Création d'une connexion à une source de QuickSight données Amazon à Snowflake avec OAuth informations d’identification client

Vous pouvez utiliser … OAuth informations d'identification client pour connecter votre QuickSight compte à Snowflake via le. QuickSight APIs OAuthest un protocole d'autorisation standard souvent utilisé pour les applications soumises à des exigences de sécurité avancées. Lorsque vous vous connectez à Snowflake avec les informations d'identification OAuth du client, vous pouvez créer des ensembles de données contenant des données Snowflake avec et dans l' QuickSight APIs interface utilisateur. QuickSight Pour plus d'informations sur la configuration OAuth dans Snowflake, voir Snowflake OAuth vue d'ensemble.

QuickSight soutient le client credentials OAuth type de subvention. OAuth les informations d'identification du client sont utilisées pour obtenir un jeton d'accès pour machine-to-machine la communication. Cette méthode convient aux scénarios dans lesquels un client doit accéder à des ressources hébergées sur un serveur sans l'intervention d'un utilisateur.

Dans le flux d'informations d'identification du client de OAuth 2.0, il existe plusieurs mécanismes d'authentification client qui peuvent être utilisés pour authentifier l'application cliente auprès du serveur d'autorisation. QuickSight prend en charge les informations d'identification des clients OAuth pour Snowflake pour les deux mécanismes suivants :

• Jeton (basé sur les secrets du client) OAuth)  : Le mécanisme d'authentification client basé sur le secret est utilisé avec les informations d'identification du client pour accorder le flux afin de s'authentifier auprès du serveur d'autorisation. Ce schéma d'authentification nécessite client_id la client_secret fin du OAuth application cliente à stocker dans Secrets Manager.

• X509 (clé privée du client basée sur JWT) OAuth)  : La solution basée sur les clés de certificat X509 fournit une couche de sécurité supplémentaire au OAuth mécanisme avec des certificats clients utilisés pour authentifier au lieu de secrets clients. Cette méthode est principalement utilisée par les clients privés qui utilisent cette méthode pour s'authentifier auprès du serveur d'autorisation avec une forte confiance entre les deux services.

QuickSight a validé OAuth connexions avec les fournisseurs d'identité suivants :

• OKTA

• PingFederate

Stockage OAuth informations d'identification dans Secrets Manager

OAuth les informations d'identification du client sont destinées à des cas d' machine-to-machineutilisation et ne sont pas conçues pour être interactives. Pour créer une connexion à une source de données entre Snowflake QuickSight et Snowflake, créez un nouveau secret dans Secrets Manager contenant vos informations d'identification pour OAuth application client. L'ARN secret créé avec le nouveau secret peut être utilisé pour créer des ensembles de données contenant des données Snowflake. QuickSight Pour plus d'informations sur l'utilisation des clés Secrets Manager dans QuickSight, consultezUtiliser des AWS Secrets Manager secrets au lieu des informations d'identification de base de données sur Amazon QuickSight.

Les informations d'identification que vous devez stocker dans Secrets Manager sont déterminées par OAuth mécanisme que vous utilisez. Les paires clé/valeur suivantes sont requises pour les modèles basés sur X509 OAuth secrets :

• username: le nom d'utilisateur du compte Snowflake à utiliser lors de la connexion à Snowflake

• client_id: Le OAuth identifiant du client

• client_private_key: Le OAuth clé privée du client

• client_public_key: Le OAuth la clé publique du certificat client et son algorithme chiffré (par exemple,{"alg": "RS256", "kid", "cert_kid"})

Les paires clé/valeur suivantes sont requises pour les jeux basés sur des jetons OAuth secrets :

• username: le nom d'utilisateur du compte Snowflake à utiliser lors de la connexion à Snowflake

• client_id: Le OAuth identifiant du client

• client_secret: le OAuth secret client

Création d'un flocon de neige OAuth connexion avec le QuickSight APIs

Après avoir créé un secret contenant votre flocon de neige dans Secrets Manager OAuth après avoir connecté votre QuickSight compte à Secrets Manager, vous pouvez établir une connexion à une source de données entre Snowflake QuickSight et le QuickSight APIs SDK. L'exemple suivant crée une connexion à une source de données Snowflake à l'aide d'un jeton OAuth informations d'identification du client.

{
    "AwsAccountId": "AWSACCOUNTID",
    "DataSourceId": "UNIQUEDATASOURCEID",
    "Name": "NAME",
    "Type": "SNOWFLAKE",
    "DataSourceParameters": {
        "SnowflakeParameters": {
            "Host": "HOSTNAME",
            "Database": "DATABASENAME",
            "Warehouse": "WAREHOUSENAME",
            "AuthenticationType": "TOKEN",
            "DatabaseAccessControlRole": "snowflake-db-access-role-name",
            "OAuthParameters": {
              "TokenProviderUrl": "oauth-access-token-endpoint", 
              "OAuthScope": "oauth-scope",
              "IdentityProviderResourceUri" : "resource-uri",
              "IdentityProviderVpcConnectionProperties" : {
                "VpcConnectionArn": "IdP-VPC-connection-ARN" 
             }
        }
    },
    "VpcConnectionProperties": {
        "VpcConnectionArn": "VPC-connection-ARN-for-Snowflake"
    }
    "Credentials": {
        "SecretArn": "oauth-client-secret-ARN"
    }
}

Pour plus d'informations sur le fonctionnement de l' CreateDatasource API, consultez CreateDataSource.

Une fois que la connexion entre Snowflake QuickSight et Snowflake est établie et qu'une source de données est créée avec le SDK QuickSight APIs or, la nouvelle source de données est affichée dans. QuickSight QuickSight les auteurs peuvent utiliser cette source de données pour créer des ensembles de données contenant des données Snowflake. Les tableaux sont affichés en fonction du rôle utilisé dans le DatabaseAccessControlRole paramètre transmis lors d'un appel d'CreateDataSourceAPI. Si ce paramètre n'est pas défini lors de la création de la connexion à la source de données, le rôle Snowflake par défaut est utilisé.

Une fois que vous avez créé avec succès une connexion à une source de données entre votre compte QuickSight et votre compte Snowflake, vous pouvez commencer à créer des QuickSight ensembles de données contenant des données Snowflake.