Partilhar via

Tutorial: Configurar o Snowflake para provisionamento automático de usuários

  • Artigo

Este tutorial demonstra as etapas que você executa no Snowflake e no Microsoft Entra ID para configurar o Microsoft Entra ID para provisionar e desprovisionar automaticamente usuários e grupos para o Snowflake. Para obter detalhes importantes sobre o que esse serviço faz, como funciona e perguntas frequentes, consulte O que é o provisionamento automatizado de usuários de aplicativos SaaS no Microsoft Entra ID?.

Capacidades suportadas

  • Criar usuários no Snowflake
  • Remover usuários no Snowflake quando eles não precisarem mais de acesso
  • Manter os atributos do usuário sincronizados entre o Microsoft Entra ID e o Snowflake
  • Provisionar grupos e associações de grupos no Snowflake
  • Permitir logon único no Snowflake (recomendado)

Pré-requisitos

O cenário descrito neste tutorial pressupõe que você já tenha os seguintes pré-requisitos:

Etapa 1: Planejar a implantação do provisionamento

  1. Saiba como funciona o serviço de aprovisionamento.
  2. Determine quem vai estar no âmbito do aprovisionamento.
  3. Determine quais dados mapear entre o Microsoft Entra ID e o Snowflake.

Etapa 2: Configurar o Snowflake para dar suporte ao provisionamento com a ID do Microsoft Entra

Antes de configurar o Snowflake para provisionamento automático de usuários com o Microsoft Entra ID, você precisa habilitar o provisionamento do System for Cross-domain Identity Management (SCIM) no Snowflake.

  1. Entre no Snowflake como administrador e execute o seguinte a partir da interface de planilha do Snowflake ou do SnowSQL.

    use role accountadmin;

 create role if not exists aad_provisioner;
 grant create user on account to role aad_provisioner;
 grant create role on account to role aad_provisioner;
grant role aad_provisioner to role accountadmin;
 create or replace security integration aad_provisioning
     type = scim
     scim_client = 'azure'
     run_as_role = 'AAD_PROVISIONER';
 select system$generate_scim_access_token('AAD_PROVISIONING');

  2. Use a função ACCOUNTADMIN.

    Captura de tela de uma planilha na interface do usuário do Snowflake com o token de acesso SCIM chamado.

  3. Crie a função personalizada AAD_PROVISIONER. Todos os usuários e funções no Snowflake criados pelo ID do Microsoft Entra serão de propriedade da função de AAD_PROVISIONER com escopo reduzido.

    Captura de tela mostrando a função personalizada.

  4. Permita que a função ACCOUNTADMIN crie a integração de segurança usando a função personalizada AAD_PROVISIONER.

    Captura de tela mostrando as integrações de segurança.

  5. Crie e copie o token de autorização para a área de transferência e armazene com segurança para uso posterior. Use esse token para cada solicitação SCIM REST API e coloque-o no cabeçalho da solicitação. O token de acesso expira após seis meses e um novo token de acesso pode ser gerado com esta instrução.

    Captura de tela mostrando a geração de tokens.

Adicione o Snowflake da galeria de aplicativos do Microsoft Entra para começar a gerenciar o provisionamento no Snowflake. Se você configurou anteriormente o Snowflake para logon único (SSO), poderá usar o mesmo aplicativo. No entanto, recomendamos que você crie um aplicativo separado quando estiver testando inicialmente a integração. Saiba mais sobre como adicionar um aplicativo da galeria.

Etapa 4: Definir quem estará no escopo do provisionamento

O serviço de provisionamento do Microsoft Entra permite definir o escopo de quem será provisionado com base na atribuição ao aplicativo ou com base nos atributos do usuário ou grupo. Se você optar por definir o escopo de quem será provisionado para seu aplicativo com base na atribuição, poderá usar as etapas para atribuir usuários e grupos ao aplicativo. Se você optar por definir o escopo de quem será provisionado com base apenas nos atributos do usuário ou grupo, poderá usar um filtro de escopo.

Tenha estas dicas em mente:

  • Ao atribuir usuários e grupos ao Snowflake, você deve selecionar uma função diferente de Acesso padrão. Os utilizadores com a função Acesso Predefinido são excluídos do aprovisionamento e marcados como não autorizados de forma efetiva nos registos de aprovisionamento. Se a única função disponível no aplicativo for a função Acesso Padrão, você poderá atualizar o manifesto do aplicativo para adicionar mais funções.

  • Se precisar de funções adicionais, você pode atualizar o manifesto do aplicativo para adicionar novas funções.

Etapa 5: Configurar o provisionamento automático de usuários para o Snowflake

Esta seção orienta você pelas etapas para configurar o serviço de provisionamento do Microsoft Entra para criar, atualizar e desabilitar usuários e grupos no Snowflake. Você pode basear a configuração em atribuições de usuário e grupo no Microsoft Entra ID.

Para configurar o provisionamento automático de usuários para o Snowflake na ID do Microsoft Entra:

  1. Entre no centro de administração do Microsoft Entra como pelo menos um administrador de aplicativos na nuvem.

  2. Navegue até Aplicativos de identidade>>Aplicativos corporativos.

    Captura de ecrã que mostra o painel Aplicações empresariais.

  3. Na lista de aplicativos, selecione Flocos de neve.

    Captura de ecrã que mostra uma lista de aplicações.

  4. Selecione o separador Aprovisionamento.

    Captura de tela das opções Gerenciar com a opção Provisionamento destacada.

  5. Defina o Modo de provisionamento como Automático.

    Captura de tela da lista suspensa Modo de provisionamento com a opção Automático destacada.

  6. Na seção Credenciais de administrador, insira a URL base do SCIM 2.0 e o token de autenticação recuperados anteriormente nas caixas URL do locatário e Token secreto, respectivamente.

    Nota

    O ponto de extremidade SCIM do Snowflake consiste no URL da conta do Snowflake anexado com /scim/v2/. Por exemplo, se o nome da sua conta do Snowflake estiver acme e a sua conta do east-us-2 Snowflake estiver na região do Azure, o valor da URL do Locatário será https://acme.east-us-2.azure.snowflakecomputing.com/scim/v2.

    Selecione Testar conexão para garantir que o Microsoft Entra ID possa se conectar ao Snowflake. Se a conexão falhar, verifique se sua conta do Snowflake tem permissões de administrador e tente novamente.

    Captura de tela que mostra caixas para URL do locatário e token secreto, juntamente com o botão Testar Conexão.

  7. Na caixa Email de notificação, digite o endereço de e-mail de uma pessoa ou grupo que deve receber as notificações de erro de provisionamento. Em seguida, marque a caixa de seleção Enviar uma notificação por e-mail quando ocorrer uma falha.

    Captura de tela que mostra caixas para e-mail de notificação.

  8. Selecione Guardar.

  9. Na seção Mapeamentos, selecione Sincronizar usuários do Microsoft Entra com o Snowflake.

  10. Analise os atributos de usuário sincronizados do ID do Microsoft Entra para o Snowflake na seção Mapeamento de Atributos. Os atributos selecionados como propriedades correspondentes são usados para corresponder às contas de usuário no Snowflake para operações de atualização. Selecione o botão Salvar para confirmar as alterações.

    Atributo Type
    active Boolean
    displayName String
    emails[type eq "work"].value String
    nome de utilizador String
    name.givenName String
    name.familyName String
    externalId String

    Nota

    O Snowflake suportava atributos de usuário de extensão personalizados durante o provisionamento SCIM:

    • DEFAULT_ROLE
    • DEFAULT_WAREHOUSE
    • DEFAULT_SECONDARY_ROLES
    • O NOME DO FLOCO DE NEVE E OS CAMPOS DE LOGIN_NAME SEJAM DIFERENTES

    Como configurar atributos de extensão personalizada do Snowflake no provisionamento de usuário do Microsoft Entra SCIM é explicado aqui.

  11. Na seção Mapeamentos, selecione Sincronizar grupos do Microsoft Entra com o Snowflake.

  12. Analise os atributos de grupo sincronizados do Microsoft Entra ID para o Snowflake na seção Mapeamento de Atributos. Os atributos selecionados como propriedades correspondentes são usados para corresponder aos grupos no Snowflake para operações de atualização. Selecione o botão Salvar para confirmar as alterações.

    Atributo Type
    displayName String
    membros Referência

  13. Para configurar filtros de escopo, consulte as instruções no tutorial Filtro de escopo.

  14. Para habilitar o serviço de provisionamento do Microsoft Entra para Snowflake, altere Status de provisionamento para Ativado na seção Configurações .

    Captura de tela que mostra o Status de Provisionamento ativado.

  15. Defina os usuários e grupos que você deseja provisionar para o Snowflake escolhendo os valores desejados em Escopo na seção Configurações.

    Se essa opção não estiver disponível, configure os campos obrigatórios em Credenciais de administrador, selecione Salvar e atualize a página.

    Captura de tela que mostra as opções para o escopo de provisionamento.

  16. Quando estiver pronto para provisionar, selecione Salvar.

    Captura de tela do botão para salvar uma configuração de provisionamento.

Esta operação inicia a sincronização inicial de todos os usuários e grupos definidos em Escopo na seção Configurações. A sincronização inicial leva mais tempo para ser executada do que as sincronizações subsequentes. As sincronizações subsequentes ocorrem a cada 40 minutos, desde que o serviço de provisionamento do Microsoft Entra esteja em execução.

Etapa 6: Monitorar sua implantação

Depois de configurar o provisionamento, use os seguintes recursos para monitorar sua implantação:

  • Use os logs de provisionamento para determinar quais usuários foram provisionados com ou sem êxito.
  • Verifique a barra de progresso para ver o status do ciclo de provisionamento e quão perto ele está da conclusão.
  • Se a configuração de aprovisionamento parecer estar num mau estado de funcionamento, a aplicação vai entrar em quarentena. Saiba mais sobre os estados de quarentena.

Limitações do conector

Os tokens SCIM gerados por flocos de neve expiram em 6 meses. Lembre-se de que você precisa atualizar esses tokens antes que eles expirem, para permitir que as sincronizações de provisionamento continuem funcionando.

Sugestões de resolução de problemas

O serviço de provisionamento Microsoft Entra opera atualmente em intervalos de IP específicos. Se necessário, você pode restringir outros intervalos de IP e adicionar esses intervalos de IP específicos à lista de permissões do seu aplicativo. Essa técnica permitirá o fluxo de tráfego do serviço de provisionamento do Microsoft Entra para seu aplicativo.

Registo de alterações

  • 21/07/2020: Habilitado soft-delete para todos os usuários (através do atributo ativo).
  • 10/12/2022: Configuração SCIM Snowflake atualizada.

Recursos adicionais

Próximos passos