Microsoft Entra ID SCIM 与 Snowflake 集成¶

功能¶

• 自动将 Microsoft Entra ID 用户预置到 Snowflake。

• 自动将 Microsoft Entra ID 组预置到 Snowflake。

• 将 Microsoft Entra ID 用户和组同步到 Snowflake。

• 如果 Microsoft Entra ID 配置为 SAML SSO 到 Snowflake (https://docs.microsoft.com/en-us/azure/active-directory/saas-apps/snowflake-tutorial)，则预置到 Snowflake 的 Microsoft Entra ID 用户可以使用 SAML SSO 访问 Snowflake。

  备注

  默认情况下，使用 SCIM 预置到 Snowflake 的 Microsoft Entra ID 用户未被分配 Snowflake 密码。这意味着如果在 Microsoft Entra ID 中配置了 SAML SSO，用户将使用 SSO 对 Snowflake 进行身份验证。

  如果使用 SCIM 将用户和组从 Microsoft Entra ID 预置到 Snowflake，则 SAML SSO 不是必需的。有关其他选项，请参阅 配置 Entra ID 单点登录 (https://docs.microsoft.com/en-us/azure/active-directory/saas-apps/snowflake-tutorial#configure-azure-ad-single-sign-on)。

先决条件¶

使用 SCIM 将 Microsoft Entra ID 用户和组预置到 Snowflake 之前，请验证以下内容：

1. 现有的 Microsoft Entra ID 租户。

2. 现有的 Snowflake 租户。

   • 在 Microsoft 中进行配置的过程中，您需要输入 Snowflake SCIM 端点的 URL（即 Microsoft Entra ID SCIM 配置指南中的 Tenant URL）。Snowflake SCIM 端点由追加有 /scim/v2/ 的 Snowflake 账户 URL 组成。例如，如果您使用账户名称 URL 格式，则 SCIM 端点为 https://myorg-myaccount.snowflakecomputing.cn/scim/v2/。有关 Snowflake 账户 URL 支持的格式的列表，请参阅 与 URL 连接。

3. Snowflake 中至少有一名用户具有 ACCOUNTADMIN 角色

4. 在预置与您的账户相关的用户或组之前，请确保 Snowflake 中的 网络策略 允许来自 公共云 (https://www.microsoft.com/en-us/download/details.aspx?id=56519) 或 US 政府云 (https://www.microsoft.com/en-us/download/details.aspx?id=57063) 的 所有 Azure IP 地址的访问。目前，需要所有 Azure IP 地址来创建 Microsoft Entra ID SCIM 网络策略。有关更多信息，请参阅 管理 SCIM 网络策略。

配置¶

Snowflake 配置过程会创建一个 SCIM 安全集成，以使在 Microsoft Entra ID 中创建的用户和角色由 Snowflake 中的 AAD_PROVISIONER SCIM 角色拥有；同时会创建一个访问令牌以在 SCIM API 请求中使用。访问令牌（即 Microsoft Entra ID SCIM 配置指南中的 Secret Token）有效期为六个月。过期后，请使用如下所示的 SYSTEM$GENERATE_SCIM_ACCESS_TOKEN 手动创建新的访问令牌。

use role accountadmin;
create role if not exists aad_provisioner;
grant create user on account to role aad_provisioner;
grant create role on account to role aad_provisioner;
grant role aad_provisioner to role accountadmin;
create or replace security integration aad_provisioning
    type = scim
    scim_client = 'azure'
    run_as_role = 'AAD_PROVISIONER';
select system$generate_scim_access_token('AAD_PROVISIONING');

启用 Snowflake 发起的 SSO¶

SCIM 预置过程不会自动启用单点登录 (SSO)。

要在 SCIM 预置过程完成后使用 SSO，请启用 Snowflake 发起的 SSO。

管理 SCIM 网络策略¶

将网络策略应用到 SCIM 安全集成，可使 SCIM 网络策略与应用于整个 Snowflake 账户的网络策略不同。它使 SCIM 提供商可以预置用户和组，而无需向控制普通用户访问权限的网络策略添加 IP 地址。

应用于 SCIM 集成的网络策略会替换应用于整个 Snowflake 账户的网络策略，但会被分配给用户的网络策略替换。

创建 SCIM 安全集成后，使用以下命令创建 SCIM 网络策略：

alter security integration aad_provisioning set network_policy = <scim_network_policy>;

Copy

要取消设置 SCIM 网络策略，请使用以下命令：

alter security integration aad_provisioning unset network_policy;

Copy

其中：

aad_provisioning

指定 Microsoft Entra ID SCIM 安全集成的名称。

scim_network_policy

指定 Snowflake 中的 Microsoft Entra ID SCIM 网络策略。

有关更多信息，请参阅 使用网络策略控制网络流量 和 ALTER SECURITY INTEGRATION。

将次要角色与 SCIM 结合使用¶

Snowflake 支持使用 SCIM 将 用户 属性 DEFAULT_SECONDARY_ROLES 设置为 'ALL'，以允许用户在 Snowflake 会话中使用 次要角色。

有关代表性示例，请参阅 更新用户。

复制 Microsoft Entra ID SCIM 安全集成¶

Snowflake 支持通过 SCIM 安全集成执行从源账户到目标账户的复制和故障转移/故障回复。

有关详细信息，请参阅 跨多个账户复制安全集成和网络策略。

故障排除¶

• 若要验证 Microsoft Entra ID 正在向 Snowflake 发送更新，请检查 Microsoft Entra ID 中有关 Snowflake 应用程序的日志事件和 Snowflake 中的 SCIM 审计日志，以确保 Snowflake 正在从 Microsoft Entra ID 接收更新。使用以下 SQL 查询 Snowflake SCIM 审计日志，其中 demo_db 是您数据库的名称。

  use role accountadmin;
  use database demo_db;
  use schema information_schema;
  select * from table(rest_event_history('scim'));
  select *
      from table(rest_event_history(
          'scim',
          dateadd('minutes',-5,current_timestamp()),
          current_timestamp(),
          200))
      order by event_timestamp;
  

  Copy

• 如果用户更新失败，请检查 Snowflake 中用户的所有权。如果它不属于 aad_provisioner 角色（或在 Snowflake 中创建安全集成时在 run_as_role 参数中设置的角色），则更新将失败。通过在 Snowflake 中运行以下 SQL 语句来转移所有权，然后重试。

  grant ownership on user <username> to role AAD_PROVISIONER;
  

  Copy

• 如果在初始 SCIM 预置后 Microsoft Entra ID 中的 UPN 属性值 (https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/plan-connect-userprincipalname#what-is-userprincipalname) 发生了更改，则对用户的后续更新将不起作用。对 UPN 属性值的更改会断开 Microsoft Entra ID 用户对象和 Snowflake 用户对象之间的链接。如果 UPN 属性值发生更改，请为用户重新预置正确的 UPN 属性值。

后续主题：

• SCIM API 引用