Snowflake-Authentifizierung

Verbinden Sie UiPath mit Snowflake mithilfe des OAuth 2.0-Autorisierungscodes, der OAuth 2.0 Client-Anmeldeinformationen mit Microsoft Entra ID, des RSA-Schlüsselpaars oder des programmgesteuerten Zugriffstokens.

Wichtig:

Snowflake erzwingt die Multi-Faktor-Authentifizierung (MFA) für alle Benutzer im Rahmen von Phase 3 seiner strengen Authentifizierung, die zwischen August und Oktober 2026 eingeführt wird.

Die Option Benutzerdefinierte Authentifizierung (kennwortbasiert) ist nicht mehr verfügbar. Vorhandene Verbindungen mit benutzerdefinierter Authentifizierung funktionieren nicht mehr, wenn Snowflake die MFA-Erzwingung auf Ihr Konto anwendet. Erstellen Sie sie mit einer der unten aufgeführten unterstützten Methoden neu.

Voraussetzungen

Je nach ausgewähltem Authentifizierungstyp benötigen Sie eine der folgenden Anmeldeinformationen:

• OAuth 2.0: Autorisierungscode: Snowflake: OAuth-Autorisierung
  • Client-ID
  • Geheimer Clientschlüssel
  • Datenbankhost
  • Warehouse
  • Datenbankschemaname
  • Datenbankname
  • Rolle
• OAuth 2.0 Client-Anmeldeinformationen mit Microsoft Entra ID (S Snowflake External OAuth with Microsoft Entra ID):
  • Datenbankhost – Ihre Snowflake-Hostnamen-URL, z. B. https://hostname.snowflakecomputing.com
  • Warehouse – Das Snowflake-Warehouse, das Abfragen verarbeitet
  • Datenbankname
  • Datenbankschemaname – optional. Wenn dies leer gelassen wird, wird PUBLIC verwendet.
  • Client-ID – die Anwendungs-(Client-)ID aus dem Abschnitt Übersicht Ihrer Microsoft Entra ID-Anwendungsregistrierung
  • Client-Geheimnis – aus dem Abschnitt Zertifikate und Geheimnisse Ihrer Microsoft Entra ID-Anwendungsregistrierung
  • Mandanten-ID – die Verzeichnis-ID (Mandant) aus dem Abschnitt Übersicht Ihrer Microsoft Entra ID-Anwendungsregistrierung
  • Scope – der URI der Anwendungs-ID der Microsoft Entra ID-Ressourcenanwendung, die Snowflake darstellt, mit Suffix /.default, zum Beispiel api://<application-id-uri>/.default
  • Rolle – optional. Muss eine vorhandene Rolle sein, die dem Snowflake-Benutzer gewährt wurde, der dem Microsoft Entra ID-Dienstprinzipal zugeordnet ist. Lassen Sie das Feld leer, um die Standardrolle des Benutzers zu verwenden.
• RSA (Schlüsselpaar-Authentifizierung und Schlüsselpaarrotation)
  • Datenbankhost
  • Benutzername
  • Privater RSA-Schlüssel
  • Warehouse
  • Datenbankschemaname
  • Datenbankname

• Programmgesteuertes Zugriffstoken (Verwenden von programmgesteuerten Zugriffstoken zur Authentifizierung)

  • Benutzername
  • Token für programmgesteuerten Zugriff
  • Warehouse
  • Datenbankschemaname
  • Datenbankname
  • Rolle
  Hinweis:

  Lesen Sie, wie Administratoren Richtlinien konfigurieren können, um die maximale Lebensdauer für programmgesteuerte Zugriffstoken in Snowflake zu definieren. Weitere Informationen finden Sie unter Verwenden von programmgesteuerten Zugriffstoken für die Authentifizierung .

Bekannte Einschränkungen

• Um sich mit RSA zu authentifizieren, müssen Sie einen unverschlüsselten privaten RSA-Schlüssel verwenden.
• Verbindungen über AWS PrivateLink werden nicht unterstützt.
• Wenn Ihre Snowflake-Instanz den Zugriff nach IP beschränkt, müssen Sie ungeachtet der ausgewählten Authentifizierungsmethode eine Zulassungsliste für die IPs konfigurieren, die von Integration Service verwendet werden. Weitere Informationen dazu finden Sie unter Konfigurieren der Firewall im Administratorhandbuch zu Automation Cloud.
• Der Snowflake-Connector unterstützt Relay (private Verbindungen) nicht. Relay unterstützt nur HTTP-basierte Verbindungen und dieser Connector verwendet den Snowflake JDBC-Treiber.

Abrufen Ihrer Anmeldeinformationen aus Snowflake

Um die Anmeldeinformationen aus Snowflake abzurufen, führen Sie die folgenden Schritte aus:

1. Der Datenbankhost ist in der URL verfügbar, die zum Herstellen einer Verbindung mit Ihrer Snowflake-App verwendet wird: Hinweis: Das Format des Datenbankhosts kann sich je nach Typ Ihres Kontobezeichners unterscheiden. Weitere Informationen finden Sie im Abschnitt über Datenbankhost auf dieser Seite sowie in der offiziellen Snowflake-Dokumentation.

   

   Beispiel: Für die folgende URL https://app.snowflake.com/east-us-2.azure/za96341/dashboards ist accountID za96341 und region ist east-us-2.azure.

   Um einen Datenbankhost zu erstellen, müssen Sie das Format accountID.region.snowflakecomputing.com verwenden. Für die vorherige URL wäre der erstellte Datenbankhost also za96341.east-us-2.azure.snowflakecomputing.com.

2. Once you are logged in, on the left-side menu, select Data, then Databases.

   • Database name: A list of databases is displayed:

     

   • Database schema name - Select a database to view the list of database schema names:

     

3. To retrieve the Warehouse, on the left-side menu, go to Admin > Warehouses:

   

Es wird die Authentifizierungsmethode OAuth 2.0 mit Autorisierungscode verwendet

Hinweis:

Nur Benutzer mit einer ACCOUNTADMIN-Rolle können OAuth2-Anmeldeinformationen erstellen. Standardmäßig werden Benutzer mit den Rollen ACCOUNTADMIN, ORGADMIN und ECURIT aus der Verwendung der OAuth 2.0-Authentifizierung zum Erstellen einer Verbindung gehindert. Weitere Informationen dazu finden Sie unter OAuth-Autorisierung in Snowflake.

Führen Sie die folgenden Schritte aus, um einen OAuth 2.0-Client für Snowflake zu erstellen:

1. Führen Sie die folgende Abfrage aus, um die OAuth-Integration zu erstellen.

   Diese Abfrage zeigt die Client-ID nicht an. Sie müssen eine zweite Abfrage ausführen, um die Clientdetails anzuzeigen. Stellen Sie sicher, dass Sie die richtige Umleitungs-URL in die Abfrage aufnehmen: https://{baseURL}/provisioning_/callback (z. B. für die Automation Cloud https://cloud.uipath.com/provisioning_/callback).

   CREATE SECURITY INTEGRATION my_oauth_integration_uipath
      TYPE=OAUTH
      OAUTH_CLIENT= CUSTOM
      OAUTH_REDIRECT_URI='https://cloud.uipath.com/provisioning_/callback'
      OAUTH_CLIENT_TYPE='CONFIDENTIAL'
      OAUTH_ISSUE_REFRESH_TOKENS=true
      OAUTH_REFRESH_TOKEN_VALIDITY= 86400
      ENABLED=true;
   

2. Führen Sie die folgende Abfrage aus, um die Clientdetails anzuzeigen. Kopieren Sie die OAUTH_CLIENT_ID.

   DESCRIBE SECURITY INTEGRATION my_oauth_integration_uipath
   

3. Führen Sie die folgende Abfrage aus, um den geheimen Clientschlüssel anzuzeigen. Kopieren Sie die OAUTH_CLIENT_SECRET.

   Diese Abfrage gibt zwei Elemente aus: OAUTH_CLIENT_SECRET und OAUTH_CLIENT_SECRET_2. Sie müssen OAUTH_CLIENT_SECRET verwenden.

   select system$show_oauth_client_secrets('MY_OAUTH_INTEGRATION_UIPATH');
   

Weitere Informationen finden Sie unter Konfigurieren von Snowflake: OAuth für benutzerdefinierte Clients.

Verwendung der OAuth 2.0 Client-Anmeldeinformationen mit der Microsoft Entra ID-Authentifizierungsmethode

Diese Methode authentifiziert sich über Snowflake External OAuth mit Microsoft Entra ID anstelle von Snowflake: Der Connector tauscht die Client-ID und das Geheimnis der Microsoft Entra ID-Anwendung gegen ein Zugriffstoken aus und sendet dann dieses Token an Snowflake.

Verwenden Sie diese Methode, wenn Ihre Organisation keine direkten Verbindungen zu Snowflake zulässt und der gesamte Zugriff über eine Microsoft Entra ID-Anwendung erfolgen muss.

Um diese Authentifizierungsmethode einzurichten, konfigurieren Sie sowohl Microsoft Entra ID als auch Snowflake:

1. Registrieren Sie eine Anwendung in Microsoft Entra ID und erstellen Sie einen geheimen Clientschlüssel dafür. Der Abschnitt „Übersicht“ enthält die Client-ID und die Mandanten-ID; Der Abschnitt Zertifikate und Geheimschlüssel enthält den geheimen Clientschlüssel.
2. Identifizieren oder registrieren Sie in Microsoft Entra ID die Ressourcenanwendung, die Snowflake darstellt, und notieren Sie deren Anwendungs-ID-URI. Verwenden Sie sie, um den Scope -Wert zu erstellen: api://<application-id-uri>/.default.
3. Erstellen Sie in Snowflake eine Sicherheitsintegration für externe OAuth mit dem Anwendungstyp Azure, der Zielgruppe, die auf den Anwendungs-ID-URI aus Schritt 2 festgelegt ist, und einem Snowflake-Benutzer, der dem Tokenanspruch des Dienstprinzipals zugeordnet ist.
4. Gewähren Sie diesem Snowflake-Benutzer optional die Rolle, die Sie in „Rolle“ eingeben möchten. Wenn Sie Rolle leer lassen, verwendet die Verbindung die Standardrolle des Benutzers.

Die genaue Konfigurationssyntax finden Sie unter Snowflake External OAuth mit Microsoft Entra ID in der Snowflake-Dokumentation.

Hinzufügen der Snowflake-Verbindung

1. Wählen Sie Orchestrator im Produktstartprogramm aus.

2. Wählen Sie einen Ordner aus und navigieren Sie dann zur Registerkarte Verbindungen .

3. Wählen Sie Verbindung hinzufügen aus.

4. Um die Seite zur Erstellung der Verbindung zu öffnen, wählen Sie den Konnektor in der Liste aus. Sie können die Suchleiste verwenden, um den Connector zu finden.

5. Wählen Sie den Authentifizierungstyp aus: OAuth 2.0 Autorisierungscode, OAuth 2.0 Client-Anmeldeinformationen mit Microsoft Entra ID, RSA oder Token für programmgesteuerten Zugriff.

6. Geben Sie Ihre erforderlichen Snowflake-Anmeldeinformationen ein und wählen Sie Verbinden aus .

   Wenn verfügbar, wählen Sie das Menü neben einem Feld und dann Anmeldeinformations-Asset verwenden oder Orchestrator-Asset verwenden aus , um auf ein Orchestrator-Asset zu verweisen, anstatt den Wert direkt einzugeben. Weitere Informationen finden Sie unter Verwenden von Anmeldeinformationsassets für Verbindungen.

Berechtigungen

Durch die Verbindung kann UiPath Snowflake-Daten in Ihrem Namen lesen, schreiben, ändern und löschen.

Erforderliche Rollen für die Verbindung mit Snowflake

Beim Erstellen einer Verbindung für Snowflake aus dem Integration Service wählt der Connector immer die Standardrolle des Benutzers aus, wie in der folgenden Abbildung gezeigt.

Snowflake: Administratoren können benutzerdefinierte Rollen für Benutzer einrichten, da nicht jeder aus Sicherheitsgründen Administratorrollen erhält.

Das folgende Beispiel zeigt, was genau in Snowflake benötigt wird, damit der Integration Service-Verbindungsprozess reibungslos funktioniert. In diesem Beispiel erstellen Sie eine Verbindung mit dem Datenbankschema DEAL\_AMMOUNT und der Datenbank JULY\_D Demo.

Der erste Schritt besteht darin, sicherzustellen, dass die Standardrolle, in diesem Fall SAMRAT, über die USAGE- Berechtigung sowohl für die Datenbank (J JULY\_Demon) als auch für das Datenbankschema (DEAL\_AMUNT) in Snowflake verfügt.

Eine erfolgreiche Authentifizierung bei Snowflake ist von diesen Einstellungen abhängig. Einer Rolle können jederzeit zusätzliche Berechtigungen von einem Administrator zugewiesen werden.

Weitere Informationen dazu finden Sie unter Berechtigungen der Zugriffssteuerung in der Snowflake-Dokumentation.