为 External OAuth 配置 PingFederate¶

配置 PingFederate¶

1. 导航至 PingFederate 服务器下载页面，并根据 操作系统 (https://www.pingidentity.com/en/resources/downloads/pingfederate.html) 下载或升级 PingFederate 实例。

2. 使用适用于操作系统的 PingFederate 安装指南。安装后，访问 PingFederate。

3. 通过导航至 OAuth Server 面板中的 Exclusive Scopes 界面创建 OAuth 作用域。

4. 要将 Snowflake 角色添加为作用域，请将该角色添加到 Scope Value。Snowflake 角色必须具有 session:role: 前缀（例如，对于 Snowflake Analyst 角色，输入 session:role:analyst）。

5. 在 Scope Description 框中输入作用域的描述并点击 Add。

6. 导航至 OAuth Server 选项卡并创建一个新客户端。验证以下值：

   字段	值
   NAME	PingFederate OAuth 授权服务器的友好名称
   DESCRIPTION	PingFederate OAuth 授权服务器的友好描述
   CLIENT AUTHENTICATION	CLIENT SECRET
   EXCLUSIVE SCOPES	选择作用域（即 Snowflake 角色）
   ALLOWED GRANT TYPES	选择 Refresh Token 和 Resource Owner Password Credentials
   DEFAULT ACCESS TOKEN MANAGER	JSON 网络令牌

7. 导航至 Security 选项卡并导出凭据。从凭据中提取公钥以在以下步骤中使用。

8. 导航至 OAuth Server 选项卡下的 Instance Configuration 选项卡和 Access Token Management | Create Access Token Management Instance，然后：

   • 将 ISSUER CLAIM VALUE 更新为引用此 OAuth 授权服务器的唯一标识符。

   • 将 AUDIENCE CLAIM VALUE 更新为 Snowflake 账户 URL（例如 https://<account_identifier>.snowflakecomputing.cn）。有关可能的 URL 格式的列表，请参阅 与 URL 连接。

9. 从 开发者工具 (https://www.pingidentity.com/en/resources/downloads/pingfederate.html) 部分下载 PingFederate OAuth Playground 插件。该客户端执行 API 请求。

10. 安装 OAuth Playground (https://www.pingidentity.com/content/dam/developer/downloads/Software/OAuth%20Grant%20Types%20using%20the%20OAuth%20PlayGround.pdf)。

在 Snowflake 中创建安全集成¶

此步骤在 Snowflake 中创建了一个安全集成，以确保 Snowflake 可以安全地与 PingIdentity 通信，验证来自 PingIdentity 的令牌，并根据与 OAuth 令牌相关联的用户角色为用户提供适当的 Snowflake 数据访问。

在 Snowflake Web 界面或 SnowSQL 中执行以下语句。

请注意， external_oauth_issuer 的值必须是在步骤 1.8 中设置的唯一标识符。例如，如果唯一标识符值为 27f10cde-a964-4499-a88c-0c598883e5ad，将 <unique_id> 替换为 '27f10cde-a964-4499-a88c-0c598883e5ad'。唯一标识符必须使用单引号（即垂直引号）。

选择最能满足您的用例和配置需求的安全集成。有关更多信息，请参阅 CREATE SECURITY INTEGRATION。

为 PingFederate 创建安全集成

create or replace security integration external_oauth_pf_1
    type = external_oauth
    enabled = true
    external_oauth_type = ping_federate
    external_oauth_rsa_public_key = '<BASE64_PUBLIC_KEY>'
    external_oauth_issuer = '<unique_id>'
    external_oauth_token_user_mapping_claim = 'username'
    external_oauth_snowflake_user_mapping_attribute = 'login_name';

Copy

此安全集成使用 external_oauth_rsa_public_key 参数。Snowflake 使用公钥值来验证 JWT 访问令牌上的签名。

与受众创建安全集成

安全集成的 external_oauth_audience_list 参数必须与您在配置 PingFederate 时指定的 Audience Claim Value 匹配。

create security integration external_oauth_pf_2
    type = external_oauth
    enabled=true
    external_oauth_type = ping_federate
    external_oauth_issuer = '<ISSUER>'
    external_oauth_rsa_public_key = '<BASE64_PUBLIC_KEY>'
    external_oauth_audience_list = ('<snowflake_account_url>')
    external_oauth_token_user_mapping_claim = 'username'
    external_oauth_snowflake_user_mapping_attribute = 'login_name';

Copy

此安全集成使用 external_oauth_rsa_public_key 参数。Snowflake 使用公钥值来验证 JWT 访问令牌上的签名。

修改 External OAuth 安全集成¶

您可以通过对安全集成执行 ALTER 语句来更新 External OAuth 安全集成。

有关更多信息，请参阅 ALTER SECURITY INTEGRATION (External OAuth)。

将 ANY 角色与 External OAuth 结合使用¶

在 Snowflake 中创建安全集成的配置步骤中，OAuth 访问令牌包括范围定义。因此，在运行时，使用 External OAuth 安全集成既不允许 OAuth 客户端，也不允许用户在 OAuth 访问令牌中使用未定义角色。

在验证访问令牌并创建会话之后，ANY 角色可以允许 OAuth 客户端和用户决定其角色。如有必要，客户端或用户可以切换到与 OAuth 访问令牌中定义的角色不同的角色。

要配置 ANY 角色，将范围定义为 SESSION:ROLE-ANY 并使用 external_oauth_any_role_mode 参数配置安全集成。此参数可以有三个可能的字符串值：

• DISABLE 不允许 OAuth 客户端或用户切换角色（即 use role <role>;）。默认。

• ENABLE 允许 OAuth 客户端或用户切换角色。

• ENABLE_FOR_PRIVILEGE 允许 OAuth 客户端或用户仅为具有 USE_ANY_ROLE 权限的客户端或用户切换角色。可以将此权限授予用户可以使用的一个或多个角色，也可以撤消。例如：

  grant USE_ANY_ROLE on integration external_oauth_1 to role1;
  

  Copy

  revoke USE_ANY_ROLE on integration external_oauth_1 from role1;
  

  Copy

定义安全集成如下：

create security integration external_oauth_1
    type = external_oauth
    enabled = true
    external_oauth_any_role_mode = 'ENABLE'
    ...

将次要角色与 External OAuth 结合使用¶

主要角色所需的范围在外部令牌中传递：用户的默认角色 (session:role-any) 或授予用户的特定角色 (session:role:<role_name>)。

默认情况下，Snowflake 不会 激活会话中用户（即 DEFAULT_SECONDARY_ROLES）的默认 次要角色。

要激活会话中用户的默认次要角色，并允许在使用 External OAuth 时执行 USE SECONDARY ROLES 命令，请完成以下步骤：

1. 配置连接的安全集成。在创建安全集成（使用 CREATE SECURITY INTEGRATION）或更高版本（使用 ALTER SECURITY INTEGRATION）时，将 EXTERNAL_OAUTH_ANY_ROLE_MODE 参数值设置为 ENABLE 或 ENABLE_FOR_PRIVILEGE。

2. 配置授权服务器以在令牌的范围属性中传递 session:role-any 的静态值。有关范围参数的更多信息，请参阅 External OAuth 概览。

将网络策略与 External OAuth 结合使用¶

目前，网络策略无法添加到您的 External OAuth 安全集成。但是，您仍然可以实施广泛应用于整个 Snowflake 账户的网络策略。

如果您的用例需要特定于 OAuth 安全集成的网络策略，请使用 Snowflake OAuth。这种方法允许 Snowflake OAuth 网络策略与可能适用于 Snowflake 账户的其他网络策略不同。

有关更多信息，请参阅 网络策略。

将副本与 External OAuth 结合使用¶

Snowflake 支持 External OAuth 安全集成从源账户到目标账户的复制和故障切换/故障回复。

有关详细信息，请参阅 跨多个账户复制安全集成和网络策略。