管理/使用联合身份验证¶

基于浏览器的 SSO 的工作原理¶

如果客户端应用程序配置为使用基于浏览器的 SSO，应用程序将使用以下工作流程进行用户身份验证：

1. 应用程序会启动用户操作系统中的默认 Web 浏览器，或打开一个新的浏览器选项卡/窗口，显示 IdP 的身份验证页面。

2. 用户输入其 IdP 凭据（用户名和密码）。

3. 如果用户已在 Snowflake 中注册 MFA（多因素身份验证），系统会提示其键入 MFA 密码（从另一台设备发送）或确认身份验证（在另一台设备上）。

4. IdP 对用户凭据进行身份验证后，浏览器将显示一条成功消息。然后，用户可以关闭浏览器选项卡/窗口（在完成身份验证后无需保持打开状态），返回到应用程序，并使用已启动的 Snowflake 会话。

使用基于浏览器的 SSO 的要求¶

对于基于浏览器的 SSO，Snowflake 提供的客户端（例如 Snowflake JDBC 驱动程序）需要能打开用户的 Web 浏览器。因此，用户的机器上需要安装 Snowflake 提供的客户端，以及使用它的客户端应用程序。如果 Snowflake 提供的客户端由在服务器上运行的代码使用，则基于浏览器的 SSO 不起作用。

设置基于浏览器的 SSO¶

要为身份验证设置基于浏览器的 SSO，请将客户端的 authenticator 登录参数/选项设置为 externalbrowser。

使用连接缓存，尽可能减少身份验证提示的数量 – 可选¶

每当客户端应用程序建立到 Snowflake 的新连接时，都会提示用户进行身份验证。如果客户端应用程序多次建立一个连接，可能会导致多次发出身份验证提示。

为了尽可能减少提示用户进行身份验证的次数，账户管理员可以启用连接缓存。

连接缓存处于启用状态时，客户端应用程序会存储一个连接令牌，供后续连接使用。为保证安全性，连接令牌存储在操作系统的密钥库中。在启用连接缓存之前，请咨询安全团队，以确定这是否符合您的安全策略。

在 macOS 和 Windows 上，Snowflake 支持使用以下驱动程序和连接器进行连接缓存（目前此功能还不支持 Linux）：

• Go 驱动程序 1.6.15 版本（或更高版本）

• JDBC 驱动程序 3.12.8 版本（或更高版本）

• ODBC 驱动程序 2.21.2 版本（或更高版本）

• Snowflake Connector for Python 2.2.8（或更高版本）

要启用连接缓存，请执行以下操作：

1. 将账户级参数 ALLOW_ID_TOKEN 设置为 true：

   alter account set allow_id_token = true;
   

   Copy

   备注

   您必须是账户管理员（即具有 ACCOUNTADMIN 角色的用户）才能启用连接缓存。

2. 添加驱动程序或连接器所需的包或库：

   • 如果您使用的是 Snowflake Connector for Python，请运行以下命令来安装可选的 keyring 包：

     pip install "snowflake-connector-python[secure-local-storage]"
     

     Copy

     必须输入方括号（[ 和 ]），如命令中所示。方括号指定应该安装的 包的额外部分 (https://www.python.org/dev/peps/pep-0508/#extras)。

     如图所示，使用引号将包名称括起来，以防止系统将方括号解释为通配符。

     如果您需要安装其他附加内容（例如，安装 pandas，以 使用 Python Connector APIs for Pandas，请使用逗号分隔多个附加内容。

     pip install "snowflake-connector-python[secure-local-storage,pandas]"
     

     Copy

   • 对于 Snowflake JDBC 驱动程序，请参阅 将 JNA 类添加到类路径。

升级到 Okta Identity Engine¶

如需从 Okta Classic 升级到 Okta Identity Engine，以使用原生 SSO，则需要在升级之前更新 Snowflake 客户端驱动程序。

如果您在升级后遇到 HTTP 429 错误，原因很可能是已经达到最新客户端驱动程序使用的身份验证端点强制执行的速率限制。有关详细信息，请参阅 HTTP 429 错误 （位于本主题中）。

HTTP 429 错误¶

Okta Identity Engine 需要通过其身份验证端点 (/api/v1/authn) 进行通信，该端点的当前速率限制为每用户每 5 秒 20 个请求。为了支持 Okta Identity Engine，最新 Snowflake 客户端驱动程序使用此身份验证端点，因此受此速率限制影响。如果此限制过于严格，请联系 Okta 支持团队，以提高身份验证端点的速率限制。

Snowflake 客户端驱动程序在以下版本中切换为身份验证端点：

• Go：1.6.20

• JDBC：3.13.22

• .NET：2.0.20

• Node.js：1.6.21

• ODBC：2.25.5

• Python：2.7.12

• SnowSQL：1.2.24

• SQLAlchemy：1.4.6