Creazione di una connessione di origine QuickSight dati Amazon a Snowflake con OAuth le credenziali del client

Puoi utilizzare le credenziali OAuth del client per connettere il tuo QuickSight account a Snowflake tramite. QuickSight APIs OAuthè un protocollo di autorizzazione standard che viene spesso utilizzato per applicazioni con requisiti di sicurezza avanzati. Quando ti connetti a Snowflake con le credenziali OAuth del client, puoi creare set di dati contenenti dati Snowflake con e nell'interfaccia utente. QuickSight APIs QuickSight Per ulteriori informazioni sulla configurazione OAuth in Snowflake, consulta la panoramica. Snowflake OAuth

QuickSight supporta il tipo di sovvenzione client credentialsOAuth. OAuthle credenziali del client vengono utilizzate per ottenere un token di accesso per la machine-to-machine comunicazione. Questo metodo è adatto per scenari in cui un client deve accedere alle risorse ospitate su un server senza il coinvolgimento di un utente.

Nel flusso delle credenziali client della OAuth versione 2.0, esistono diversi meccanismi di autenticazione client che possono essere utilizzati per autenticare l'applicazione client con il server di autorizzazione. QuickSight supporta le credenziali client basate su Snowflake OAuth per i due meccanismi seguenti:

• Token (basato su segreti del clientOAuth): il meccanismo di autenticazione client basato su segreti viene utilizzato con le credenziali del client per concedere il flusso necessario all'autenticazione con il server di autorizzazione. Questo schema client_secret di autenticazione richiede che client_id l'app OAuth client sia archiviata in Secrets Manager.

• X509 (chiave privata del client basata su JWTOAuth): la soluzione basata su chiavi di certificato X509 fornisce un ulteriore livello di sicurezza al OAuth meccanismo con certificati client che vengono utilizzati per l'autenticazione anziché i segreti del client. Questo metodo viene utilizzato principalmente dai client privati che lo utilizzano per autenticarsi con il server di autorizzazione con un forte rapporto di fiducia tra i due servizi.

QuickSight ha convalidato OAuth le connessioni con i seguenti provider di identità:

• OKTA

• PingFederate

Memorizzazione OAuth delle credenziali in Secrets Manager

OAuth Le credenziali del client sono pensate per casi machine-to-machine d'uso e non sono progettate per essere interattive. Per creare una connessione all'origine dati tra QuickSight e Snowflake, crea un nuovo segreto in Secrets Manager che contenga le credenziali per l'app client. OAuth L'ARN segreto creato con il nuovo segreto può essere utilizzato per creare set di dati che contengono dati Snowflake in. QuickSight Per ulteriori informazioni sull'utilizzo delle chiavi di Secrets Manager in QuickSight, vedereUtilizzo di AWS Secrets Manager segreti anziché credenziali del database in Amazon QuickSight.

Le credenziali da archiviare in Secrets Manager sono determinate dal OAuth meccanismo utilizzato. Le seguenti key/value coppie sono necessarie per i segreti basati su X509OAuth:

• username: Il nome utente dell'account Snowflake da utilizzare per la connessione a Snowflake

• client_id: L'ID del client OAuth

• client_private_key: La chiave privata OAuth del client

• client_public_key: la chiave pubblica OAuth del certificato client e il relativo algoritmo crittografato (ad esempio,{"alg": "RS256", "kid", "cert_kid"})

Le seguenti key/value coppie sono necessarie per i segreti basati su tokenOAuth:

• username: Il nome utente dell'account Snowflake da utilizzare per la connessione a Snowflake

• client_id: L'ID del client OAuth

• client_secret: il segreto OAuth del cliente

Creazione di una OAuth connessione Snowflake con QuickSight APIs

Dopo aver creato un segreto in Secrets Manager contenente le tue OAuth credenziali Snowflake e aver collegato il tuo account a QuickSight Secrets Manager, puoi stabilire una connessione all'origine dati tra QuickSight e Snowflake con l'SDK and. QuickSight APIs L'esempio seguente crea una connessione a una sorgente dati Sonwflake utilizzando le credenziali del token client. OAuth

{
    "AwsAccountId": "AWSACCOUNTID",
    "DataSourceId": "UNIQUEDATASOURCEID",
    "Name": "NAME",
    "Type": "SNOWFLAKE",
    "DataSourceParameters": {
        "SnowflakeParameters": {
            "Host": "HOSTNAME",
            "Database": "DATABASENAME",
            "Warehouse": "WAREHOUSENAME",
            "AuthenticationType": "TOKEN",
            "DatabaseAccessControlRole": "snowflake-db-access-role-name",
            "OAuthParameters": {
              "TokenProviderUrl": "oauth-access-token-endpoint", 
              "OAuthScope": "oauth-scope",
              "IdentityProviderResourceUri" : "resource-uri",
              "IdentityProviderVpcConnectionProperties" : {
                "VpcConnectionArn": "IdP-VPC-connection-ARN" 
             }
        }
    },
    "VpcConnectionProperties": {
        "VpcConnectionArn": "VPC-connection-ARN-for-Snowflake"
    }
    "Credentials": {
        "SecretArn": "oauth-client-secret-ARN"
    }
}

Per ulteriori informazioni sul funzionamento dell' CreateDatasource API, vedere. CreateDataSource

Una volta stabilita la connessione tra QuickSight e Snowflake e creata un'origine dati con l'SDK QuickSight APIs o, la nuova origine dati viene visualizzata in. QuickSight QuickSight gli autori possono utilizzare questa fonte di dati per creare set di dati che contengono dati Snowflake. Le tabelle vengono visualizzate in base al ruolo utilizzato nel DatabaseAccessControlRole parametro passato in una CreateDataSource chiamata API. Se questo parametro non è definito al momento della creazione della connessione all'origine dati, viene utilizzato il ruolo Snowflake predefinito.

Dopo aver creato con successo una connessione all'origine dati tra il tuo account QuickSight e quello di Snowflake, puoi iniziare a creare QuickSight set di dati che contengono dati Snowflake.