Okta SCIM 与 Snowflake 集成¶

功能¶

Snowflake 应用程序支持用户和角色管理。

这使 Okta 能够：

• 管理 Snowflake 中的用户生命周期（即创建、更新和删除）。

• 管理 Snowflake 中的角色生命周期（即创建、更新和删除）。

• 管理 Snowflake 中用户到角色的分配。

支持以下预置功能：

推送新用户:

通过 OKTA 创建的新用户也将在 Snowflake 中创建。

推送配置文件更新:

通过 OKTA 对用户配置文件进行的更新将被推送到 Snowflake。

推送用户停用信息:

通过 OKTA 停用用户或禁用其对 Snowflake 的访问后，该用户在 Snowflake 中也将被停用。

备注

对于 Snowflake，停用用户意味着将用户的 DISABLED 属性设置为 TRUE。

重新激活用户:

可以重新激活 Snowflake 用户账户。

同步密码:

如果需要，可以将用户密码从 Okta 推送到 Snowflake。

小技巧

默认设置是为用户创建一个随机密码，并为用户提供属性设置 has_Password=true。如果没有密码，用户必须通过 Okta SSO 访问 Snowflake。要防止为用户生成密码，请在预置用户之前关闭此设置，如下所示：

1. 点击 Edit。

2. 在 Sync Password 下方，取消选中以下设置： Generate a new random password whenever the user's Okta password changes。

3. 保存更改。

在 Okta 中启用此设置将为用户创建能够访问 Snowflake 的密码。这可能会导致用户在没有 SSO 的情况下访问 Snowflake。

要 禁用 密码同步，请在 Okta 中取消设置此选项， 并 更新 Snowflake Okta SCIM 安全集成 以将 SYNC_PASSWORD 属性设置为 False。

推送组:

“推送组”功能可在 Snowflake 中创建角色并便于角色管理。使用 Okta 推送组在 Snowflake 中创建的角色在 Okta 和 Snowflake 中具有相同的名称。请务必先在 Okta 中创建角色，然后使用推送组更新 Snowflake，以确保 Okta 和 Snowflake 可以同步。Okta 和 Snowflake 中的 OKTA_PROVISIONER 自定义角色无法管理 Snowflake 中手动创建的角色。推送组 不会 在 Snowflake 中创建用户。

小技巧

如果 Okta 中的 Snowflake 应用程序被分配给 Okta 中的用户，则 Okta 可以在 Snowflake 中创建用户。

有关更多信息，请参阅 将应用程序分配给用户 (https://help.okta.com/en/prod/Content/Topics/Provisioning/lcm/lcm-assign-app-user.htm)。

支持以下用户属性：

先决条件¶

1. 在预置用户或组之前，请确保 Snowflake 中的 网络策略 允许从 此处 (https://help.okta.com/en-us/Content/Topics/Security/ip-address-allow-listing.htm) 记录的 Okta IP 地址进行访问。有关更多信息，请参阅 管理 SCIM 网络策略。

2. 在为 Snowflake 配置预置之前，请确保已在 Okta 中为 Snowflake 应用程序配置了 General Settings 和任何 Sign-On Options。

完成上述步骤后，在 Okta 中点击 Next 可返回 Provisioning 选项卡。

配置步骤¶

配置过程需要完成 Snowflake 和 Okta 中的相应步骤。

use role accountadmin;
create role if not exists okta_provisioner;
grant create user on account to role okta_provisioner;
grant create role on account to role okta_provisioner;
grant role okta_provisioner to role accountadmin;
create or replace security integration okta_provisioning
    type = scim
    scim_client = 'okta'
    run_as_role = 'OKTA_PROVISIONER';
select system$generate_scim_access_token('OKTA_PROVISIONING');

启用 Snowflake 启动的 SSO¶

SCIM 预置过程不会自动启用单点登录 (SSO)。

要在 SCIM 预置过程完成后使用 SSO，请启用 Snowflake 启动的 SSO。

管理 SCIM 网络策略¶

将网络策略应用到 SCIM 安全集成允许 SCIM 网络策略与应用于整个 Snowflake 账户的网络策略不同。允许 SCIM 提供程序预置用户和组，而无需向控制普通用户访问的网络策略添加 IP 地址。

应用于 SCIM 集成的网络策略会替换应用于整个 Snowflake 账户的网络策略，但会被分配给用户的网络策略替换。

创建 SCIM 安全集成后，使用以下命令创建 SCIM 网络策略：

alter security integration okta_provisioning set network_policy = <scim_network_policy>;

Copy

要取消设置 SCIM 网络策略，请使用以下命令：

alter security integration okta_provisioning unset network_policy;

Copy

其中：

okta_provisioning

指定 Okta SCIM 安全集成的名称。

scim_network_policy

在 Snowflake 中指定 Okta SCIM 网络策略。

有关更多信息，请参阅 使用网络策略控制网络流量 和 ALTER SECURITY INTEGRATION。

将次要角色与 SCIM 结合使用¶

Snowflake 支持使用 SCIM 将 用户 属性 DEFAULT_SECONDARY_ROLES 设置为 'ALL'，以允许用户在 Snowflake 会话中使用 次要角色。

有关代表性示例，请参阅 更新用户。

复制 Okta SCIM 安全集成¶

Snowflake 支持通过 SCIM 安全集成执行从源账户到目标账户的复制和故障转移/故障回复。

有关详细信息，请参阅 跨多个账户复制安全集成和网络策略。

故障排除¶

• 转移所有权。 如果用户更新失败，请在 Snowflake 中检查用户的所有权。如果它不属于 okta_provisioner 角色（或在 Snowflake 中创建安全集成时在 run_as_role 参数中设置的角色），则更新将失败。通过在 Snowflake 中运行以下 SQL 语句来转移所有权，然后重试。

  grant ownership on user <username> to role OKTA_PROVISIONER;
  

  Copy

• 确保为现有用户设置了 login_name 属性（如果这些现有 Snowflake 用户使用 Okta SSO，则应该已经设置了该属性）。

• 若要验证 Okta 正在向 Snowflake 发送更新，请检查 Okta 中有关 Snowflake 应用程序的日志事件和 Snowflake 中的 SCIM 审计日志，以确保 Snowflake 正在从 Okta 接收更新。使用以下命令查询 Snowflake SCIM 审核日志。

  use role accountadmin;
  use database demo_db;
  use schema information_schema;
  select * from table(rest_event_history('scim'));
  select *
      from table(rest_event_history(
          'scim',
          dateadd('minutes',-5,current_timestamp()),
          current_timestamp(),
          200))
      order by event_timestamp;
  

  Copy

• 在预置过程中可能会发生身份验证错误。错误消息可能如下所示：

  Error authenticating: Forbidden. Errors reported by remote server: Invalid JSON: Unexpected character ('<' (code 60)): expected a valid value (number, String, array, object, 'true', 'false' or 'null') at [Source: java.io.StringReader@4c76ba04; line: 1, column: 2]
  

  Copy

  如果出现此错误消息或其他身份验证错误消息，请尝试以下故障排除过程：

  1. 在 Okta 中，移除当前的 Snowflake 应用程序并创建一个新的 Snowflake 应用程序。

  2. 在 Snowflake 中，创建新的 SCIM 安全集成并生成新的访问令牌。

  3. 点击 Copy 复制新令牌。

  4. 在 Okta 中，粘贴并验证新的访问令牌，如“如何将 Okta 配置为 SCIM 身份提供商”中所述。

  5. 使用 Okta 中的新 Snowflake 应用程序将 Okta 的用户和角色预置到 Snowflake。

后续主题：

• SCIM API 引用