为 External OAuth 配置自定义授权服务器¶

获取关键环境值以使用 External OAuth¶

在配置 IdP 和授权服务器时，必须收集以下值以定义 External OAuth 安全集成：

发放者 URL:

包括此 URL 与 external_oauth_issuer 参数。

RSA 公钥:

包括此值与 external_oauth_rsa_public_key 参数。

受众 URLs:

如果需要多个受众 URL，请在 external_oauth_audience_list 参数中用逗号分隔每个 URL。

范围属性:

您可以将此值设置为 scp 或者 scope。默认情况下，该值为 scp。

您可以将 external_oauth_scope_mapping_attribute 参数的值设置为该值。

如果不使用默认值 scp，则将 external_oauth_scope_mapping_attribute 参数的值设置为 scope。

有关更多信息，请参阅 External OAuth 令牌有效负载要求。

用户属性:

此属性是指用于标识您的 IdP 中的用户的属性。将此属性值包括在 external_oauth_user_mapping_claim 参数中。

Snowflake 用户属性:

Snowflake 中用于标识用户的属性。将此值包括在 external_oauth_snowflake_user_mapping_attribute 参数中。

在 Snowflake 中创建 External OAuth 安全集成¶

此步骤在 Snowflake 中创建 External OAuth 安全集成。External OAuth 安全集成确保 Snowflake 可以与自定义授权服务器安全通信并验证来自自定义授权服务器的访问令牌，并根据与访问令牌关联的用户角色为用户提供对 Snowflake 数据的访问权限。有关更多信息，请参阅 CREATE SECURITY INTEGRATION。

在 Snowflake 中创建 External OAuth 安全集成

create security integration external_oauth_custom
    type = external_oauth
    enabled = true
    external_oauth_type = custom
    external_oauth_issuer = '<authorization_server_url>'
    external_oauth_rsa_public_key = '<public_key_value>'
    external_oauth_audience_list = ('<audience_url_1>', '<audience_url_2>')
    external_oauth_token_user_mapping_claim = 'upn'
    external_oauth_snowflake_user_mapping_attribute = 'login_name';

Copy

修改 External OAuth 安全集成¶

您可以通过对安全集成执行 ALTER 语句来更新 External OAuth 安全集成。

有关更多信息，请参阅 ALTER SECURITY INTEGRATION (External OAuth)。

将 ANY 角色与 External OAuth 结合使用¶

在 Snowflake 中创建安全集成的配置步骤中，OAuth 访问令牌包括范围定义。因此，在运行时，使用 External OAuth 安全集成既不允许 OAuth 客户端，也不允许用户在 OAuth 访问令牌中使用未定义角色。

在验证访问令牌并创建会话之后，ANY 角色可以允许 OAuth 客户端和用户决定其角色。如有必要，客户端或用户可以切换到与 OAuth 访问令牌中定义的角色不同的角色。

要配置 ANY 角色，将范围定义为 SESSION:ROLE-ANY 并使用 external_oauth_any_role_mode 参数配置安全集成。此参数可以有三个可能的字符串值：

• DISABLE 不允许 OAuth 客户端或用户切换角色（即 use role <role>;）。默认。

• ENABLE 允许 OAuth 客户端或用户切换角色。

• ENABLE_FOR_PRIVILEGE 允许 OAuth 客户端或用户仅为具有 USE_ANY_ROLE 权限的客户端或用户切换角色。可以将此权限授予用户可以使用的一个或多个角色，也可以撤消。例如：

  grant USE_ANY_ROLE on integration external_oauth_1 to role1;
  

  Copy

  revoke USE_ANY_ROLE on integration external_oauth_1 from role1;
  

  Copy

定义安全集成如下：

create security integration external_oauth_1
    type = external_oauth
    enabled = true
    external_oauth_any_role_mode = 'ENABLE'
    ...

将次要角色与 External OAuth 结合使用¶

主要角色所需的范围在外部令牌中传递：用户的默认角色 (session:role-any) 或授予用户的特定角色 (session:role:<role_name>)。

默认情况下，Snowflake 不会 激活会话中用户（即 DEFAULT_SECONDARY_ROLES）的默认 次要角色。

要激活会话中用户的默认次要角色，并允许在使用 External OAuth 时执行 USE SECONDARY ROLES 命令，请完成以下步骤：

1. 配置连接的安全集成。在创建安全集成（使用 CREATE SECURITY INTEGRATION）或更高版本（使用 ALTER SECURITY INTEGRATION）时，将 EXTERNAL_OAUTH_ANY_ROLE_MODE 参数值设置为 ENABLE 或 ENABLE_FOR_PRIVILEGE。

2. 配置授权服务器以在令牌的范围属性中传递 session:role-any 的静态值。有关范围参数的更多信息，请参阅 External OAuth 概览。

将 Client Redirect与 External OAuth 结合使用¶

Snowflake 支持将 Client Redirect 与 External OAuth 结合使用，包括将 Client Redirect 和 External OAuth 与支持的 Snowflake 客户端结合使用。

有关更多信息，请参阅 重定向客户端连接。

将网络策略与 External OAuth 结合使用¶

目前，网络策略无法添加到您的 External OAuth 安全集成。但是，您仍然可以实施广泛应用于整个 Snowflake 账户的网络策略。

如果您的用例需要特定于 OAuth 安全集成的网络策略，请使用 Snowflake OAuth。这种方法允许 Snowflake OAuth 网络策略与可能适用于 Snowflake 账户的其他网络策略不同。

有关更多信息，请参阅 网络策略。

将副本与 External OAuth 结合使用¶

Snowflake 支持 External OAuth 安全集成从源账户到目标账户的复制和故障切换/故障回复。

有关详细信息，请参阅 跨多个账户复制安全集成和网络策略。