为 Snowflake 配置身份提供商 (IdP)¶

先决条件¶

• 验证 AD FS 3.0 是否已安装并在 Windows Server 2012 R2 上运行。

• 确保需要访问 Snowflake 的每个人在 AD FS 中都有一个用户。创建用户时，请确保包含每个用户的电子邮件地址。需要电子邮件地址将 AD FS 中的用户与其在 Snowflake 中的对应用户联系起来。

为 Snowflake 添加依赖方信任¶

在 AD FS 管理控制台中，使用 Add Relying Party Trust Wizard 向 AD FS 配置数据库添加新的依赖方信任：

1. 出现提示时，选择 Enter data about the relying party manually 单选按钮。

2. 在下一个屏幕中，输入依赖方的显示名（例如“Snowflake”）。

3. 在下一个屏幕中，选择 AD FS profile 单选按钮。

4. 跳过下一个屏幕（用于指定可选的令牌加密证书）。

5. 在下一个屏幕中：

   • 选中 Enable support for the SAML 2.0 WebSSO protocol 复选框。

   • 在 Relying party SAML 2.0 SSO service URL 字段中，输入附加了 /fed/login 的 Snowflake 账户的 SSO URL。例如，要使用具有专用连接的账户名 URL，请输入：https://<orgname>-<account_name>.privatelink.snowflakecomputing.cn/fed/login。有关可能的 URL 格式的列表，请参阅 与 URL 连接。当为联合身份验证 创建安全集成 时，请确保其 URL 参数与该字段中使用的格式匹配。

6. 在下一个屏幕的 Relying party trust identifier 字段中，输入上一步中指定的 Snowflake 账户的 URL。

7. 在下一个屏幕中，选择 I do not want to configure multi-factor authentication settings for this relying party trust at this time 单选按钮。

8. 在下一个屏幕中，选择 Permit all users to access this relying party 单选按钮。

9. 在下一个屏幕中，检查依赖方信任的配置。 还要确保在 Advanced 选项卡中，选择 SHA-256 作为安全哈希算法。

10. 在下一个屏幕中，选择 Open the Edit Claim Rules dialog for this relying party trust when the wizard closes，然后点击 Close 以完成向导配置。

定义 Snowflake 依赖方信任的声明规则¶

关闭向导后，Edit Claim Rules for snowflake_trust_name 窗口会自动打开。也可以从 AD FS 管理控制台打开此窗口，方法是点击：

AD FS » Trust Relationships » Relying Party Trusts » snowflake_trust_name » Edit Claim Rules...

在窗口中：

1. 创建将 LDAP 属性作为声明发送的规则：

   1. 点击 Add Rules 并选择 Send LDAP Attributes as Claim。

   2. 在 Edit Rule 对话框中：

      • 输入规则的名称（例如“获取属性”）。

        • 将 Attribute store 设置为：Active Directory。

        • 为规则添加两个 LDAP 属性：

          • E-Mail-Addresses 以 E-Mail Address 作为传出声明类型。

          • Display-Name 以 Name 作为传出声明类型。

   3. 点击 OK 按钮来创建规则。

2. 创建用于转换传入声明的规则：

   1. 点击 Add Rules 并选择 Transform an Incoming Claim。

   2. 在 Add Transform Claim Rule Wizard 对话框中：

      • 输入声明规则的名称（例如“名称 ID 转换”）。

      • 将 Incoming claim type 设置为：E-Mail Address。

      • 将 Outgoing claim type 设置为：Name ID。

      • 将 Outgoing name ID format 设置为：Email。

      • 选择 Pass through all claim values 单选按钮。

   3. 点击 Finish 按钮来创建规则。

3. 点击 OK 按钮完成为 Snowflake 依赖方信任添加声明规则。

启用全局注销 – 可选¶

要在 AD FS 中为 Snowflake 启用全局注销，请在 AD FS 管理控制台中点击：

AD FS » Trust Relationships » Relying Party Trusts » <snowflake_trust_name> » Properties

在 Properties 对话框中：

1. 转到 Endpoints 选项卡，然后点击 Add SAML... 按钮。

2. 在 Edit Endpoint 对话框中：

   • 将 Endpoint type 设置为：SAML Logout。

   • 将 Binding 设置为：POST 或 REDIRECT。

   • 将 Trusted URL 设置为第 1 步中指定的值。

   • 将 Response URL 留空。

   • 点击 OK 按钮保存您的更改。

获取 SSO URL 和证书¶

若要完成 AD FS 设置，请从 AD FS 获取 SSO URL 和证书。您将在下一步中使用这两个值：迁移到 SAML2 安全集成。

• SSO URL

  Snowflake 将向其发送 SAML 请求的 AD FS URL 端点。这通常是 AD FS 的登录 URL，通常是 AD FS 服务器的 IP 地址或完全限定的域名（即 FQDN），并在末尾附加 /adfs/ls。

• 证书

  用于验证 AD FS 和 Snowflake 之间的通信。您可以从 AD FS 管理控制台下载证书：

  1. 在控制台中，点击：

     AD FS » Service » Certificates

  2. 在 Certificates 页面中，右键点击 Token-signing 条目，然后点击 View Certificate...。

  3. 在 Certificate 对话框中，选择 Details 选项卡。

  4. 点击 Copy to File... 打开证书导出向导。

  5. 对于导出文件格式，选择 Base-64 encoded X.509 (.CER) 然后点击 Next。

  6. 将文件保存到本地环境中的目录中。

  7. 打开文件并复制证书，该证书由位于以下行之间的一行组成：

     -----BEGIN CERTIFICATE-----
     <certificate>
     -----END CERTIFICATE-----
     

     Copy