在 Snowflake Open Catalog 中配置密钥对身份验证¶

第 1 步：为 Snowflake Open Catalog 添加 Snowflake CLI 连接¶

为您希望配置密钥对身份验证的 Snowflake Open Catalog 账户添加连接。

• Add a connection with the following values. For all other parameters, press Enter to skip specifying a value for the parameter.

  连接配置参数	值
  Name for this connection	指定连接名称，例如 myopencatalogconnection。
  Account name	按如下格式指定您的 Snowflake 组织名称，后接您的 Open Catalog 账户名称： <orgname>-<my-snowflake-open-catalog-account-name>。 例如 ABCDEFG-MYACCOUNT1。 要查找这些名称，请参阅 准备工作_。
  Username	指定您的 Open Catalog 用户名；例如，jsmith。
  Password [optional]	为 Open Catalog 创建连接时，该参数 不是 可选参数。 输入您的 Open Catalog 密码；例如，MyPassword123456789。
  Role for the connection [optional]	为 Open Catalog 创建连接时，该参数 不是 可选参数。 您必须输入 POLARIS_ACCOUNT_ADMIN

第 2 步：测试 Snowflake CLI 连接¶

• 要测试 CLI 连接，请按照本例测试 myopencatalogconnection 的连接：

  snow connection test -c myopencatalogconnection
  

  Copy

  响应应该如下所示：

  +------------------------------------------------------------------------------+
  | key              | value                                                     |
  |----------------------------+-------------------------------------------------|
  | Connection name  | myopencatalogconnection                                   |
  | Status           | OK                                                        |
  | Host             | ABCDEFG-MYACCOUNT1.snowflakecomputing.cn                 |
  | Account          | ABCDEFG-MYACCOUNT1                                        |
  | User             | jsmith                                                    |
  | Role             | POLARIS_ACCOUNT_ADMIN                                     |
  | Database         | not set                                                   |
  | Warehouse        | not set                                                   |
  +------------------------------------------------------------------------------+
  

  Copy

第 3 步：设置默认 Snowflake CLI 连接¶

为确保您使用的连接始终具有所需的 POLARIS_ACCOUNT_ADMIN 角色，您可以将为 Open Catalog 创建的 Snowflake CLI 连接设置为默认连接。有关默认连接的更多信息，请参阅 :ref:label-cli_set_default_connection。

1. 本例将 myopencatalogconnection 连接设为默认连接，请按照本例操作：

   snow connection set-default myopencatalogconnection
   

   Copy

2. 要确认所用的用户和角色是否正确，请运行以下命令：

   snow sql -q "Select current_user(); select current_role();"
   

   Copy

   响应将返回您的 Open Catalog 用户名，CURRENT ROLE 应为 POLARIS_ACCOUNT_ADMIN。

   +----------------+
   | CURRENT_USER() |
   |----------------|
   | JSMITH        |
   +----------------+
   select current_role();
   +-----------------------+
   | CURRENT_ROLE()        |
   |-----------------------|
   | POLARIS_ACCOUNT_ADMIN |
   +-----------------------+
   

   Copy

生成私钥和公钥¶

本部分介绍如何生成私钥和公钥。

要生成私钥，请使用以下命令：

openssl genrsa 2048 | openssl pkcs8 -topk8 -inform PEM -out rsa_key.p8 -nocrypt

要生成公钥，请使用以下命令：

openssl rsa -in rsa_key.p8 -pubout -out rsa_key.pub

将公钥分配给自己。¶

使用您的 Snowflake CLI 连接，将公钥分配给自己。

1. 要将公钥分配给自己，请运行：

   snow sql -q "alter user <your_username> set RSA_PUBLIC_KEY='<your_public_key>';"
   

   Copy

   其中：

   • <your_username> 是您的 Open Catalog 用户名，用于登录 Open Catalog UI。

   备注

   如果您需要检索公钥，请运行：cat rsa_key.pub。

2. 验证用户是否已设置公钥 (RSA_PUBLIC_KEY) 及用户的 RSA 公钥指纹 (RSA_PUBLIC_KEY_FP)：

   snow sql -q "desc user <your_username>;"
   

   Copy

   其中：

   • <your_username> 是您的 Open Catalog 用户名，用于登录 Open Catalog UI。

生成 JSON Web 令牌¶

在本部分中，您将生成一个 JSON Web 令牌 (JWT)，此令牌是生成访问令牌所必需的。

1. 要使用 SnowSQL 生成 JWT，请运行：

   snowsql --private-key-path rsa_key.p8 --generate-jwt -h <your_org_name>-<your_open_catalogaccount_name>.snowflakecomputing.cn -a <account-identifier> -u <your_user_name>
   

   Copy

   其中：

   • <your_org_name>–<your_open_catalogaccount_name> 是您的组织名称和 Snowflake Open Catalog 账户名称，中间用连字符分隔。

     例如：ABCDEFG-MYACCOUNT1。

     要以此格式检索这些值，请参阅 检索您的组织名称和账户名称。

   • <account-identifier> is the account identifier for your Snowflake Open Catalog account. To retrieve it, refer to your Open Catalog account URL. For example, abc12345in https://app.snowflake.cn/us-west-2/abc12345/#/。

   • <your_user_name> 是您的 Open Catalog 用户名。

2. 如果已将其加密，请输入密码，否则请按 Enter 键继续。您可能需要几秒钟才能收到 JWT。

生成服务管理员访问令牌¶

在本部分中，您将生成一个服务管理员访问令牌，用于以编程方式配置密钥对身份验证。

1. 要生成服务管理员访问令牌，请执行以下命令并将相关值复制到文本编辑器中：

   curl -i -X POST \
   -H "Content-Type: application/x-www-form-urlencoded" \
   -H "Accept: application/json" \
   --data-urlencode "scope=session:role:POLARIS_ACCOUNT_ADMIN" \
   --data-urlencode "grant_type=client_credentials" \
   --data-urlencode "client_secret=<your_JWT>" \
   "https://<your_org_name>-<your_open_catalogaccount_name>.snowflakecomputing.cn/polaris/api/catalog/v1/oauth/tokens"
   

   Copy

   其中：

   • POLARIS_ACCOUNT_ADMIN 是 Open Catalog 中内置角色的名称，可用于在 Open Catalog 中执行管理任务，其中包括配置密钥对身份验证。在 Open Catalog UI 中，此角色称为服务管理员角色。

   • <your_JWT> 是您在上一步中生成的 JWT。

   • <your_org_name>–<your_open_catalogaccount_name> 是您的组织名称和 Snowflake Open Catalog 账户名称，中间用连字符分隔。

     例如：ABCDEFG-MYACCOUNT1。

     要以此格式检索这些值，请参阅 检索您的组织名称和账户名称。

将具有目录管理员权限的目录角色授予自定义角色¶

在本部分中，您将具有目录管理员权限的目录角色授予自定义角色。工作流程如下：

1. 创建目录角色。

2. 将目录管理员权限授予目录角色。

3. 将目录角色授予自定义角色。

向自定义角色授予具有您指定的一组权限的目录角色¶

工作流程如下：

1. 创建目录角色。

2. 向目录角色授予权限。这些权限允许用户在 Open Catalog 中执行操作。

3. 将目录角色授予自定义角色。

生成私钥和公钥¶

本部分介绍如何生成私钥和公钥。

要生成私钥，请使用以下命令：

openssl genrsa 2048 | openssl pkcs8 -topk8 -inform PEM -out rsa_key.p8 -nocrypt

要生成公钥，请使用以下命令：

openssl rsa -in rsa_key.p8 -pubout -out rsa_key.pub

将公钥分配给用户¶

使用您的 Snowflake CLI 连接，将公钥分配给您创建的用户。

1. 要将公钥分配给您创建的用户，请运行：

   snow sql -q "alter user <username> set RSA_PUBLIC_KEY='<your_public_key>';"
   

   Copy

   备注

   如果您需要检索公钥，请运行：cat rsa_key.pub。

2. 验证用户是否已设置公钥 (RSA_PUBLIC_KEY) 及用户的 RSA 公钥指纹 (RSA_PUBLIC_KEY_FP)：

   snow sql -q "desc user keypairuser1;"
   

   Copy

为用户生成 JWT¶

在此步骤中，您将生成一个 JWT，此令牌是生成访问令牌所必需的。

1. 要使用 SnowSQL 生成 JWT，请运行：

   snowsql --private-key-path rsa_key.p8 --generate-jwt -h <your_org_name>-<your_open_catalogaccount_name>.snowflakecomputing.cn -a <account-identifier> -u <user_name>
   

   Copy

   其中：

   • <your_org_name>–<your_open_catalogaccount_name> 是您的组织名称和 Snowflake Open Catalog 账户名称，中间用连字符分隔。

     例如：ABCDEFG-MYACCOUNT1。

     要以此格式检索这些值，请参阅 检索您的组织名称和账户名称。

   • <account-identifier> is the account identifier for your Snowflake Open Catalog account. To retrieve it, refer to your Open Catalog account URL. For example, abc12345in https://app.snowflake.cn/us-west-2/abc12345/#/。

   • <user_name> 是 Open Catalog 用户的用户名，且该用户已获分配公钥。

2. 如果已将其加密，请输入密码，否则请按 Enter 键继续。您可能需要几秒钟才能收到 JWT。

为用户生成访问令牌¶

1. 使用 JWT 为自定义角色或内置角色检索访问令牌：

   curl -i -X POST \
   -H "Content-Type: application/x-www-form-urlencoded" \
   -H "Accept: application/json" \
   --data-urlencode "scope=session:role:<custom_role_name>" \
   --data-urlencode "grant_type=client_credentials" \
   --data-urlencode "client_secret=<your_JWT>" \
   "https://<your_org_name>-<your_open_catalogaccount_name>.snowflakecomputing.cn/polaris/api/catalog/v1/oauth/tokens"
   

   Copy

   其中

   • <custom_role_name> is the name of A custom role you created, such as ENGINEER。

   • <your_JWT> 是您在上一步中生成的 JWT。

   • <your_org_name>–<your_open_catalogaccount_name> 是您的组织名称和 Snowflake Open Catalog 账户名称，中间用连字符分隔。

     例如：ABCDEFG-MYACCOUNT1。

     要以此格式检索这些值，请参阅 检索您的组织名称和账户名称。

2. 将访问令牌存储在变量 ($ACCESS_TOKEN) 中。