利用 Power BI 实现 Snowflake SSO 登录¶

常规工作流程¶

下图总结了从 Power BI 实例化 Snowflake 会话的授权流程：

1. 用户使用 Microsoft Azure Active Directory 的服务 (Azure AD)，登录 Power BI。

2. （可选）Azure AD 可通过基于 SAML 的 IdP 验证用户。目前，Microsoft 仅支持将 Azure AD 用作 Power BI SSO 的 IdP。

3. 在用户连接到 Snowflake 时，Power BI 服务会向 Azure AD 申请一个 Snowflake 令牌。

4. Power BI 服务使用嵌入式 Snowflake 驱动程序，将 Azure AD 令牌作为连接字符串的一部分发送到 Snowflake。

5. Snowflake 验证令牌，从令牌中提取用户名，将其映射到 Snowflake 用户，并使用用户的默认角色，为 Power BI 服务创建一个 Snowflake 会话。

创造 Power BI 安全集成¶

要使用 Power BI 通过 SSO 访问 Snowflake 数据，需要使用 :doc:` CREATE SECURITY INTEGRATION </sql-reference/sql/create-security-integration-oauth-external>` 为 Power BI 创建安全集成，如下所示。

安全集成的 external_oauth_issuer 值范围必须正确无误。该值的一部分映射到您的 Azure AD 租户。您可以在 Power BI 租户的 About 部分中找到此值。

如果您的组织具有 Power BI 服务的高级部署，请咨询 Azure AD 管理员，以获取构建颁发者 URL 的 Azure AD 租户的正确值。

例如，如果您的 Azure AD 租户 ID 是 a828b821-f44f-4698-85b2-3c6749302698，则应构造类似于 https://sts.windows.net/a828b821-f44f-4698-85b2-3c6749302698/ 的 AZURE_AD_ISSUER 值。在值得末尾包含正斜杠很重要（即 /）非常重要。

在为 AZURE_AD_ISSUER 构造值之后，执行 CREATE SECURITY INTEGRATION 命令。

如果 Snowflake 账户或 Microsoft Power BI 服务位于 Azure 美国政府版云 区域，请将 external_oauth_audience_list 属性的值设置为 https://analysis.usgovcloudapi.net/powerbi/connector/Snowflake。

Microsoft Power BI 的安全集成

create security integration powerbi
    type = external_oauth
    enabled = true
    external_oauth_type = azure
    external_oauth_issuer = '<AZURE_AD_ISSUER>'
    external_oauth_jws_keys_url = 'https://login.windows.net/common/discovery/keys'
    external_oauth_audience_list = ('https://analysis.windows.net/powerbi/connector/Snowflake', 'https://analysis.windows.net/powerbi/connector/snowflake')
    external_oauth_token_user_mapping_claim = 'upn'
    external_oauth_snowflake_user_mapping_attribute = 'login_name'

Copy

针对 Microsoft Power BI 的 Azure 美国政府版安全集成

create security integration powerbi_mag
    type = external_oauth
    enabled = true
    external_oauth_type = azure
    external_oauth_issuer = '<AZURE_AD_ISSUER>'
    external_oauth_jws_keys_url = 'https://login.windows.net/common/discovery/keys'
    external_oauth_audience_list = ('https://analysis.usgovcloudapi.net/powerbi/connector/Snowflake', 'https://analysis.usgovcloudapi.net/powerbi/connector/snowflake')
    external_oauth_token_user_mapping_claim = 'upn'
    external_oauth_snowflake_user_mapping_attribute = 'login_name'

Copy

create security integration powerbi
    type = external_oauth
    ...
    external_oauth_snowflake_user_mapping_attribute = 'email_address';

为 B2B 访客用户使用 Power BI SSO¶

要允许 Azure AD 企业对企业（即 B2B）访客用户使用 Microsoft Power BI 的 SSO 功能访问 Snowflake，请将 EXTERNAL_OAUTH_TOKEN_USER_MAPPING_CLAIM 属性值设置为 'unique_name'。例如：

create security integration powerbi
  type = external_oauth
  enabled = true
  external_oauth_type = azure
  external_oauth_issuer = '<AZURE_AD_ISSUER>'
  external_oauth_jws_keys_url = 'https://login.windows.net/common/discovery/keys'
  external_oauth_audience_list = ('https://analysis.windows.net/powerbi/connector/Snowflake', 'https://analysis.windows.net/powerbi/connector/snowflake')
  external_oauth_token_user_mapping_claim = 'unique_name'
  external_oauth_snowflake_user_mapping_attribute = 'login_name';

Copy

有关更多信息，请参阅 了解 B2B 用户 (https://docs.microsoft.com/en-us/azure/active-directory/external-identities/user-properties)。

修改 External OAuth 安全集成¶

您可以通过对安全集成执行 ALTER 语句来更新 External OAuth 安全集成。

有关更多信息，请参阅 ALTER SECURITY INTEGRATION (External OAuth)。

使用辅助角色与 Power BI SSO 功能登录 Snowflake¶

主要角色所需范围在外部令牌中传递。该角色是授予用户的特定角色 (session:role:<role_name>)。

默认情况下，会话中不会激活用户的默认 次要角色 （即 DEFAULT_SECONDARY_ROLES 用户属性）。

要激活会话中用户的默认次要角色，并允许在使用 External OAuth 时执行 USE SECONDARY ROLES 命令，请完成此步骤：

1. 配置连接的安全集成。在创建安全集成（使用 CREATE SECURITY INTEGRATION）或更高版本（使用 ALTER SECURITY INTEGRATION）时，将 EXTERNAL_OAUTH_ANY_ROLE_MODE 参数值设置为 ENABLE 或 ENABLE_FOR_PRIVILEGE。

使用 Client Redirect 与 Power BI SSO 功能登录 Snowflake¶

Snowflake 支持将 Client Redirect 与 Power BI SSO 功能结合使用，以登录 Snowflake。

有关更多信息，请参阅 重定向客户端连接。

将复制与 Power BI SSO 功能结合使用¶

Snowflake 支持 External OAuth 安全集成从源账户到目标账户的复制和故障切换/故障回复。

有关详细信息，请参阅 跨多个账户复制安全集成和网络策略。

连接到 Snowflake Power BI¶

有关如何从 Power BI 连接到 Snowflake 的更多详细信息，请参阅 Power BI 文档。

• Power BI Desktop 文档 (https://docs.microsoft.com/en-us/power-bi/desktop-connect-snowflake)

• Power BI 服务文档 (https://docs.microsoft.com/en-us/power-bi/service-connect-snowflake)

将网络策略与 External OAuth 结合使用¶

目前，网络策略无法添加到 External OAuth 安全集成，这意味着不能定义适用于 Power BI 集成的网络策略。但是，您仍然可以实施广泛应用于整个 Snowflake 账户的网络策略。有关应包含在网络策略中的 Microsoft IP 地址范围的信息，请参阅本主题中的 先决条件 部分。

错误消息¶

下表描述了用户在 Power BI 中进行身份验证时，Snowflake 返回的错误消息：

登录历史记录¶

如果用户能访问 Power BI，但无法实例化 Snowflake 会话，可以使用任何支持的 连接器 或 Snowflake Web 界面，运行以下命令来确定用户上次访问 Snowflake 的时间。请注意，系统只会记录成功的身份验证。

use role accountadmin;
select *
from table(information_schema.login_history(dateadd('hours',-1,current_timestamp()),current_timestamp()))
order by event_timestamp;

对于每个结果，评估 USER_NAME 和 FIRST_AUTHENTICATION_FACTOR 列。

• USER_NAME 值应与 先决条件 部分描述的属性映射一致。

• FIRST_AUTHENTICATION_FACTOR 应设为 OAUTH_ACCESS_TOKEN。