AWS PrivateLink 和 Snowflake¶

AWS PrivateLink 是什么？¶

AWS PrivateLink (https://docs.aws.amazon.com/aws-technical-content/latest/aws-vpc-connectivity-options/aws-privatelink.html) 是一项用于创建专用 VPC 端点的 AWS 服务，允许在您的 Snowflake VPC 和 AWS VPCs 之间建立直接、安全的连接，而无需穿过公共互联网。该连接适用于同一 AWS 区域的 AWS VPCs。

对于 编写外部函数，您也可以将 AWS PrivateLink 用于 专用端点。

此外，如果您拥有本地环境（例如，非托管数据中心），则可以选择将 AWS Direct Connect (https://aws.amazon.com/directconnect/) 与 AWS PrivateLink 结合使用，以在单个专用网络中连接所有虚拟和物理环境。

启用 AWS PrivateLink¶

要为您的 Snowflake 账户启用 AWS PrivateLink，请完成以下步骤：

1. 在命令行环境中，运行以下 AWS CLI STS (https://docs.aws.amazon.com/cli/latest/reference/sts/get-federation-token.html) 命令并保存输出。输出将在下一步中用作实参 federated_token 的值。

   aws sts get-federation-token --name sam
   

   Copy

   请注意， get-federation-token 需要 AWS 中的 Identity and Access Management 用户或 AWS 账户根用户。有关详细信息，请参阅 AWS 文档 (https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp_request.html#stsapi_comparison)。

   提取 "FederatedUserId" 值中的 12 位数字（截断）。例如，如果您的令牌包含以下内容：

   {
      ...
      "FederatedUser": {
          "FederatedUserId": "185...:sam",
          "Arn": "arn:aws:sts::185...:federated-user/sam"
      },
      "PackedPolicySize": 0
    }
   

   Copy

   提取 185...。此 12 位数字将在下一步成为 aws_id 的值。

2. 作为 Snowflake 账户管理员（即具有 ACCOUNTADMIN 系统角色的用户），调用函数 SYSTEM$AUTHORIZE_PRIVATELINK 以为您的 Snowflake 账户授权（即启用） AWS PrivateLink：

   select SYSTEM$AUTHORIZE_PRIVATELINK ( '<aws_id>' , '<federated_token>' );
   

   Copy

   其中：

   • 'aws_id'

     用于唯一标识您的 Amazon Web Services (AWS) 账户的 12 位标识符（字符串）。

   • 'federated_token'

     以字符串形式包含联合用户的访问凭据的联合令牌值。

   例如：

   use role accountadmin;
   
   select SYSTEM$AUTHORIZE_PRIVATELINK (
       '185...',
       '{
          "Credentials": {
              "AccessKeyId": "ASI...",
              "SecretAccessKey": "enw...",
              "SessionToken": "Fwo...",
              "Expiration": "2021-01-07T19:06:23+00:00"
          },
          "FederatedUser": {
              "FederatedUserId": "185...:sam",
              "Arn": "arn:aws:sts::185...:federated-user/sam"
          },
          "PackedPolicySize": 0
       }'
     );
   

   Copy

要验证您的授权配置，请您在 AWS 上的 Snowflake 账户中调用 SYSTEM$GET_PRIVATELINK 函数。此函数使用的 'aws_id' 和 'federated_token' 实参值与用于为 Snowflake 账户授权的实参值相同。

授权成功后，Snowflake 会返回 Account is authorized for PrivateLink.。

如果有必要在 Snowflake 账户中 禁用 AWS PrivateLink，请使用 'aws-id' 和 'federated_token' 的相同实参值调用 SYSTEM$REVOKE_PRIVATELINK 函数。

配置 AWS VPC 环境¶

连接到 Snowflake¶

在连接到 Snowflake 之前，您 可以选择 使用 SnowCD (Snowflake Connectivity Diagnostic Tool) 来评估与 Snowflake 和 AWS PrivateLink 的网络连接情况。

有关更多信息，请参阅 SnowCD 和 SYSTEM$ALLOWLIST_PRIVATELINK。

否则，请使用您的专用连接账户 URL 连接到 Snowflake。

请注意，如果您要通过 AWS PrivateLink 连接到 Snowsight，请按照 Snowsight 文档 中的说明进行操作。

阻止公共访问 – 可选¶

使用 AWS PrivateLink 测试与 Snowflake 的专用连接情况之后，您可以 选择 阻止对 Snowflake 的公共访问。这意味着，只有当用户的连接请求来自 Snowflake 网络策略中指定的特定 CIDR 阻止范围内的 IP 地址时，用户才能访问 Snowflake。

要使用网络策略阻止公共访问，请执行以下操作：

1. 创建新的网络策略或编辑现有的网络策略。为您的组织添加 CIDR 阻止范围。

2. 激活账户的网络策略。

有关详细信息，请参阅 使用网络策略控制网络流量。

配置 Snowflake 客户端¶

将 SSO 与 AWS PrivateLink 配合使用¶

Snowflake 支持将 SSO 与 AWS PrivateLink 配合使用。有关更多信息，请参阅：

• SSO 与专用连接结合使用

• 合作伙伴应用程序

将 Client Redirect 与 AWS PrivateLink 配合使用¶

Snowflake 支持将 Client Redirect 与 AWS PrivateLink 配合使用。

有关更多信息，请参阅 重定向客户端连接。

将复制和 Tri-Secret Secure 与专用连接配合使用¶

无论您是否在目标账户中启用 Tri-Secret Secure 或此功能，Snowflake 都支持将您的数据从源账户复制到目标账户。

故障排除¶

请注意以下 Snowflake 社区文章：

• 如何从 AWS 中为 PrivateLink 自助服务检索联合令牌 (https://community.snowflake.com/s/article/How-to-retrieve-a-Federation-Token-from-AWS-for-PrivateLink-Self-Service)

• FAQ：AWS PrivateLink 自助服务 (https://community.snowflake.com/s/article/PrivateLink-Self-Service-with-AWS)

• 故障排除：适用于 AWS PrivateLink 的 Snowflake 自助函数 (https://community.snowflake.com/s/article/Troubleshooting-Snowflake-self-service-functions-for-AWS-PrivateLink)