为合作伙伴应用程序配置 Snowflake OAuth¶

阻止特定角色使用集成¶

可选的 BLOCKED_ROLES_LIST 参数允许您列出用户 无法 明确同意在集成中使用的 Snowflake 角色。

默认情况下，ACCOUNTADMIN、SECURITYADMIN、GLOBALORGADMIN 和 ORGADMIN 角色包含在此列表中，并且无法移除。如果在业务上需要允许用户将 Snowflake OAuth 与这些角色一起使用，并且安全团队允许这样做，请联系 Snowflake 支持部门，以请求允许您的账户使用这些角色。

控制登录频率¶

当用户成功进行身份验证时，合作伙伴应用程序可以使用颁发的刷新令牌来请求新的短期访问令牌，并且在刷新令牌过期之前不会提示用户重复登录过程。可选的 OAUTH_REFRESH_TOKEN_VALIDITY 参数指定刷新令牌的有效时间长度（以秒为单位）。此设置可用于定期使刷新令牌过期，从而强制用户重复登录过程。

下面列出 OAUTH_REFRESH_TOKEN_VALIDITY 参数支持的最小值、最大值和默认值：

如果在业务上需要降低最小值或提高最大值，请联系 Snowflake 支持部门，以请求为您的账户进行此变更。

将 Client Redirect 与用于合作伙伴应用程序的 Snowflake OAuth 一起使用¶

Snowflake 支持将 Client Redirect 与用于合作伙伴应用程序的 Snowflake OAuth 一起使用，包括将 Client Redirect 和 Snowflake OAuth 与支持的 Snowflake 客户端一起使用。

有关更多信息，请参阅 重定向客户端连接。

管理网络策略¶

Snowflake supports network policies for Looker, but not other partner applications. For more information, see 网络策略.

示例¶

Tableau Desktop

以下示例使用默认设置来创建 Snowflake OAuth 集成：

CREATE SECURITY INTEGRATION td_oauth_int1
  TYPE = OAUTH
  ENABLED = TRUE
  OAUTH_CLIENT = TABLEAU_DESKTOP;

Copy

使用 DESCRIBE INTEGRATION 查看集成设置：

DESC SECURITY INTEGRATION td_oauth_int1;

Copy

以下示例使用在 10 小时（36000 秒）后过期的刷新令牌创建 Snowflake OAuth 集成。该集成会阻止用户在使用 SYSADMIN 作为活动角色的情况下启动会话：

CREATE SECURITY INTEGRATION td_oauth_int2
  TYPE = OAUTH
  ENABLED = TRUE
  OAUTH_REFRESH_TOKEN_VALIDITY = 36000
  BLOCKED_ROLES_LIST = ('SYSADMIN')
  OAUTH_CLIENT = TABLEAU_DESKTOP;

Copy

Tableau Cloud

以下示例使用默认设置来创建 Snowflake OAuth 集成：

CREATE SECURITY INTEGRATION ts_oauth_int1
  TYPE = OAUTH
  ENABLED = TRUE
  OAUTH_CLIENT = TABLEAU_SERVER;

Copy

使用 DESCRIBE INTEGRATION 查看集成设置：

DESC SECURITY INTEGRATION ts_oauth_int1;

Copy

以下示例使用在 1 天（86400 秒）后过期的刷新令牌创建 Snowflake OAuth 集成。该集成会阻止用户在使用 SYSADMIN 作为活动角色的情况下启动会话：

CREATE SECURITY INTEGRATION ts_oauth_int2
  TYPE = OAUTH
  ENABLED = TRUE
  OAUTH_CLIENT = TABLEAU_SERVER
  OAUTH_REFRESH_TOKEN_VALIDITY = 86400
  BLOCKED_ROLES_LIST = ('SYSADMIN');

Copy

Tableau¶

按照 Tableau 提供的 说明 (https://onlinehelp.tableau.com/current/pro/desktop/en-us/examples_snowflake.htm)，使用 Snowflake OAuth 连接到 Snowflake。

Looker¶

按照 Looker 提供的 步骤 (https://docs.looker.com/setup-and-management/database-config/snowflake#oauth)，使用 Snowflake OAuth 连接到 Snowflake。

Alation¶

访问 Alation 社区 (https://community.alation.com/home)，并按照 Alation 提供的说明使用 Snowflake OAuth 连接到 Snowflake。

ThoughtSpot¶

访问 ThoughtSpot 文档 (https://docs.thoughtspot.com/software/latest/connections-snowflake)，并按照说明创建与 Snowflake 的连接，说明中包含了有关如何配置 Snowflake OAuth (https://docs.thoughtspot.com/software/latest/connections-snowflake-oauth.html) 的步骤。

Collibra¶

访问 Collibra 文档 (https://productresources.collibra.com/docs/collibra/latest/Content/Edge/JDBCConnections/ta_create-jdbc-connection.htm?catalog-connector-details=snowflake-native)，并按照 Collibra 提供的说明使用 Snowflake OAuth 连接到 Snowflake。

显示 Snowflake OAuth 同意¶

使用 SHOW DELEGATED AUTHORIZATIONS 列出您拥有访问权限的有效委派授权：

SHOW DELEGATED AUTHORIZATIONS;

+-------------------------------+-----------+-----------+-------------------+--------------------+
| created_on                    | user_name | role_name | integration_name  | integration_status |
|-------------------------------+-----------+-----------+-------------------+--------------------|
| 2018-11-27 07:43:10.914 -0800 | JSMITH    | PUBLIC    | MY_OAUTH_INT      | ENABLED            |
+-------------------------------+-----------+-----------+-------------------+--------------------+

列出指定用户的有效委派授权。用户可以列出自己的委派授权；否则，此命令变体需要用户的 OWNERSHIP 权限。

SHOW DELEGATED AUTHORIZATIONS
    BY USER <username>;

列出指定集成的有效委派授权。此命令变体需要关于集成的 OWNERSHIP 权限（即 ACCOUNTADMIN 角色）：

SHOW DELEGATED AUTHORIZATIONS
    TO SECURITY INTEGRATION <integration_name>;

撤消同意¶

用户可以撤消对指定集成的同意。这实际上是撤消与集成相关的任何访问令牌。

要撤消用户对给定集成的同意，请执行 ALTER USER ...REMOVE DELEGATED AUTHORIZATIONS 命令。

ALTER USER <username> REMOVE DELEGATED AUTHORIZATIONS
    FROM SECURITY INTEGRATION <integration_name>

其中：

username

指定您要撤消其同意的用户。

integration_name

指定与特定客户端的访问令牌关联的集成。

要撤消与特定角色相关的用户同意，请在语句中添加 OF ROLE role_name 参数：

ALTER USER <username> REMOVE DELEGATED AUTHORIZATION
    OF ROLE <role_name>
    FROM SECURITY INTEGRATION <integration_name>

其中：

role_name

指定与访问令牌关联的角色。

与该角色关联的任何访问令牌都将被撤消。