Federação de identidades de carga de trabalho¶

Configuração de AWS¶

Para configurar seu serviço AWS para usar o AWS IAM como seu provedor de identidade, anexe uma função do IAM. Para obter mais informações, consulte a documentação da AWS correspondente à sua carga de trabalho.

• Para o Amazon EC2, consulte Anexar uma função do IAM a uma instância.

• Para o AWS Lambda, consulte Definição de permissões de função do Lambda com uma função de execução.

Configurar o Snowflake¶

Para configurar o Snowflake, crie um usuário de serviço do Snowflake (ou seja, um usuário do tipo SERVICE) que use a federação de identidades da carga de trabalho para se autenticar com o Snowflake.

Para criar um usuário de serviço para sua carga de trabalho:

1. Faça login no Snowsight.

2. Para abrir a lista de planilhas, selecione Projects » Worksheets.

3. Para abrir uma nova planilha SQL, selecione +.

4. Para criar um usuário de serviço que use a federação de identidades da carga de trabalho para autenticação com o Snowflake, execute uma instrução CREATE USER na planilha:

   CREATE USER <username>
     WORKLOAD_IDENTITY = (
       TYPE = AWS
       ARN = '<amazon_resource_identifier>'
     )
     TYPE = SERVICE
     DEFAULT_ROLE = PUBLIC;
   

   Copy

   Em que ARN é o valor obtido antes de iniciar essas etapas.

Configurar sua carga de trabalho para usar um driver Snowflake¶

Se sua carga de trabalho precisar de um driver Python, conclua as seguintes etapas:

1. Instale o conector Snowflake para Python.

2. No código do aplicativo Python, adicione o seguinte código-fonte:

   import os
   import snowflake.connector
   
   
   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='AWS'
   )
   

   Copy

3. Execute o aplicativo Python. Ele se autentica no Snowflake usando federação de identidades de carga de trabalho.

Configuração de Microsoft Entra ID¶

Um administrador de locatário do Microsoft Entra ID deve concluir as etapas a seguir para permitir o uso da identidade de carga de trabalho do Snowflake. Essas etapas precisam ser executadas apenas uma vez por locatário do Microsoft Entra ID:

1. Efetue login no portal do Microsoft Azure.

2. Certifique-se de ter privilégios de administrador de locatário do Azure.

3. Conceda permissão para instalar o aplicativo Snowflake EntraID multilocatário acessando o URI de consentimento.

   O aplicativo Snowflake EntraID multilocatário é verificado pelo editor e representa o Snowflake como um recurso. O aplicativo é usado como o destinatário do token de acesso durante a autenticação no Snowflake. Esse aplicativo requer apenas permissões básicas e não tem privilégios.

4. Selecione Accept para conceder permissões ao aplicativo Snowflake EntraID.

Configuração de Microsoft Azure¶

Conclua as etapas a seguir para configurar seu serviço do Microsoft Azure para usar a federação de identidade de carga de trabalho:

1. Efetue login no portal do Microsoft Azure.

2. Selecione sua carga de trabalho, como uma máquina virtual ou um serviço de aplicativo.

3. Na barra lateral, navegue até Security » Identity.

4. Habilite uma identidade gerenciada para uma VM do Azure ou uma função do Azure.

5. Salve o Object (Principal) ID para uma etapa posterior.

Configurar o Snowflake¶

Para configurar o Snowflake, crie um usuário de serviço do Snowflake (ou seja, um usuário do tipo SERVICE) que use a federação de identidades da carga de trabalho para se autenticar com o Snowflake.

Para criar um usuário de serviço para sua carga de trabalho:

1. Faça login no Snowsight.

2. Para abrir a lista de planilhas, selecione Projects » Worksheets.

3. Para abrir uma nova planilha SQL, selecione +.

4. Para criar um usuário de serviço que use a federação de identidades da carga de trabalho para autenticação com o Snowflake, execute uma instrução CREATE USER na planilha:

   CREATE USER <username>
     WORKLOAD_IDENTITY = (
       TYPE = AZURE
       ISSUER = 'https://login.microsoftonline.com/<tenant_id>/v2.0'
       SUBJECT = '<managed_identity_object_id>'
     )
     TYPE = SERVICE
     DEFAULT_ROLE = PUBLIC;
   

   Copy

   Em que ISSUER e SUBJECT são os valores obtidos antes de iniciar essas etapas.

Configurar sua carga de trabalho para usar um driver Snowflake¶

Se sua carga de trabalho precisar de um driver Python, conclua as seguintes etapas:

1. Instale o conector Snowflake para Python.

2. No código do aplicativo Python, adicione o seguinte código-fonte:

   import snowflake.connector
   
   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='AZURE'
   )
   

   Copy

3. Execute o aplicativo Python. Ele se autentica no Snowflake usando federação de identidades de carga de trabalho.

Configuração de Google Cloud¶

Para configurar seu serviço para usar o Google Cloud como seu provedor de identidade, anexe uma conta de serviço à sua instância do GCE ou do Cloud Run.

Configurar o Snowflake¶

Para configurar o Snowflake, crie um usuário de serviço do Snowflake (ou seja, um usuário do tipo SERVICE) que use a federação de identidades da carga de trabalho para se autenticar com o Snowflake.

gcloud iam service-accounts describe "<SERVICE_ACCOUNT_EMAIL_ADDRESS>" --format="value(uniqueId)"

Para criar um usuário de serviço para sua carga de trabalho:

1. Faça login no Snowsight.

2. Para abrir a lista de planilhas, selecione Projects » Worksheets.

3. Para abrir uma nova planilha SQL, selecione +.

4. Para criar um usuário de serviço que use a federação de identidades da carga de trabalho para autenticação com o Snowflake, execute uma instrução CREATE USER na planilha:

   CREATE USER <username>
     WORKLOAD_IDENTITY = (
       TYPE = GCP
       SUBJECT = '<unique_id_of_service_account>'
     )
     TYPE = SERVICE
     DEFAULT_ROLE = PUBLIC;
   

   Copy

   Em que SUBJECT é o valor obtido antes de iniciar essas etapas.

Configurar sua carga de trabalho para usar um driver Snowflake¶

Se sua carga de trabalho precisar de um driver Python, conclua as seguintes etapas:

1. Instale o conector Snowflake para Python.

2. No código do aplicativo Python, adicione o seguinte código-fonte:

   import snowflake.connector
   
   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='GCP'
   )
   

   Copy

3. Execute o aplicativo Python. Ele se autentica no Snowflake usando federação de identidades de carga de trabalho.

Configuração de EKS¶

1. Configure o EKS para emitir tokens de ID compatíveis com o Snowflake.

   1. Configure o YAML de implantação do pod para incluir um volume de token ServiceAccount projetado.

   2. Configure os tokens de ID para conter uma declaração de público com snowflakecomputing.com.

      A seguir, um exemplo de configuração de YAML com o público adequado:

      kind: Pod
      metadata:
        name: nginx
      spec:
        containers:
        - image: nginx
          name: nginx
          volumeMounts:
          - mountPath: /var/run/secrets/tokens
            name: snowflake-token
        serviceAccountName: build-robot
        volumes:
        - name: snowflake-token
          projected:
            sources:
            - serviceAccountToken:
                path: snowflake-token
                expirationSeconds: 7200
                audience: snowflakecomputing.com
      

      Copy

Configurar o Snowflake¶

Para configurar o Snowflake, crie um usuário de serviço do Snowflake (ou seja, um usuário do tipo SERVICE) que use a federação de identidades da carga de trabalho para se autenticar com o Snowflake.

Para criar um usuário de serviço para sua carga de trabalho:

1. Faça login no Snowsight.

2. Para abrir a lista de planilhas, selecione Projects » Worksheets.

3. Para abrir uma nova planilha SQL, selecione +.

4. Para criar um usuário de serviço que use a federação de identidades da carga de trabalho para autenticação com o Snowflake, execute uma instrução CREATE USER na planilha:

   CREATE USER my_eks_service
     WORKLOAD_IDENTITY = (
       TYPE = OIDC
       ISSUER = 'https://oidc.eks.<region>.amazonaws.com/id/<issuer_id>'
       SUBJECT = 'system:serviceaccount:<service_account_namespace>:<service_account_name>'
     )
     TYPE = SERVICE;
   

   Copy

   Em que ISSUER e SUBJECT são os valores obtidos antes de iniciar essas etapas.

Configurar sua carga de trabalho para usar um driver Snowflake¶

Se sua carga de trabalho precisar de um driver Python, conclua as seguintes etapas:

1. Instale o conector Snowflake para Python.

2. No código do aplicativo Python, adicione o seguinte código-fonte:

   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='OIDC',
     token_file_path='<service_account_token_path>'
   )
   

   Copy

   Em que service_account_token_path é o token criado na etapa Configuração de EKS. Com base no exemplo do YAML dessa etapa, o caminho do token seria /var/run/secrets/tokens/snowflake-token.

3. Execute o aplicativo Python. Ele se autentica no Snowflake usando federação de identidades de carga de trabalho.

Configuração de AKS¶

Configure o AKS para emitir tokens de ID compatíveis com o Snowflake:

1. Habilite o emissor do OIDC no seu cluster AKS.

2. Configure o AKS para emitir tokens de ID compatíveis com o Snowflake.

   1. Configure o YAML de implantação do pod para incluir um volume de token ServiceAccount projetado.

   2. Configure os tokens de ID para conter uma declaração de público com snowflakecomputing.com.

      A seguir, um exemplo de configuração de YAML com o público adequado:

      kind: Pod
      metadata:
        name: nginx
      spec:
        containers:
        - image: nginx
          name: nginx
          volumeMounts:
          - mountPath: /var/run/secrets/tokens
            name: snowflake-token
        serviceAccountName: build-robot
        volumes:
        - name: snowflake-token
          projected:
            sources:
            - serviceAccountToken:
                path: snowflake-token
                expirationSeconds: 7200
                audience: snowflakecomputing.com
      

      Copy

Configurar o Snowflake¶

Para configurar o Snowflake, crie um usuário de serviço do Snowflake (ou seja, um usuário do tipo SERVICE) que use a federação de identidades da carga de trabalho para se autenticar com o Snowflake.

Para criar um usuário de serviço para sua carga de trabalho:

1. Faça login no Snowsight.

2. Para abrir a lista de planilhas, selecione Projects » Worksheets.

3. Para abrir uma nova planilha SQL, selecione +.

4. Para criar um usuário de serviço que use a federação de identidades da carga de trabalho para autenticação com o Snowflake, execute uma instrução CREATE USER na planilha:

   CREATE USER my_aks_service
     WORKLOAD_IDENTITY = (
       TYPE = OIDC
       ISSUER = 'https://<region>.oic.prod-aks.azure.com/<tenant_id>/<uuid>/'
       SUBJECT = 'system:serviceaccount:<service_account_namespace>:<service_account_name>'
     )
     TYPE = SERVICE;
   

   Copy

   Em que ISSUER e SUBJECT são os valores obtidos antes de iniciar essas etapas.

Configurar sua carga de trabalho para usar um driver Snowflake¶

Se sua carga de trabalho precisar de um driver Python, conclua as seguintes etapas:

1. Instale o conector Snowflake para Python.

2. No código do aplicativo Python, adicione o seguinte código-fonte:

   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='OIDC',
     token_file_path='<service_account_token_path>'
   )
   

   Copy

   Em que service_account_token_path é o token criado na etapa Configuração de AKS. Com base no exemplo do YAML dessa etapa, o caminho do token seria /var/run/secrets/tokens/snowflake-token.

3. Execute o aplicativo Python. Ele se autentica no Snowflake usando federação de identidades de carga de trabalho.

Configuração de GKE¶

1. Configure o GKE para emitir tokens de ID compatíveis com o Snowflake.

   1. Configure o YAML de implantação do pod para incluir um volume de token ServiceAccount projetado.

   2. Configure os tokens de ID para conter uma declaração de público com snowflakecomputing.com.

      A seguir, um exemplo de configuração de YAML com o público adequado:

      kind: Pod
      metadata:
        name: nginx
      spec:
        containers:
        - image: nginx
          name: nginx
          volumeMounts:
          - mountPath: /var/run/secrets/tokens
            name: snowflake-token
        serviceAccountName: build-robot
        volumes:
        - name: snowflake-token
          projected:
            sources:
            - serviceAccountToken:
                path: snowflake-token
                expirationSeconds: 7200
                audience: snowflakecomputing.com
      

      Copy

Configurar o Snowflake¶

Para configurar o Snowflake, crie um usuário de serviço do Snowflake (ou seja, um usuário do tipo SERVICE) que use a federação de identidades da carga de trabalho para se autenticar com o Snowflake.

Para criar um usuário de serviço para sua carga de trabalho:

1. Faça login no Snowsight.

2. Para abrir a lista de planilhas, selecione Projects » Worksheets.

3. Para abrir uma nova planilha SQL, selecione +.

4. Para criar um usuário de serviço que use a federação de identidades da carga de trabalho para autenticação com o Snowflake, execute uma instrução CREATE USER na planilha:

   CREATE USER my_gke_service
     WORKLOAD_IDENTITY = (
       TYPE = OIDC
       ISSUER = 'https://container.googleapis.com/v1/projects/<project_id>/locations/<region>/clusters/<cluster_name>'
       SUBJECT = 'system:serviceaccount:<service_account_namespace>:<service_account_name>'
     )
     TYPE = SERVICE;
   

   Copy

   Em que ISSUER e SUBJECT são os valores obtidos antes de iniciar essas etapas.

Configurar sua carga de trabalho para usar um driver Snowflake¶

Se sua carga de trabalho precisar de um driver Python, conclua as seguintes etapas:

1. Instale o conector Snowflake para Python.

2. No código do aplicativo Python, adicione o seguinte código-fonte:

   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='OIDC',
     token_file_path='<service_account_token_path>'
   )
   

   Copy

   Em que service_account_token_path é o token criado na etapa Configuração de GKE. Com base no exemplo do YAML dessa etapa, o caminho do token seria /var/run/secrets/tokens/snowflake-token.

3. Execute o aplicativo Python. Ele se autentica no Snowflake usando federação de identidades de carga de trabalho.

Configurar seu provedor OIDC¶

1. Certifique-se de que seu provedor OIDC seja compatível com a configuração do OpenID, conforme especificado na especificação do Discovery. Tanto a configuração quanto o ponto de extremidade jwks_uri da configuração devem ser acessíveis publicamente.

2. Configure seu provedor OpenID para emitir tokens de ID com uma declaração de público definida como snowflakecomputing.com ou uma lista personalizada não vazia. Se você definir uma lista personalizada não vazia, precisará especificá-la ao criar um usuário de serviço no Snowflake.

Configurar o Snowflake¶

Para configurar o Snowflake, crie um usuário de serviço do Snowflake (ou seja, um usuário do tipo SERVICE) que use a federação de identidades da carga de trabalho para se autenticar com o Snowflake.

ID_TOKEN_PATH=<id_token_path>

JWS_PAYLOAD=$(cat $ID_TOKEN_PATH | jq -R 'split(".") | .[1] | gsub("-";"+") | gsub("_";"/") | @base64d | fromjson')
echo "ISSUER = '$(echo $JWS_PAYLOAD | jq -r .iss)'"
echo "SUBJECT = '$(echo $JWS_PAYLOAD | jq -r .sub)'"

Para criar um usuário de serviço para sua carga de trabalho:

1. Faça login no Snowsight.

2. Para abrir a lista de planilhas, selecione Projects » Worksheets.

3. Para abrir uma nova planilha SQL, selecione +.

4. Para criar um usuário de serviço que use a federação de identidades da carga de trabalho para autenticação com o Snowflake, execute uma instrução CREATE USER na planilha:

   CREATE USER my_custom_service
     WORKLOAD_IDENTITY = (
       TYPE = OIDC
       ISSUER = '<issuer>'
       SUBJECT = '<subject>'
       OIDC_AUDIENCE_LIST = ('<custom_audience>')
     )
     TYPE = SERVICE;
   

   Copy

   Onde:

   • ISSUER e SUBJECT são os valores que você obteve antes de iniciar estas etapas.

   • OIDC_AUDIENCE_LIST é um superconjunto não vazio da declaração de público do token de ID definida em Configurar seu provedor OIDC. Você não precisa especificar OIDC_AUDIENCE_LIST se a declaração de público do token de ID for snowflakecomputing.com.

Configurar sua carga de trabalho para usar um driver Snowflake¶

Se sua carga de trabalho precisar de um driver Python, conclua as seguintes etapas:

1. Instale o conector Snowflake para Python.

2. No código do aplicativo Python, adicione o seguinte código-fonte:

   conn = snowflake.connector.connect(
     account='<snowflake_account>',
     authenticator='WORKLOAD_IDENTITY',
     workload_identity_provider='OIDC',
     token='<id_token>'
   )
   

   Copy

   Em que id_token é um token de ID não expirado recebido do seu provedor OIDC para sua carga de trabalho. Para saber como obter esse token, consulte a documentação do seu provedor OIDC.

3. Execute o aplicativo Python. Ele se autentica no Snowflake usando federação de identidades de carga de trabalho.