AWS PrivateLink 和 Snowflake¶

AWS PrivateLink：概述¶

AWS PrivateLink (https://docs.aws.amazon.com/aws-technical-content/latest/aws-vpc-connectivity-options/aws-privatelink.html) 是一项用于创建专用 VPC 端点的 AWS 服务，允许 AWS VPCs 和 Snowflake VPC 之间进行直接、安全的连接，而无需穿过公共互联网。AWS PrivateLink 连接支持位于相同或不同 AWS 区域的 VPC 端点服务和 AWS VPCs。通过 AWS PrivateLink 的跨区域连接，您可以使用自定义端点服务连接与您的 AWS VPC 区域不同的区域中的 Snowflake 账户。目前，任何平台即服务 (PaaS) 服务均不支持跨区域连接，例如 Amazon Simple Storage Service (Amazon S3) 或 Key Management Service (KMS)。

For more information, see the AWS blog page, Introducing Cross-Region Connectivity for AWS PrivateLink (https://aws.amazon.com/blogs/networking-and-content-delivery/introducing-cross-region-connectivity-for-aws-privatelink). For information about finding the region names for your account, see Find the cloud-provider's name of the region for your account.

编写外部函数 时，您也可以将 AWS PrivateLink 与 专用端点 结合使用。

如果您拥有本地环境（例如，非托管数据中心），则可以将 AWS Direct Connect (https://aws.amazon.com/directconnect/) 与 AWS PrivateLink 结合使用，以在单个专用网络中连接所有虚拟和物理环境。

启用 AWS PrivateLink。¶

要为您的 Snowflake 账户启用 AWS PrivateLink，请完成以下步骤：

1. 生成联合令牌，然后保存输出。

   1. 要生成令牌，请在命令行上运行 AWS CLI STS (https://docs.aws.amazon.com/cli/latest/reference/sts/get-federation-token.html) 命令。get-federation-token 需要 AWS 中的 Identity and Access Management 用户或 AWS 账户根用户。有关详细信息，请参阅 AWS 文档 (https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp_request.html#stsapi_comparison)。

      重要

      联合令牌在 12 小时后过期。如果您调用任何系统函数来授权、验证或禁用 Snowflake 账户才能使用 AWS PrivateLink，并且令牌已过期，请再次运行 AWS CLI STS 命令来重新生成令牌。

      aws sts get-federation-token --name sam
      

      Copy

      在后续步骤中，提供此命令的输出作为 SYSTEM$AUTHORIZE_PRIVATELINK 函数的 federated_token 实参。

   2. 从您生成的令牌中提取 "FederatedUserId" 字段的值。例如，如果您的令牌包含以下值：

      {
       ...
         "FederatedUser": {
           "FederatedUserId": "185...:sam",
           "Arn": "arn:aws:sts::185...:federated-user/sam"
         },
       "PackedPolicySize": 0
      }
      

      Copy

      提取 185...。在下一步中，提供这个 12 位数字作为 SYSTEM$AUTHORIZE_PRIVATELINK 函数的 aws_id 实参。

2. 使用 ACCOUNTADMIN Snowflake 系统角色，调用 SYSTEM$AUTHORIZE_PRIVATELINK 函数为您的 Snowflake 账户 *授权*（启用）AWS PrivateLink：

   SELECT SYSTEM$AUTHORIZE_PRIVATELINK ( '<aws_id>' , '<federated_token>' );
   

   Copy

   其中：

   • 'aws_id'

     用于唯一标识您的 Amazon Web Services (AWS) 账户的 12 位标识符（字符串）。

   • 'federated_token'

     以字符串形式包含联合用户的访问凭据的联合令牌值。

   例如：

   USE ROLE ACCOUNTADMIN;
   
   SELECT SYSTEM$AUTHORIZE_PRIVATELINK (
     '185...',
       '{
         "Credentials": {
           "AccessKeyId": "ASI...",
           "SecretAccessKey": "enw...",
           "SessionToken": "Fwo...",
           "Expiration": "2021-01-07T19:06:23+00:00"
         },
         "FederatedUser": {
           "FederatedUserId": "185...:sam",
           "Arn": "arn:aws:sts::185...:federated-user/sam"
         },
         "PackedPolicySize": 0
        }'
     );
   

   Copy

   要验证您的配置，请您在 AWS 上的 Snowflake 账户中调用 SYSTEM$GET_PRIVATELINK 函数。此函数使用的 'aws_id' 和 'federated_token' 实参值与用于为 Snowflake 账户授权的实参值相同。

   授权成功后，SYSTEM$GET_PRIVATELINK 会返回 Account is authorized for PrivateLink.。

3. 可选：如果您需要在 Snowflake 账户中 禁用 AWS PrivateLink，请使用 'aws_id' 和 'federated_token' 的相同实参值调用 SYSTEM$REVOKE_PRIVATELINK 函数。

为了进一步加强安全态势，Snowflake 建议为您的 Snowflake 账户固定专用端点。有关更多信息，请参阅 为入站流量固定专用连接端点。

配置您的 AWS VPC 环境¶

SELECT CURRENT_REGION();

+------------------+
| CURRENT_REGION() |
|------------------|
| AWS_US_WEST_2    |
+------------------+

SHOW REGIONS;

+------------------+-------+-----------|-----------------+
| snowflake_region | cloud | region    | display_name    |
|------------------|-------|-----------|-----------------|
| AWS_US_WEST_2    | aws   | us-west-2 | US West (Oregon)|
+------------------+-------+-----------+-----------------+

连接到 Snowflake¶

在连接到 Snowflake 之前，您可以 选择 使用 Snowflake Connectivity Diagnostic Tool (SnowCD) 来评估与 Snowflake 和 AWS PrivateLink 的网络连接情况。

有关更多信息，请参阅 SnowCD 和 SYSTEM$ALLOWLIST_PRIVATELINK。

否则，请使用您的专用连接账户 URL 连接到 Snowflake。

如果您要通过 AWS PrivateLink 连接到 Snowsight，请按照 Snowsight 文档 中的说明进行操作。

阻止公共访问 – 建议¶

使用 AWS PrivateLink 测试与 Snowflake 的专用连接后，您可以选择阻止对 Snowflake 的公共访问。这意味着，只有当用户的连接请求来自 Snowflake 网络策略中指定的特定 IP 阻止范围内的 CIDR 地址时，用户才能访问 Snowflake。

要使用网络策略阻止公共访问，请执行以下操作：

1. 创建新的网络策略或编辑现有的网络策略。

2. 为您的组织添加 CIDR 阻止范围。

3. 激活账户的网络策略。

有关更多信息，请参阅 使用网络策略控制网络流量。

配置 Snowflake 客户端¶

以下部分介绍如何为特定用例配置 Snowflake 客户端。

将 SSO 与 AWS PrivateLink 配合使用¶

Snowflake 支持将 SSO 与 AWS PrivateLink 配合使用。有关更多信息，请参阅：

• SSO 与专用连接结合使用

• 合作伙伴应用程序

将 Client Redirect 与 AWS PrivateLink 配合使用¶

Snowflake 支持将 Client Redirect 与 AWS PrivateLink 配合使用。

有关更多信息，请参阅 重定向客户端连接。

将复制和 Tri-Secret Secure 与专用连接配合使用¶

无论您是否在目标账户中启用 Tri-Secret Secure 或此功能，Snowflake 都支持将您的数据从源账户复制到目标账户。

故障排除¶

要解决使用 PrivateLink 时可能出现的问题，请参阅以下 Snowflake 社区文章：

• 如何从 AWS 中为 PrivateLink 自助服务检索联合令牌 (https://community.snowflake.com/s/article/How-to-retrieve-a-Federation-Token-from-AWS-for-PrivateLink-Self-Service)

• FAQ：AWS PrivateLink 自助服务 (https://community.snowflake.com/s/article/PrivateLink-Self-Service-with-AWS)

• 故障排除：适用于 AWS PrivateLink 的 Snowflake 自助函数 (https://community.snowflake.com/s/article/Troubleshooting-Snowflake-self-service-functions-for-AWS-PrivateLink)