Snowflake の認証

OAuth 2.0 認可コード、OAuth 2.0 クライアント資格情報と Microsoft Entra ID、外部 OAuth 2.0 認可コードと PKCE、RSA キー ペア、またはプログラムによるアクセス トークン認証を使用して、UiPath を Snowflake に接続します。

重要:

Snowflake は、2026 年 8 月から 10 月にかけてロールアウトされる 強力な認証ロールアウトのフェーズ 3 の一環として、すべてのユーザーに多要素認証 (MFA) を適用します。

[カスタム認証 (パスワード ベース)] オプションは利用できなくなりました。カスタム認証を使用する既存の接続は、Snowflake がアカウントに MFA を適用すると機能しなくなります。以下のいずれかのサポートされている方法を使用して再作成します。

前提条件

選択した認証の種類に応じて、次のいずれかの資格情報が必要です。

• OAuth 2.0 認可コード Snowflake OAuth 認可フロー:
  • クライアント ID
  • クライアント シークレット
  • データベース ホスト
  • ウェアハウス
  • データベース スキーマ名
  • データベース名
  • ロール
• OAuth 2.0 クライアント資格情報と Microsoft Entra ID (Snowflake 外部 OAuth と Microsoft Entra ID):
  • データベース ホスト - Snowflake ホスト名の URL (例: https://hostname.snowflakecomputing.com
  • ウェアハウス - クエリを処理する Snowflake ウェアハウスです
  • データベース名
  • データベース スキーマ名 - 任意です。空のままにすると、 PUBLIC が使用されます。
  • クライアント ID - Microsoft Entra ID アプリケーションの登録の [ 概要 ] セクションのアプリケーション (クライアント) ID です
  • クライアント シークレット - Microsoft Entra ID アプリケーションの登録の [ 証明書とシークレット ] セクションから
  • テナント ID - Microsoft Entra ID アプリケーションの登録の [ 概要 ] セクションのディレクトリ (テナント) ID です
  • スコープ - Snowflake を表す Microsoft Entra ID リソース アプリケーションのアプリケーション ID URI で、サフィックス /.defaultを付けます (例: api://<application-id-uri>/.default
  • ロール - 任意です。Microsoft Entra ID サービス プリンシパルにマッピングされた、Snowflake ユーザーに付与されている既存のロールである必要があります。ユーザーの既定のロールを使用する場合は空白のままにします。
• PKCE を使用した外部 OAuth 2.0 認可コード (外部 OAuth の概要):
  • データベース ホスト - Snowflake ホスト名の URL (例: https://hostname.snowflakecomputing.com
  • ウェアハウス
  • データベース名
  • データベース スキーマ名 - 任意です。空のままにすると、 PUBLIC が使用されます。
  • 認可 URL、トークン URL、更新トークン URL - ID プロバイダーの OAuth 2.0 エンドポイント
  • クライアント ID - ID プロバイダーへのアプリケーションの登録から取得します。この方法ではパブリック クライアントを使用するため、クライアント シークレットは必要ありません。
  • スコープ - offline_access は常に含まれます。これは、接続でトークンを更新する必要があるためです。ID プロバイダーが Snowflake に対して必要とするスコープを追加します。
  • ロール - 任意です。トークンのマッピング先の Snowflake ユーザーに付与されている既存のロールである必要があります。ユーザーの既定のロールを使用する場合は空白のままにします。
• RSA (キー ペア認証およびキー ペア ローテーション)
  • データベース ホスト
  • ユーザー名
  • RSA 秘密キー
  • ウェアハウス
  • データベース スキーマ名
  • データベース名

• プログラムによるアクセス トークン (認証にプログラムによるアクセス トークンを使用)

  • ユーザー名
  • プログラムによるアクセス トークン
  • ウェアハウス
  • データベース スキーマ名
  • データベース名
  • ロール
  注:

  管理者がSnowflakeでプログラムによるアクセストークンの最大有効期間を定義するポリシーを構成する方法を確認してください。詳細については、「 認証にプログラムによるアクセス トークンを使用する 」をご覧ください。

既知の制限事項

• RSA を使用して認証するには、暗号化されていない RSA 秘密キーを使用する必要があります。
• AWS PrivateLink 経由の接続はサポートされていません。
• 選択した認証方法に関係なく、Snowflake インスタンスが IP でアクセスを制限している場合は、Integration Service で使用される IP の許可リストを設定する必要があります。詳しくは、『Automation Cloud 管理ガイド』の「 ファイアウォールを設定する 」をご覧ください。IP 範囲の移行は進行中であるため、詳細については、レガシ ページの冒頭にある 非推奨化のお知らせ をご覧ください。
• Snowflake コネクタは Relay (プライベート接続) をサポートしていません。Relay は HTTP ベースの接続のみをサポートし、このコネクタは Snowflake JDBC ドライバーを使用します。

Snowflake からの資格情報の取得

Snowflake から資格情報を取得するには、次の手順に従います。

1. データベース ホストは、Snowflake アプリへの接続に使用する URL で使用できます。 注: データベース ホスト の形式は、アカウント識別子の種類によって異なる場合があります。詳細については、このページのデータベース ホストのセクションと、 Snowflake の公式ドキュメントをご覧ください。

   

   たとえば、URL https://app.snowflake.com/east-us-2.azure/za96341/dashboardsの場合、 accountID は za96341 され、 region は east-us-2.azureです。

   データベース・ホストを構成するには、 accountID.region.snowflakecomputing.com形式を使用する必要があります。 したがって、前の URL については、構築されるデータベース ホストは za96341.east-us-2.azure.snowflakecomputing.comです。

2. ログインしたら、左側のメニューで [Data]、[Databases] の順に選択します。

   • Database name: データベースのリストが表示されます。

     

   • データベース スキーマ名 - データベース スキーマ名のリストを表示するデータベースを選択します。

     

3. ウェアハウスを取得するには、左側のメニューで [Admin] > [Warehouses] に移動します。

   

OAuth 2.0 認可コード認証メソッドを使用する

注:

OAuth2 資格情報を作成できるのは、ACCOUNTADMIN ロールを持つユーザーのみです。既定では、ACCOUNTADMIN、ORGADMIN、および SECURITYADMIN ロールを持つユーザーは、OAuth 2.0 認証を使用してコネクションを作成することがブロックされています。詳しくは、「 Snowflake OAuth の認証フロー」をご覧ください。

SnowflakeのOAuth 2.0クライアントを作成するには、次の手順に従います。

1. 次のクエリを実行して、OAuth 連携を作成します。

   このクエリではクライアント ID は表示されません。クライアントの詳細を表示するには、2 番目のクエリを実行する必要があります。クエリに正しいリダイレクト URL (例: Automation Cloud の https://cloud.uipath.com/provisioning_/callbackhttps://{baseURL}/provisioning_/callback) を含めてください。

   CREATE SECURITY INTEGRATION my_oauth_integration_uipath
      TYPE=OAUTH
      OAUTH_CLIENT= CUSTOM
      OAUTH_REDIRECT_URI='https://cloud.uipath.com/provisioning_/callback'
      OAUTH_CLIENT_TYPE='CONFIDENTIAL'
      OAUTH_ISSUE_REFRESH_TOKENS=true
      OAUTH_REFRESH_TOKEN_VALIDITY= 86400
      ENABLED=true;
   

2. 次のクエリを実行して、クライアントの詳細を表示します。OAUTH_CLIENT_IDをコピーします。

   DESCRIBE SECURITY INTEGRATION my_oauth_integration_uipath
   

3. 次のクエリを実行して、クライアント シークレットを表示します。OAUTH_CLIENT_SECRETをコピーします。

   このクエリは、 OAUTH_CLIENT_SECRET と OAUTH_CLIENT_SECRET_2の 2 つの項目を出力します。OAUTH_CLIENT_SECRETを使用する必要があります。

   select system$show_oauth_client_secrets('MY_OAUTH_INTEGRATION_UIPATH');
   

詳しくは、「 カスタム クライアント用に Snowflake OAuth を構成する」をご覧ください。

OAuth 2.0 クライアント資格情報を Microsoft Entra ID 認証方法で使用する

このメソッドは、 Snowflake 独自の OAuth エンドポイントではなく Microsoft Entra ID を使用して Snowflake 外部 OAuth を介して認証します。コネクタは、Microsoft Entra ID アプリケーションのクライアント ID とシークレットをアクセス トークンと交換し、そのトークンを Snowflake に送信します。

この方法は、組織で Snowflake への直接接続が許可されておらず、すべてのアクセスが Microsoft Entra ID アプリケーションを経由する必要がある場合に使用します。

この認証方法を設定するには、Microsoft Entra ID と Snowflake の両方を設定します。

1. Microsoft Entra ID でアプリケーションを登録し、そのクライアント シークレットを作成します。[ 概要 ] セクションには、[ クライアント ID ] と [テナント ID] が表示されます。[ 証明書とシークレット] セクションに クライアント シークレットが表示されます。
2. Microsoft Entra ID で、Snowflake を表すリソース アプリケーションを特定または登録し、そのアプリケーション ID URI をメモします。これを使用して [スコープ] の値 ( api://<application-id-uri>/.default) を構築します。
3. Snowflake で、外部 OAuth のセキュリティ連携を作成します。アプリケーションの種類を Azure に設定し、オーディエンスを手順 2 のアプリケーション ID URI に設定し、Snowflake ユーザーをサービス プリンシパルのトークン要求にマッピングします。
4. 任意で、その Snowflake ユーザーに、 ロールに入力するロールを付与します。[ ロール] を空のままにすると、ユーザーの既定のロールが使用されます。

正確な設定構文については、Snowflake のドキュメントの「 Snowflake External OAuth with Microsoft Entra ID 」をご覧ください。

PKCE 認証方法で外部 OAuth 2.0 認証コードを使用する

この方法では、OAuth 2.0 認可コード フローと Proof Key for Code Exchange (PKCE) を使用して、クライアント シークレットなしで、ユーザー自身の ID プロバイダーを介してサインインします。これは、外部 OAuth セキュリティ連携を通じて Snowflake が受け入れるトークンを持つすべての ID プロバイダーで機能します。Microsoft Entra ID は参照 ID プロバイダーです。

この認証方法を設定するには、ID プロバイダーと Snowflake を設定します。

1. ID プロバイダーで、アプリケーションをパブリック クライアントとして登録し、リダイレクト URI https://{baseURL}/provisioning_/callback を追加します (例: Automation Cloud https://cloud.uipath.com/provisioning_/callbackの場合は )。アプリケーションのクライアント ID は、接続の クライアント ID です。
2. Snowflake で、ID プロバイダーの外部 OAuth セキュリティ連携を作成します。この連携により、トークン内の upnなどのクレームが、ユーザーの LOGIN_NAMEを通じて Snowflake ユーザーにマッピングされます。
3. トークンによって、コネクションで使用するロールが付与されていることを確認してください。ロールはトークンのスコープ内に含まれている必要があります (連携で EXTERNAL_OAUTH_ANY_ROLE_MODE が に設定されている場合を除き、session:role:<role>などENABLE。
4. コネクションを作成する際は、[ 認可 URL]、[ トークン URL]、[ 更新トークン URL ] の値を、ID プロバイダーのエンドポイントに置き換えます。

正確な設定構文については、Snowflake のドキュメントの「 外部 OAuth の概要 」をご覧ください。

Snowflake コネクションを追加する

1. 製品ランチャーから [Orchestrator] を選択します。

2. フォルダーを選択して [ コネクション ] タブに移動します。

3. [ コネクションを追加] を選択します。

4. コネクション作成ページを開くには、リストからコネクタを選択します。検索バーを使用してコネクタを検索できます。

5. 認証の種類を選択します。[OAuth 2.0 認可コード]、[OAuth 2.0 クライアント資格情報と Microsoft Entra ID]、[外部 OAuth 2.0 認可コードと PKCE、RSA、またはプログラムによるアクセス トークン] から選択します。

6. 必要な Snowflake 資格情報を入力し、[ 接続] を選択します。

   利用可能な場合は、フィールドの横にあるメニューを選択し、[ 資格情報アセットを使用 ] または [ Orchestrator アセットを使用 ] を選択して、値を直接入力するのではなく Orchestrator アセットを参照します。詳細については、「 コネクションに資格情報アセットを使用する」をご覧ください。

権限

接続すると、ユーザーの代わりに UiPath が Snowflake のデータの読み込み、書き込み、変更および削除をできるようになります。

Snowflake に接続するために必要なロール

Integration Service から Snowflake のコネクションを作成する際は、次の図に示すように、コネクタは常にユーザーの既定のロールを選択します。

セキュリティ上の理由から誰もが管理者ロールを付与されるわけではないため、Snowflakeの管理者はユーザーにカスタム ロールを設定できます。

次の例は、Integration Service の接続プロセスがスムーズに動作するために Snowflake で必要とされている情報を正確に示しています。この例では、DEAL\_AMOUNT データベース スキーマと JULY\_DEMO データベースを使用して接続を作成します。

最初のステップは、デフォルトのロール(この場合はSAMRAT)が、Snowflakeのデータベース(JULY\_DEMO)とデータベーススキーマ(DEAL\_AMOUNT)の両方に対する USAGE 権限を持っていることを確認することです。

Snowflake の正常な認証は、これらの設定に依存します。管理者は、ロールに対して追加の権限をいつでも割り当てることができます。

詳しくは、Snowflake ドキュメントの「 アクセス制御権限 」をご覧ください。