다음을 통해 공유

자습서: 자동 사용자 프로비전을 위한 Snowflake 구성

  • 아티클

이 자습서에서는 사용자와 그룹을 Snowflake에 자동으로 프로비전 및 프로비전 해제하도록 Microsoft Entra ID를 구성하기 위해 Snowflake 및 Microsoft Entra ID에서 수행하는 단계를 보여 줍니다. 이 서비스의 기능, 작동 방식 및 질문과 대답에 대한 자세한 내용은 Microsoft Entra ID의 자동화된 SaaS 앱 사용자 프로비전이란?를 참조하세요.

지원되는 기능

  • Snowflake에서 사용자 만들기
  • Snowflake에서 더 이상 액세스할 필요가 없는 사용자 제거
  • Microsoft Entra ID와 Snowflake 간에 사용자 특성을 동기화된 상태로 유지
  • Snowflake에서 그룹 및 그룹 멤버 프로비저닝
  • Snowflake에 대한 Single Sign-On 허용(권장)

필수 조건

이 자습서에 설명된 시나리오에서는 사용자에게 이미 다음 필수 구성 요소가 있다고 가정합니다.

1단계: 프로비저닝 배포 계획

  1. 프로비저닝 서비스의 작동 방식에 대해 알아봅니다.
  2. 프로비저닝 범위에 포함될 사용자를 결정합니다.
  3. Microsoft Entra ID와 Snowflake 간에 매핑할 데이터를 결정합니다.

2단계: Microsoft Entra ID를 사용한 프로비전을 지원하도록 Snowflake 구성

Microsoft Entra ID를 사용한 자동 사용자 프로비전을 위해 Snowflake를 구성하기 전에 Snowflake에서 SCIM(System for Cross-domain Identity Management) 프로비전을 사용하도록 설정해야 합니다.

  1. Snowflake에 관리자 권한으로 로그인하고 Snowflake 워크시트 인터페이스 또는 SnowSQL에서 다음을 실행합니다.

    use role accountadmin;

 create role if not exists aad_provisioner;
 grant create user on account to role aad_provisioner;
 grant create role on account to role aad_provisioner;
grant role aad_provisioner to role accountadmin;
 create or replace security integration aad_provisioning
     type = scim
     scim_client = 'azure'
     run_as_role = 'AAD_PROVISIONER';
 select system$generate_scim_access_token('AAD_PROVISIONING');

  2. ACCOUNTADMIN 역할을 사용합니다.

    SCIM 액세스 토큰이 호출된 Snowflake UI의 워크시트 스크린샷

  3. 사용자 지정 역할 AAD_PROVISIONER를 만듭니다. Microsoft Entra ID로 만들어진 Snowflake의 모든 사용자 및 역할은 범위가 축소된 AAD_PROVISIONER 역할이 소유합니다.

    사용자 지정 역할을 보여 주는 스크린샷

  4. ACCOUNTADMIN 역할이 AAD_PROVISIONER 사용자 지정 역할을 사용하여 보안 통합을 만들도록 합니다.

    보안 통합을 보여 주는 스크린샷

  5. 나중에 사용할 수 있도록 권한 부여 토큰을 만들고 클립보드에 복사한 후 안전하게 저장합니다. 각 SCIM REST API 요청에 이 토큰을 사용하고 요청 헤더에 배치합니다. 액세스 토큰은 6개월 후에 만료되며 이 문을 사용하여 새 액세스 토큰을 생성할 수 있습니다.

    토큰 생성을 보여 주는 스크린샷

Snowflake 프로비전 관리를 시작하려면 Microsoft Entra 애플리케이션 갤러리에서 Snowflake를 추가합니다. 이전에 Snowflake에서 SSO(Single Sign-On)를 설정한 경우 동일한 애플리케이션을 사용할 수 있습니다. 그러나 통합을 처음으로 테스트할 때에는 별도의 앱을 만드는 것이 좋습니다. 갤러리에서 애플리케이션을 추가하는 방법에 대해 자세히 알아보세요.

4단계: 프로비저닝 범위에 있는 사용자 정의

Microsoft Entra 프로비저닝 서비스를 사용하면 애플리케이션에 대한 할당이나 사용자 또는 그룹의 특성을 기반으로 프로비전할 대상의 범위를 지정할 수 있습니다. 할당을 기준으로 앱에 프로비저닝할 사용자의 범위를 선택하려면 애플리케이션에 사용자 및 그룹을 할당하는 단계를 수행하면 됩니다. 사용자 또는 그룹의 특성만을 기준으로 프로비저닝할 사용자의 범위를 선택하려면 범위 지정 필터를 사용하면 됩니다.

다음 사항을 염두에 두어야 합니다.

  • 사용자 및 그룹을 Snowflake에 할당하는 경우 기본 액세스가 아닌 역할을 선택해야 합니다. 기본 액세스 역할이 있는 사용자는 프로비저닝 대상에서 제외되고 프로비저닝 로그에 실질적으로 권한을 부여받지 않은 것으로 표시됩니다. 애플리케이션에서 사용할 수 있는 유일한 역할이 기본 액세스 역할인 경우 애플리케이션 매니페스트를 업데이트하여 더 많은 역할을 추가할 수 있습니다.

  • 추가 역할이 필요한 경우 애플리케이션 매니페스트를 업데이트하여 새 역할을 추가할 수 있습니다.

5단계: Snowflake에 대한 자동 사용자 프로비저닝 구성

이 섹션에서는 Snowflake에서 사용자를 만들고, 업데이트하고, 비활성화하도록 Microsoft Entra 프로비저닝 서비스를 구성하는 단계를 안내합니다. Microsoft Entra ID에서 할당하는 사용자 및 그룹 구성을 기반으로 할 수 있습니다.

Microsoft Entra ID에서 Snowflake에 대한 자동 사용자 프로비전을 구성하려면:

  1. 최소한 클라우드 애플리케이션 관리자로 Microsoft Entra 관리 센터에 로그인합니다.

  2. ID>애플리케이션>엔터프라이즈 애플리케이션으로 이동합니다.

    엔터프라이즈 애플리케이션 창을 보여 주는 스크린샷

  3. 애플리케이션 목록에서 Snowflake를 선택합니다.

    애플리케이션 목록을 보여주는 스크린샷

  4. 프로비전 탭을 선택합니다.

    프로비저닝 옵션이 호출된 관리 옵션의 스크린샷

  5. 프로비전 모드를 자동으로 설정합니다.

    자동 옵션이 호출된 프로비저닝 모드 드롭다운 목록의 스크린샷

  6. 관리자 자격 증명 섹션에서, 이전에 검색한 SCIM 2.0 기본 URL 및 인증 토큰을 각각 테넌트 URL 및 비밀 토큰 상자에 입력합니다.

    참고 항목

    Snowflake SCIM 엔드포인트는 /scim/v2/에 추가된 Snowflake 계정 URL로 구성됩니다. 예를 들어 Snowflake 계정 이름이 acme이고 Snowflake 계정이 east-us-2 Azure 지역에 있는 경우 테넌트 URL 값은 https://acme.east-us-2.azure.snowflakecomputing.com/scim/v2입니다.

    연결 테스트를 선택하여 Microsoft Entra ID가 Snowflake에 연결할 수 있는지 확인합니다. 연결에 실패하면 Snowflake 계정에 관리자 권한이 있는지 확인하고 다시 시도합니다.

    연결 테스트 단추와 함께 테넌트 URL 및 비밀 토큰 상자를 보여주는 스크린샷

  7. 알림 이메일 상자에서 프로비저닝 오류 알림을 받을 사용자 또는 그룹의 이메일 주소를 입력합니다. 그런 다음, 오류가 발생할 경우 이메일 알림 보내기 확인란을 선택합니다.

    알림 이메일 상자를 보여주는 스크린샷

  8. 저장을 선택합니다.

  9. 매핑 섹션에서 Microsoft Entra 사용자를 Snowflake에 동기화를 선택합니다.

  10. 특성 매핑 섹션에서 Microsoft Entra ID에서 Snowflake로 동기화되는 사용자 특성을 검토합니다. 일치 속성으로 선택한 특성은 업데이트 작업 시 Snowflake의 사용자 계정을 일치시키는 데 사용됩니다. 저장 단추를 선택하여 변경 내용을 커밋합니다.

    Attribute Type
    활성 부울
    displayName 문자열
    emails[type eq "work"].value 문자열
    userName 문자열
    name.givenName 문자열
    name.familyName 문자열
    externalId 문자열

    참고 항목

    Snowflake는 SCIM 프로비저닝 중에 사용자 지정 확장 사용자 특성을 지원합니다.

    • DEFAULT_ROLE
    • DEFAULT_WAREHOUSE
    • DEFAULT_SECONDARY_ROLES
    • SNOWFLAKE NAME AND LOGIN_NAME FIELDS TO BE DIFFERENT

    Microsoft Entra SCIM 사용자 프로비전에서 Snowflake 사용자 지정 확장 특성을 설정하는 방법은 여기에 설명되어 있습니다.

  11. 매핑 섹션에서 Microsoft Entra 그룹을 Snowflake에 동기화를 선택합니다.

  12. 특성 매핑 섹션에서 Microsoft Entra ID에서 Snowflake로 동기화되는 그룹 특성을 검토합니다. 일치 속성으로 선택한 특성은 업데이트 작업을 위해 Snowflake의 그룹을 일치시키는 데 사용됩니다. 저장 단추를 선택하여 변경 내용을 커밋합니다.

    Attribute Type
    displayName 문자열
    구성원 참조

  13. 범위 지정 필터를 구성하려면 범위 지정 필터 자습서의 지침을 참조하세요.

  14. Snowflake에 대한 Microsoft Entra 프로비전 서비스를 사용하도록 설정하려면 설정 섹션에서 프로비전 상태를 켜기로 변경합니다.

    프로비전 상태가 켜기로 전환된 것을 보여주는 스크린샷

  15. 설정 섹션의 범위에서 원하는 값을 선택하여 Snowflake에 프로비저닝하려는 사용자 및/또는 그룹을 정의합니다.

    이 옵션을 사용할 수 없는 경우 관리자 자격 증명에서 필수 필드를 구성하고 저장을 클릭한 다음, 페이지를 새로 고칩니다.

    프로비저닝 범위 옵션을 보여주는 스크린샷

  16. 프로비저닝할 준비가 되면 저장을 선택합니다.

    프로비저닝 구성을 저장하는 단추의 스크린샷

이 작업은 설정 섹션의 범위에 정의된 모든 사용자 및 그룹의 첫 번째 동기화를 시작합니다. 초기 동기화를 수행하는 경우 후속 동기화보다 더 오랜 시간이 걸립니다. 후속 동기화는 Microsoft Entra 프로비저닝 서비스가 실행되는 동안 약 40분 간격으로 발생합니다.

6단계: 배포 모니터링

프로비저닝이 구성되면 다음 리소스를 사용하여 배포를 모니터링합니다.

커넥터 제한 사항

Snowflake 생성 SCIM 토큰은 6개월 후에 만료됩니다. 프로비저닝 동기화를 계속 작동하려면 토큰이 만료되기 전에 갱신해야 합니다.

문제 해결 팁

Microsoft Entra 프로비저닝 서비스는 현재 특정 IP 범위에서 작동합니다. 필요한 경우 다른 IP 범위를 제한하고 해당 IP 범위를 애플리케이션의 허용 목록에 추가할 수 있습니다. 이 기술은 Microsoft Entra 프로비저닝 서비스에서 애플리케이션으로의 트래픽 흐름을 허용합니다.

로그 변경

  • 2020/07/21: 활성 특성을 통해 모든 사용자에 대해 일시 삭제를 사용합니다.
  • 2022년 10월 12일: Snowflake SCIM 구성이 업데이트되었습니다.

추가 리소스

다음 단계