Niente più segreti con la federazione delle identità per i workload di Snowflake
Hai difficoltà ad abbandonare l'autenticazione con password? Immagina se potessi parallelamente eliminare la gestione dei segreti. Ora puoi farlo!
Siamo entusiasti di annunciare la GA della la federazione delle identità per i workload (WIF) in Snowflake. Questo segna un passo significativo nel nostro impegno a migliorare la sicurezza e semplificare l'autenticazione per le tue interazioni con Snowflake. Con WIF, puoi ora connettere senza problemi le tue applicazioni e servizi a Snowflake utilizzando le loro identità infrastrutturali esistenti senza gestire credenziali.
La sfida dell'autenticazione tradizionale
Come parte della missione di Snowflake di proteggere i nostri clienti in linea con le migliori pratiche del settore, stiamo lavorando per deprecare le password come unico metodo di autenticazione per gli utenti, dove appropriato. I servizi che si autenticano a Snowflake si sono spesso basati su segreti statici (nomi utente/password). Sebbene siano semplici, questi segreti sono altamente suscettibili a compromissioni se non protetti adeguatamente, e la loro gestione sicura comporta un significativo onere amministrativo.
La federazione delle identità per i workload è la soluzione definitiva per gli utenti dei servizi, fornendo un'esperienza di autenticazione fluida, sicura e moderna che supera le alternative comuni per le connessioni servizio-a-servizio in diversi aspetti chiave.
Che cos'è la federazione delle identità per i workload?
WIF è il metodo di autenticazione raccomandato e preferito di Snowflake per gli utenti di tipo SERVICE, ovvero i tuoi workload automatizzati, applicazioni e strumenti di terze parti. Invece di fare affidamento su segreti a lungo termine, WIF consente ai tuoi servizi di ottenere dinamicamente attestazioni a breve termine utilizzando l’identità dei loro cloud provider, come AWS, Azure o Google Cloud. Supporta anche piattaforme che hanno un fornitore OIDC come Kubernetes e GitHub Actions. Snowflake verifica quindi queste attestazioni direttamente con il fornitore di identità, concedendo accesso senza mai vedere o memorizzare i segreti statici del tuo servizio.
Vantaggi chiave che ti piaceranno
Adottare WIF consente alle tue applicazioni di operare "senza segreti" eliminando la necessità di memorizzare, gestire o ruotare credenziali di accesso a lungo termine di Snowflake. Questo approccio offre i seguenti vantaggi:
Sicurezza avanzata. Con nessun segreto gestito dal cliente da compromettere, la superficie di attacco è notevolmente ridotta. WIF utilizza token effimeri a breve termine, migliorando ulteriormente la tua postura di sicurezza.
Meno complessità. Rispetto ai metodi federati precedenti come External OAuth, WIF semplifica notevolmente la configurazione iniziale e riduce l’overhead di manutenzione continua. Ciò significa integrazione più rapida e meno tempo speso per la gestione dell'autenticazione.
Efficienza dei costi. Centralizza la gestione delle identità riutilizzando le identità dei provider cloud esistenti. Non c'è bisogno di strumenti o licenze aggiuntive per gestire le identità dei servizi specificamente per Snowflake.
Approccio standardizzato. WIF è un metodo di autenticazione ampiamente adottato e incoraggiato dai principali cloud provider per carichi di lavoro esterni.
Dove puoi utilizzare WIF?
WIF è ideale per una vasta gamma di scenari di autenticazione servizio-a-servizio:
Carichi di lavoro personalizzati ospitati nel cloud: Autenticare le applicazioni in esecuzione su AWS EC2 o Lambda utilizzando ruoli IAM, Virtual Machine o Funzioni con identità gestite dal sistema o dall’utente di Azure o istanze di Google Compute Engine e Cloud Run tramite account di servizio.
Pipeline CI/CD: Collega in modo sicuro i tuoi flussi di lavoro di GitHub Actions a Snowflake, consentendo alla tua automazione di interagire con i dati senza codificare le credenziali.
Applicazioni containerizzate: Abilita i carichi di lavoro in esecuzione in Kubernetes ad autenticarsi su Snowflake utilizzando la federazione OIDC.
Processi ETL/ELT e pipeline di dati: Automatizza l'ingestion e la trasformazione dei dati con un'autenticazione robusta e senza segreti.
Oltre a questi scenari, il nostro obiettivo è che i tuoi strumenti di terze parti preferiti, inclusi strumenti BI ed ETL, supportino anche l'autenticazione senza segreti tramite federazione OIDC. Sebbene stiamo collaborando con molti fornitori, ti incoraggiamo a richiedere la partecipazione dei tuoi fornitori di terze parti alla nostra iniziativa senza segreti e a far sì che adottino WIF come metodo di autenticazione preferito per il servizio a servizio verso Snowflake.
Iniziare a utilizzare WIF è semplice
Configurare WIF comporta alcuni passaggi semplici, che richiedono tipicamente la configurazione del tuo cloud provider e la creazione di un utente SERVICE in Snowflake.
Ecco un esempio per connettere un'istanza AWS EC2:
Configura AWS: Allega un ruolo IAM alla tua istanza EC2 in AWS.
Crea l’utente Snowflake: Crea un utente SERVICE in Snowflake e associalo all'ARN del tuo ruolo IAM AWS utilizzando la proprietà WORKLOAD_IDENTITY.
CREATE USER <username>
WORKLOAD_IDENTITY = (
TYPE = AWS
ARN = '<amazon_resource_identifier>'
)
TYPE = SERVICE
DEFAULT_ROLE = PUBLIC;3. Connettiti con il driver: Aggiorna la tua applicazione per utilizzare l'ultimo driver Snowflake e specifica authenticator='WORKLOAD_IDENTITY' e workload_identity_provider='AWS' nella tua stringa di connessione. Il driver rileverà automaticamente le credenziali native della piattaforma.
Per Python:
import snowflake.connector
conn = snowflake.connector.connect(
account='<snowflake_account>',
authenticator='WORKLOAD_IDENTITY',
workload_identity_provider='AWS'
)
# Your Snowflake operations
conn.cursor().execute("SELECT 1;")
Hai tutto pronto per andare senza segreti e migliorare la tua sicurezza su Snowflake? Ecco alcuni modi per iniziare:
Esplora la nostra documentazione completa per guide dettagliate all'impostazione e esempi per AWS, Azure, GCP e OIDC Federation (inclusi Kubernetes e GitHub Actions)
Aggiorna ai driver Snowflake più recenti per sfruttare questa potente nuova funzionalità
Incoraggia i tuoi strumenti di terze parti preferiti ad abbracciare l'integrazione senza segreti, come ha fatto Salesforce Data Cloud
Rivedi la nostra guida alla deprecazione delle password come unico metodo di autenticazione
Condividi il tuo feedback e aiutaci a continuare a migliorare l'AI Data Cloud
Un grande grazie ai seguenti collaboratori di Snowflake per il loro contributo a questo blog: Dima Basavin, James Kasten, Peter Mansour, Eric Woroshow e Xiaohu Zhao.
Articolo di
