通过 Snowflake 进行身份验证

生成 RSA 密钥对

使用 OpenSSL 生成私有和公有密钥对。

为 Snowflake 提取不带分隔符的公有密钥内容

# Extract public key content (remove BEGIN/END lines and newlines)
cat rsa_key.pub | grep -v "BEGIN\|END" | tr -d '\n'

请记下这些信息，因为需要在下一步中用到。

配置 Snowflake 用户

按照以下步骤配置 Snowflake 用户：

1. 为 Athena 连接器创建专属用户（如果还没有执行此操作）。

   -- Create user for Athena connector
   CREATE USER athena_connector_user;
   
   -- Grant necessary privileges
   GRANT USAGE ON WAREHOUSE your_warehouse TO ROLE athena_connector_role;
   GRANT USAGE ON DATABASE your_database TO ROLE athena_connector_role;
   GRANT SELECT ON ALL TABLES IN DATABASE your_database TO ROLE athena_connector_role;

2. 授予身份验证权限。要向用户分配公有密钥，您必须具有以下角色或权限之一：

   • 用户的 MODIFY PROGRAMMATIC AUTHENTICATION METHODS 或 OWNERSHIP 权限。

   • SECURITYADMIN 角色或更高层级角色。

   使用以下命令授予必要权限以分配公有密钥。

   GRANT MODIFY PROGRAMMATIC AUTHENTICATION METHODS ON USER athena_connector_user TO ROLE your_admin_role;

3. 使用以下命令将公有密钥分配给 Snowflake 用户。

   ALTER USER athena_connector_user SET RSA_PUBLIC_KEY='RSAkey';

   使用以下命令验证公有密钥是否已成功分配给该用户。

   DESC USER athena_connector_user;

将私有密钥存储在 Amazon Secrets Manager 中

1. 将私有密钥转换为连接器要求的格式。

   # Read private key content
   cat rsa_key.p8

2. 在 Amazon Secrets Manager 中，创建一个使用以下结构的密钥。

   {
     "sfUser": "your_snowflake_user",
     "pem_private_key": "-----BEGIN PRIVATE KEY-----\n...\n-----END PRIVATE KEY-----",
     "pem_private_key_passphrase": "passphrase_in_case_of_encrypted_private_key(optional)"
   }

   注意

   • 页眉和页脚为选填。

   • 私有密钥必须使用 \n 分隔。

在 Snowflake 创建安全集成

在 Snowflake 中执行以下 SQL 命令创建 Snowflake OAuth 安全集成。

CREATE SECURITY INTEGRATION my_snowflake_oauth_integration_a
  TYPE = OAUTH
  ENABLED = TRUE
  OAUTH_CLIENT = CUSTOM
  OAUTH_CLIENT_TYPE = 'CONFIDENTIAL'
  OAUTH_REDIRECT_URI = 'https://localhost:8080/oauth/callback'
  OAUTH_ISSUE_REFRESH_TOKENS = TRUE
  OAUTH_REFRESH_TOKEN_VALIDITY = 7776000;

配置参数

检索 OAuth 客户端密钥

1. 运行以下 SQL 命令来获取客户端凭证。

   DESC SECURITY INTEGRATION 'MY_SNOWFLAKE_OAUTH_INTEGRATION_A';

2. 检索 OAuth 客户端密钥。

   SELECT SYSTEM$SHOW_OAUTH_CLIENT_SECRETS('MY_SNOWFLAKE_OAUTH_INTEGRATION_A');

   响应示例

   {
     "OAUTH_CLIENT_SECRET_2": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
     "OAUTH_CLIENT_SECRET": "je7MtGbClwBF/2Zp9Utk/h3yCo8nvbEXAMPLEKEY,
     "OAUTH_CLIENT_ID": "AIDACKCEVSQ6C2EXAMPLE"
   }

授权用户并检索授权码

1. 在浏览器中打开以下 URL。

   https://<your_account>.snowflakecomputing.com/oauth/authorize?client_id=<OAUTH_CLIENT_ID>&response_type=code&redirect_uri=https://localhost:8080/oauth/callback

2. 完成授权流程。

   1. 使用 Snowflake 凭证登录。

   2. 授予所需的权限。您将被重定向到带有授权码的回调 URI。

3. 从重定向 URL 中复制代码参数来提取授权码。

   https://localhost:8080/oauth/callback?code=<authorizationcode>

   注意

   该授权码仅在有限时间内有效，而且只能使用一次。

将 OAuth 凭证存储在 Amazon Secrets Manager 中

在 Amazon Secrets Manager 中，创建一个使用以下结构的密钥。

{
  "redirect_uri": "https://localhost:8080/oauth/callback",
  "client_secret": "je7MtGbClwBF/2Zp9Utk/h3yCo8nvbEXAMPLEKEY",
  "token_url": "https://<your_account>.snowflakecomputing.com/oauth/token-request",
  "client_id": "AIDACKCEVSQ6C2EXAMPLE,
  "username": "your_snowflake_username",
  "auth_code": "authorizationcode"
}

必填字段