选项 1：配置 Snowflake 存储集成以访问 Amazon S3¶

第 1 步：配置 S3 桶的访问权限¶

第 2 步：在 AWS 中创建 IAM 角色¶

要在 AWS 管理控制台中为 Snowflake 配置访问权限，请执行以下操作：

1. 在 Identity and Access Management (IAM) 控制面板的左侧导航窗格中，选择 Roles。

2. 选择 Create role。

3. 选择 AWS account 作为信任实体类型。

4. 在 Account ID 字段中，暂时输入自己的 AWS 账户 ID。在稍后的步骤中，您将修改信任关系并授予对 Snowflake 的访问权限。

5. 选择 Require external ID 选项。外部 ID 用于向第三方（如 Snowflake）授予对 AWS 资源（例如 S3 桶）的访问权限。

   输入占位符 ID，例如 0000。在后续步骤中，您将修改 IAM 角色的信任关系并指定外部 ID 用于存储集成。

6. 选择 Next。

7. 选择您在 第 1 步：配置 S3 桶访问权限 （本主题内容）中创建的策略。

8. 选择 Next。

   

9. 输入角色的名称和描述，然后选择 Create role。

   您现在已经为一个桶创建了 IAM 策略，创建了一个 IAM 角色，并将策略附加到了该角色。

10. 在角色摘要页面上，找到 Role ARN 值并将其记录下来。在下一步中，您将创建引用此角色的 Snowflake 集成。

第 3 步：在 Snowflake 中创建云存储集成¶

使用 CREATE STORAGE INTEGRATION 命令创建存储集成。存储集成是一个 Snowflake 对象，用于存储生成的身份和 S3 云存储访问管理 (IAM) 用户，以及一组可选的允许或阻止的存储位置（如桶）。组织中的云提供商管理员会将存储位置的权限授予生成的用户。此选项可让用户在创建暂存区或加载数据时无需提供凭据。

单个存储集成可以支持多个外部（如 S3）暂存区。暂存区定义中的 URL 必须与为 STORAGE_ALLOWED_LOCATIONS 参数指定的 S3 桶（和可选路径）一致。

CREATE STORAGE INTEGRATION <integration_name>
  TYPE = EXTERNAL_STAGE
  STORAGE_PROVIDER = 'S3'
  ENABLED = TRUE
  STORAGE_AWS_ROLE_ARN = '<iam_role>'
  STORAGE_ALLOWED_LOCATIONS = ('s3://<bucket>/<path>/', 's3://<bucket>/<path>/')
  [ STORAGE_BLOCKED_LOCATIONS = ('s3://<bucket>/<path>/', 's3://<bucket>/<path>/') ]

其中：

• integration_name 是新集成的名称。

• iam_role 是您在 第 2 步：在 AWS 中创建 IAM 角色 （本主题内容）中创建的角色的 Amazon 资源名称 (ARN)。

• bucket 是存储数据文件的 S3 桶的名称（例如 mybucket）。在创建或修改引用此集成的暂存区时，必需的 STORAGE_ALLOWED_LOCATIONS 参数和可选的 STORAGE_BLOCKED_LOCATIONS 参数分别限制或阻止对这些桶的访问。

• path 是一个可选路径，可用于提供对桶中对象的精细控制。

下面的示例创建了一个集成，允许访问账户中的所有桶，但阻止访问定义的 sensitivedata 文件夹。

也使用此集成的其他外部暂存区可以引用允许的桶和路径：

CREATE STORAGE INTEGRATION s3_int
  TYPE = EXTERNAL_STAGE
  STORAGE_PROVIDER = 'S3'
  ENABLED = TRUE
  STORAGE_AWS_ROLE_ARN = 'arn:aws:iam::001234567890:role/myrole'
  STORAGE_ALLOWED_LOCATIONS = ('*')
  STORAGE_BLOCKED_LOCATIONS = ('s3://mybucket1/mypath1/sensitivedata/', 's3://mybucket2/mypath2/sensitivedata/');

Copy

第 4 步：检索您的 Snowflake 账户的 AWSIAM 用户¶

1. 要检索自动为您的 Snowflake 账户创建的 IAM 用户的 ARN，请使用 DESCRIBE INTEGRATION。

   DESC INTEGRATION <integration_name>;
   

   Copy

   其中：

   • integration_name 是您在 第 3 步：在 Snowflake 中创建云存储集成 （本主题内容）中创建的集成的名称。

   例如：

   DESC INTEGRATION s3_int;
   
   +---------------------------+---------------+--------------------------------------------------------------------------------+------------------+
   | property                  | property_type | property_value                                                                 | property_default |
   +---------------------------+---------------+--------------------------------------------------------------------------------+------------------|
   | ENABLED                   | Boolean       | true                                                                           | false            |
   | STORAGE_ALLOWED_LOCATIONS | List          | s3://mybucket1/mypath1/,s3://mybucket2/mypath2/                                | []               |
   | STORAGE_BLOCKED_LOCATIONS | List          | s3://mybucket1/mypath1/sensitivedata/,s3://mybucket2/mypath2/sensitivedata/    | []               |
   | STORAGE_AWS_IAM_USER_ARN  | String        | arn:aws:iam::123456789001:user/abc1-b-self1234                                 |                  |
   | STORAGE_AWS_ROLE_ARN      | String        | arn:aws:iam::001234567890:role/myrole                                          |                  |
   | STORAGE_AWS_EXTERNAL_ID   | String        | MYACCOUNT_SFCRole=2_a123456/s0aBCDEfGHIJklmNoPq=                               |                  |
   +---------------------------+---------------+--------------------------------------------------------------------------------+------------------+
   

   Copy

2. 记录以下属性的值：

   属性	描述
   STORAGE_AWS_IAM_USER_ARN	为您的 Snowflake 账户创建的 AWS IAM 用户，例如 arn:aws:iam::123456789001:user/abc1-b-self1234。Snowflake 会为整个 Snowflake 账户配置单一 IAM 用户。您账户中的所有 S3 存储集成都使用该 IAM 用户。
   STORAGE_AWS_EXTERNAL_ID	Snowflake 与 AWS 建立信任关系所使用的外部 ID。如果创建存储集成时未指定外部 ID (STORAGE_AWS_EXTERNAL_ID)，Snowflake 会生成一个 ID 供您使用。

   在下一部分中需要提供这些值。

第 5 步：授予访问桶对象的 IAM 用户权限¶

以下分步说明描述了如何在 AWS 管理控制台中配置 Snowflake 的 IAM 访问权限，以便您可以使用 S3 桶来加载和卸载数据：

1. 登录 AWS 管理控制台。

2. 选择 IAM。

3. 从左侧导航窗格中选择 Roles。

4. 选择在 第 2 步：在 AWS 中创建 IAM 角色 （本主题内容）中创建的角色。

5. 选择 Trust relationships 选项卡。

6. 选择 Edit trust policy。

7. 使用您在 第 4 步：检索 Snowflake 账户 AWS IAM 用户 （本主题内容）中记录的 DESC STORAGE INTEGRATION 输出值修改策略文档。

   IAM 角色的策略文档

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "",
         "Effect": "Allow",
         "Principal": {
           "AWS": "<snowflake_user_arn>"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "sts:ExternalId": "<snowflake_external_id>"
           }
         }
       }
     ]
   }
   

   Copy

   其中：

   • snowflake_user_arn 是记录的 STORAGE_AWS_IAM_USER_ARN 值。

   • snowflake_external_id 是记录的 STORAGE_AWS_EXTERNAL_ID 值。

     在此示例中，snowflake_external_id 值为 MYACCOUNT_SFCRole=2_a123456/s0aBCDEfGHIJklmNoPq=。

     备注

     出于安全原因，如果您在不指定外部 ID 的情况下创建新的存储集成（或使用 CREATE OR REPLACE STORAGE INTEGRATION 语法重新创建一个现有的存储集成），新的集成具有 不同 的外部 ID，所以它不能解析信任关系，除非更新信任策略。

8. 选择 Update policy 保存更改。

第 6 步：创建外部暂存区¶

创建外部（如 S3）暂存区，该暂存区引用您在 第 3 步：在 Snowflake 中创建云存储集成 （本主题内容）中创建的存储集成。

GRANT CREATE STAGE ON SCHEMA public TO ROLE myrole;

GRANT USAGE ON INTEGRATION s3_int TO ROLE myrole;

使用 CREATE STAGE 命令创建暂存区。

例如，设置 mydb.public 作为用户会话的当前数据库和架构，然后创建一个名为 my_s3_stage 的暂存区。在此示例中，暂存区引用由集成提供支持的 S3 桶和路径 mybucket1/path1。暂存区还引用名为 my_csv_format 的指定文件格式对象：

USE SCHEMA mydb.public;

CREATE STAGE my_s3_stage
  STORAGE_INTEGRATION = s3_int
  URL = 's3://bucket1/path1/'
  FILE_FORMAT = my_csv_format;

Copy

下一步： AWS 数据文件加密