3
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

More than 3 years have passed since last update.

[Snowflake] AWS PrivateLink経由でAzure ADのSSOを利用する

Last updated at Posted at 2021-08-09

はじめに

以前、SnowflakeでAWS PrivateLinkを利用するための記事を作成しました。
今回はさらに、PrivateLink経由でAzureADのSSOを利用してみようと思います。
本記事は以下記事の内容が東京リージョンの環境で実施済みであることを前提としています。

以下のイメージの通り、ユーザとSnowflakeの間をPrivateLinkで閉域化し、ユーザとAzureADの間はインターネット接続とします。

image.png

SSOでPrivatelinkを使う場合、単純に上図の緑線の通信をPrivatelink用のドメイン名に変更すればよいだけのように思えます。
詳細は省きますが実際に試してみたところ、ブラウザからSnowflakeのログイン画面を開き、Azure ADのユーザでログインしようとしたところ以下のエラーが出て失敗しました。

AADSTS700016: Application with identifier 'https://XX12345.ap-northeast-1.aws.snowflakecomputing.com' was not found in the directory 'XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX'. This can happen if the application has not been installed by the administrator of the tenant or consented to by any user in the tenant. You may have sent your authentication request to the wrong tenant.

image.png

Snowflakeサポートに問い合わせてみた結果、PrivateLink下でSSOを利用するには、「SAML2.0セキュリティ統合(SAML2 Security Integration)」を設定する必要があるとのことでした。

「SAML2.0セキュリティ統合」は、SAMLアサーションの暗号化を行う処理のようです。
PrivateLink下でSSOを利用する際は必須の処理のようです。

インターネット経由でのSSOではこのセキュリティ統合が不要なのに対して、PrivateLink経由でのSSOでは必要な理由がよくわかりませんが、Snowflakeの仕様だと捉えることにします。

「SAML2.0セキュリティ統合」の手順は以下に記載されています。本記事は以下URLの手順に依拠しています。

1. Azure AD の設定値確認

まずAzure ADから「エンタープライズアプリケーション」→「Snowflake for AAD」→「シングルサインオン」とたどっていき、表示される「Azure AD 識別子」の値をコピーします。

image.png

2. Snowflakeで[SAML2.0セキュリティ統合]のセットアップ

image.png

Snowflakeのワークシートを開き、以下のクエリを環境毎の値に読み替えて実行します。

use role accountadmin;
select system$migrate_saml_idp_registration('azureadsaml2integration', 'https://sts.windows.net/XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX/');  
alter security integration azureadsaml2integration set saml2_snowflake_acs_url = 'https://xx12345.ap-northeast-1.privatelink.snowflakecomputing.com/fed/login';
alter security integration azureadsaml2integration set saml2_snowflake_issuer_url = 'https://xx12345.ap-northeast-1.privatelink.snowflakecomputing.com';

各クエリを簡単に説明します。

select system$migrate_saml_idp_registration('azureadsaml2integration', 'https://sts.windows.net/XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX/');

alter security integration azureadsaml2integration set saml2_snowflake_acs_url = 'https://xx12345.ap-northeast-1.privatelink.snowflakecomputing.com/fed/login';

  • ACS(Assertion Consumer Service) URL をprivatelink用のものに変更します。
    • アカウントロケータの部分はご自身の環境に読み替えてください。

alter security integration azureadsaml2integration set saml2_snowflake_issuer_url = 'https://xx12345.ap-northeast-1.privatelink.snowflakecomputing.com';

  • issuer URL をprivatelink用のものに変更します。
    • アカウントロケータの部分はご自身の環境に読み替えてください。

3. AzureADでSnowflakeのURLをPrivateLink用に変更

Azureポータルにログインし、「Azure AD」→「エンタープライズアプリケーション」→「Snowflake for AAD」を開きます。

「シングルサインオン」→「基本的なSAML構成」の編集をクリックし、「識別子」と「応答URL」をprivatelink用のURLに変更し、保存します。

image.png

対象 PrivateLink用の値
識別子 https://xx12345.ap-northeast-1.privatelink.snowflakecomputing.com
応答URL https://xx12345.ap-northeast-1.privatelink.snowflakecomputing.com/fed/login

※アカウントロケータの部分(xx12345)はご自身の環境に読み替えてください。

4. 動作確認

ブラウザからprivatelink用のドメインを使ってSnowflakeログイン画面を開きます。

image.png

「Azure ADを使用してサインイン」からAzureADのユーザとパスワードを入力すると、Snowflakeのコンソールログインできました。

image.png

リダイレクト後のURLもprivatelink用のドメインになっており、閉域でSnowflakeに接続できていることがわかります。

以上です。

3
0
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
3
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?