Snowflake Security Integrations: SAML/OAuth統合の設計と実装

Security Integrationは、Snowflakeと外部のアイデンティティプロバイダ（IdP）や認証サーバーを接続するためのアカウントレベルオブジェクトです。 SAML 2.0によるSSO、External OAuthによるトークンベース認証、Snowflake OAuthによるSnowsight/コネクタのOAuth認証など、用途に応じてTYPEパラメータを使い分けます。 作成にはACCOUNTADMINロール（またはCREATE INTEGRATION権限）が必要です。

SAML 2.0 Security Integrationの仕組み

SAML 2.0統合では、SnowflakeがService Provider（SP）、外部IdPがIdentity Providerとして機能します。 ユーザーがSnowsightにアクセスすると、Snowflakeは設定済みIdPにSAML認証リクエストをリダイレクトし、IdPが認証後にSAMLレスポンス（Assertion）をSnowflakeに返却します。 SnowflakeはAssertionの署名をX.509証明書で検証し、NameIDからSnowflakeユーザーを特定してセッションを確立します。

SAML2 Security Integrationの作成SQL

-- SAML 2.0 Security Integration（Okta例）
CREATE SECURITY INTEGRATION okta_saml_integration
  TYPE = SAML2
  ENABLED = TRUE
  SAML2_ISSUER = 'http://www.okta.com/exk1234567890'
  SAML2_SSO_URL = 'https://myorg.okta.com/app/snowflake/exk1234567890/sso/saml'
  SAML2_PROVIDER = 'OKTA'
  SAML2_X509_CERT = 'MIIDpDCCAoygAw...base64証明書...'
  SAML2_SP_INITIATED_LOGIN_PAGE_LABEL = 'Okta SSO Login'
  SAML2_ENABLE_SP_INITIATED = TRUE;

-- Azure AD向けの場合
CREATE SECURITY INTEGRATION azure_ad_saml_integration
  TYPE = SAML2
  ENABLED = TRUE
  SAML2_ISSUER = 'https://sts.windows.net/<tenant-id>/'
  SAML2_SSO_URL = 'https://login.microsoftonline.com/<tenant-id>/saml2'
  SAML2_PROVIDER = 'CUSTOM'
  SAML2_X509_CERT = 'MIIDpDCCAoygAw...base64証明書...'
  SAML2_SP_INITIATED_LOGIN_PAGE_LABEL = 'Azure AD SSO'
  SAML2_ENABLE_SP_INITIATED = TRUE
  SAML2_SNOWFLAKE_ACS_URL = 'https://<account>.snowflakecomputing.com/fed/login'
  SAML2_SNOWFLAKE_ISSUER_URL = 'https://<account>.snowflakecomputing.com';

IdP別設定の比較

External OAuth Security Integration

External OAuthでは、外部の認証サーバー（Azure AD、Okta、カスタムOAuth 2.0サーバー）が発行したアクセストークンをSnowflakeが検証してセッションを確立します。 BIツールやカスタムアプリケーションからパスワードを使わずにSnowflakeに接続する場合に使用します。

-- External OAuth（Azure AD例）
CREATE SECURITY INTEGRATION azure_external_oauth
  TYPE = EXTERNAL_OAUTH
  ENABLED = TRUE
  EXTERNAL_OAUTH_TYPE = AZURE
  EXTERNAL_OAUTH_ISSUER = 'https://sts.windows.net/<tenant-id>/'
  EXTERNAL_OAUTH_JWS_KEYS_URL = 'https://login.microsoftonline.com/<tenant-id>/discovery/v2.0/keys'
  EXTERNAL_OAUTH_AUDIENCE_LIST = ('https://<account>.snowflakecomputing.com')
  EXTERNAL_OAUTH_TOKEN_USER_MAPPING_CLAIM = 'upn'
  EXTERNAL_OAUTH_SNOWFLAKE_USER_MAPPING_ATTRIBUTE = 'LOGIN_NAME'
  EXTERNAL_OAUTH_ANY_ROLE_MODE = 'ENABLE';

Snowflake OAuth Security Integration

Snowflake OAuthはSnowflake自身が認可サーバーとして動作するパターンです。 Snowsightや公式ドライバ/コネクタでの認証に使われ、クライアントアプリケーション側でclient_id/client_secretを管理します。

-- Snowflake OAuth Integration
CREATE SECURITY INTEGRATION snowflake_oauth_tableau
  TYPE = OAUTH
  ENABLED = TRUE
  OAUTH_CLIENT = TABLEAU_DESKTOP
  OAUTH_ISSUE_REFRESH_TOKENS = TRUE
  OAUTH_REFRESH_TOKEN_VALIDITY = 86400;

-- カスタムクライアント向け
CREATE SECURITY INTEGRATION snowflake_oauth_custom
  TYPE = OAUTH
  ENABLED = TRUE
  OAUTH_CLIENT = CUSTOM
  OAUTH_CLIENT_TYPE = 'CONFIDENTIAL'
  OAUTH_REDIRECT_URI = 'https://myapp.example.com/callback'
  OAUTH_ISSUE_REFRESH_TOKENS = TRUE
  OAUTH_REFRESH_TOKEN_VALIDITY = 7776000;

Security Integrationの管理コマンド

-- 一覧表示
SHOW SECURITY INTEGRATIONS;

-- 詳細確認（設定値・SAML用SP情報の取得）
DESCRIBE SECURITY INTEGRATION okta_saml_integration;

-- 証明書の更新
ALTER SECURITY INTEGRATION okta_saml_integration
  SET SAML2_X509_CERT = 'MIIDpDCCAoygAw...新しい証明書...';

-- 一時無効化
ALTER SECURITY INTEGRATION okta_saml_integration SET ENABLED = FALSE;

-- 削除
DROP SECURITY INTEGRATION okta_saml_integration;

認証方式の選択フロー

トラブルシューティング

• SSO後に「User not found」エラー：IdPが送信するNameID（通常はメールアドレス）とSnowflakeのLOGIN_NAMEまたはEMAILが一致していない。DESCRIBE SECURITY INTEGRATION でSAML2_SNOWFLAKE_USER_MAPPING_ATTRIBUTEの設定を確認する
• 「Invalid SAML response」エラー：X.509証明書の不一致が最も多い原因。IdP側で証明書がローテーションされていないか確認し、ALTER SECURITY INTEGRATIONで更新する
• External OAuthでロールが使えない：EXTERNAL_OAUTH_ANY_ROLE_MODEがDISABLE（デフォルト）の場合、トークン内のスコープに含まれるロールしか使えない。ENABLEに設定するか、スコープにロール名を含める

問題で確認

よくある質問