联合身份验证和 SSO 概述¶

登录工作流程¶

当用户登录时，系统的行为由登录是通过 Snowflake 还是 IdP 发起来确定：

• Snowflake 发起的登录：

  通过 Snowflake 登录：

  1. 用户转到 Snowflake Web 界面。

  2. 用户选择使用为账户配置的 IdP（Okta、AD FS 或自定义 IdP）登录。

  3. 用户使用其 IdP 凭据（例如电子邮件地址和密码）向 IdP 进行身份验证。

  4. 如果身份验证成功， IdP 将向 Snowflake 发送 SAML 响应以发起会话并显示 Snowflake Web 界面。

  备注

  对于 Snowflake 发起的登录，Snowflake 登录页面提供两种身份验证选项（IdP 或 Snowflake）。要使用联合身份验证，用户必须选择 IdP 选项，然后在出现提示时输入其凭据。选择 Snowflake 选项会绕过联合身份验证并使用 Snowflake 的本机身份验证使用户登录。

• IdP 发起的登录：

  要通过账户的 IdP 登录：

  1. 用户转到 IdP 站点/应用程序，并使用其 IdP 凭据（例如电子邮件地址和密码）进行身份验证。

  2. 在 IdP 中，用户点击 Snowflake 应用程序（如果使用 Okta 或 AD FS）或已在 IdP 中定义的自定义应用程序（如果使用另一个 IdP）。

  3. IdP 向 Snowflake 发送 SAML 响应以发起会话，然后显示 Snowflake Web 界面。

注销工作流程¶

当用户注销时，可用选项取决于 IdP 是支持 全局 注销还是仅支持 标准 注销：

标准型:

需要用户明确注销 IdP 和 Snowflake 才能完全断开连接。所有 IdPs 均支持标准注销。

全局:

使用户能够注销 IdP 以及随后所有的 Snowflake 会话。对全局注销的支持依赖于 IdP。

此外，系统的行为取决于注销是通过 Snowflake 还是 IdP 发起的：

• Snowflake 发起的注销：

  Snowflake 内部不支持全局注销，无论 IdP 是否支持。当用户注销 Snowflake 会话时，他们只会注销该会话。他们当前的所有其他 Snowflake 会话保持打开，他们的 IdP 会话也是如此。因此，他们可以继续在其他会话中工作，也可以发起其他会话，而无需通过 IdP 重新进行身份验证。

  要完全断开连接，用户必须明确注销 Snowflake 和 IdP。

• IdP 发起的注销：

  当用户通过 IdP 注销时，其行为取决于 IdP 是仅支持标准注销还是也支持全局注销：

  • AD FS 支持标准注销和全局注销。如果启用全局注销， AD FS IdP 登录页面提供从用户访问过的所有站点注销的选项。选择此选项并点击 Sign Out 将用户从 AD FS 及其所有 Snowflake 会话中注销。要再次访问 Snowflake，他们必须使用 AD FS 重新进行身份验证。

  • Okta 仅支持标准注销。当用户注销 Okta 时，他们不会自动注销任何活动的 Snowflake 会话，并且可以继续工作。但是，要发起任何新的 Snowflake 会话，他们必须通过 Okta 再次进行身份验证。

  • 所有自定义提供商都支持标准注销；对全局注销的支持因提供商而异。

  备注

  对于基于网络的 IdP（例如 Okta），关闭浏览器选项卡/窗口不一定会结束 IdP 会话。如果用户的 IdP 会话仍处于活动状态，他们仍然可以访问 Snowflake，直到 IdP 会话超时。

超时工作流程¶

当用户的会话超时时，行为取决于超时的是 Snowflake 会话还是 IdP 会话：

• Snowflake 超时：

  如果用户使用 SSO 登录 Snowflake，并且他们的 Snowflake 会话由于不活动而过期，则 Snowflake Web 界面将被禁用，并显示 IdP 身份验证提示：

  • 要继续使用过期的 Snowflake 会话，用户必须通过 IdP 再次进行身份验证。

  • 用户可以通过点击 Cancel 按钮退出会话。

  • 用户也可以直接转到 IdP 站点/应用程序并重新启动 Snowflake，但这将发起新的 Snowflake 会话。

• IdP 超时：

  在指定的时间段（由 IdP 定义）后，用户在 IdP 中的会话会自动超时，但这不会影响他们的 Snowflake 会话。当时处于活动状态的任何 Snowflake 会话都保持打开状态，不需要重新进行身份验证。但是，要发起任何新的 Snowflake 会话，用户必须再次登录 IdP。