱动程序提供授权码的身份提供商端点。当使用 Snowflake 作为身份提供商时，此值源自 :codenowrap:server 或 :codenowrap:account` 参数。

   • oauthTokenRequestUrl：向驱动程序提供访问令牌的身份提供商端点。当使用 Snowflake 作为身份提供商时，此值源自 :codenowrap:server 或 :codenowrap:account` 参数。

   • oauthScope：身份提供商授权请求中请求的范围。默认情况下，它源自角色。当需要多个作用域时，该值应为以空格分隔的多个作用域列表。

   • oauthRedirectUri: URI to use for authorization code redirection (Snowflake security integration metadata). Default: http://127.0.0.1:{randomAvailablePort}.

使用 OAuth 2.0 客户端凭据流程¶

OAuth 2.0 客户端凭据流程为机器对机器 (M2M) 身份验证提供了一种安全的方式，例如连接后端服务的 Snowflake Connector for Python。与 OAuth 2.0 授权码流程不同，此方法不依赖于任何用户特定的数据。

要启用 OAuth 2.0 客户端凭据流程，请执行以下操作：

1. 将 authenticator 连接参数设置为 oauth_client_credentials。

2. 设置以下 OAuth 连接参数：

   • oauthClientId：身份提供商为 Snowflake 集成提供的 :codenowrap:client id 的值（Snowflake 安全集成元数据）。

   • oauthClientSecret：身份提供商为 Snowflake 集成提供的 client secret 的值（Snowflake 安全集成元数据）

   • oauthTokenRequestUrl：向驱动程序提供访问令牌的身份提供商端点。

   • oauthScope：身份提供商授权请求中请求的范围。默认情况下，它源自角色。当需要多个作用域时，该值应为以空格分隔的多个作用域列表。

使用工作负载身份联合 (WIF) 进行身份验证¶

工作负载身份联合 为 Snowflake 提供了一种服务到服务的身份验证方法。通过这种方法，应用程序、服务或容器能够利用其云提供商的原生身份系统（例如 AWS IAM、Microsoft Entra ID 或 Google Cloud 服务账户）向 Snowflake 进行身份验证。与外部 OAuth 等其他方法相比，这种方法无需管理长期凭据，并简化了凭据的获取过程。Snowflake 连接器旨在自动从平台的身份提供商处获取短期凭据。

要启用工作负载身份联合身份验证器，请执行以下操作：

1. Set the authenticator connection parameter to WORKLOAD_IDENTITY.

2. 根据您的平台，将 workloadIdentityProvider 连接参数设置为 AWS、AZURE、GCP 或 OIDC。

3. 对于 OpenID Connect (OIDC)，指定 token 连接参数。

使用 MFA 密码¶

您可以通过多重身份验证 (MFA) 密码连接到 Snowflake，而不必等待外部确认，例如来自 Duo 的推送通知。驱动程序提供以下方法来指定 MFA 密码：

• 将 passcodeInPassword 选项设置为 true，并将代码作为密码字符串的一部分，类似于下面的内容：

  const connection = snowflake.createConnection({
      account: process.env.SNOWFLAKE_TEST_ACCOUNT,
      username: process.env.SNOWFLAKE_TEST_USER,
      ...
      authenticator: 'USERNAME_PASSWORD_MFA',
      password: "abc123987654", // passcode 987654 is part of the password
      passcodeInPassword: true  // because passcodeInPassword is true
  });
  

  Copy

• 将 passcode 选项设置为代码的值，以分别指定密码和代码，类似于下面的内容：

  const connection = snowflake.createConnection({
      account: process.env.SNOWFLAKE_TEST_ACCOUNT,
      username: process.env.SNOWFLAKE_TEST_USER,
      ...
      authenticator: 'USERNAME_PASSWORD_MFA',
      password: "abc123", // password and MFA passcode are input separately
      passcode: "987654"
  });
  

  Copy

  要使用这种方法，请确保 passcodeInPassword 选项为 :codenowrap:`false`（默认值）。

有关这些选项的更多信息，请参阅 passcode。

身份验证令牌缓存¶

Snowflake Node.js 驱动程序提供了缓存 SSO 和 MFA 令牌的功能。

ALTER ACCOUNT SET ALLOW_ID_TOKEN = TRUE;

const connection = snowflake.createConnection({
  account: process.env.SNOWFLAKE_TEST_ACCOUNT,
  username: process.env.SNOWFLAKE_TEST_USER,
  database: process.env.SNOWFLAKE_TEST_DATABASE,
  schema: process.env.SNOWFLAKE_TEST_SCHEMA,
  warehouse: process.env.SNOWFLAKE_TEST_WAREHOUSE,
  authenticator: 'EXTERNALBROWSER',
  clientStoreTemporaryCredential: true,
});

ALTER ACCOUNT SET ALLOW_CLIENT_MFA_CACHING = TRUE;

const connection = snowflake.createConnection({
  account: process.env.SNOWFLAKE_TEST_ACCOUNT,
  username: process.env.SNOWFLAKE_TEST_USER,
  database: process.env.SNOWFLAKE_TEST_DATABASE,
  schema: process.env.SNOWFLAKE_TEST_SCHEMA,
  warehouse: process.env.SNOWFLAKE_TEST_WAREHOUSE,
  authenticator: 'USERNAME_PASSWORD_MFA',
  clientRequestMFAToken: true,
});

const sampleCustomManager = {
  read: function (key) {
  //(do something with the key)
    return token;
  },
  write: function (key, token) {
  //(do something with the key and token)
  },
  remove: function (key) {
    //(do something with the key)
  }
};

const myCredentialManager = require('<your custom credential manager module>')
const snowflake = require('snowflake-sdk');

snowflake.configure({
  customCredentialManager: myCredentialManager
})

const connection = snowflake.createConnection({
  account: process.env.SNOWFLAKE_TEST_ACCOUNT,
  database: process.env.SNOWFLAKE_TEST_DATABASE,
  schema: process.env.SNOWFLAKE_TEST_SCHEMA,
  warehouse: process.env.SNOWFLAKE_TEST_WAREHOUSE,
  authenticator: 'USERNAME_PASSWORD_MFA',
  clientRequestMFAToken: true,
});