接続情報 - Snowflake

概要

Snowflakeの接続情報を作成するためのDocsです。

なお、Snowflakeを利用する場合、必要な権限が付与されたロールを、あらかじめユーザーに付与しておく必要があります。
詳しくは、後述の権限とロールを参照ください。

入力項目

ホスト名の入力形式

以下のいずれかの形式で入力できます。

• <LOCATOR>.<REGION>.<CLOUD>.snowflakecomputing.com
  • 入力例：hm*****.ap-northeast-1.aws.snowflakecomputing.com
• <ORGANIZATION>-<ACCOUNT_NAME>.snowflakecomputing.com
  • 入力例：*******-km*****.snowflakecomputing.com

上記各要素は、Snowflakeのコンソール画面左下より確認できます。

認証方式について

認証方式ごとに固有の設定項目を記載します。

キーペア認証の場合

プログラムによるアクセストークン認証の場合

Microsoft Entra IDによるOAuth認証の場合

詳しくはMicrosoft Entra ID OAuth認証についてを参照ください。

キーペア認証について

公開鍵・秘密鍵を生成し、公開鍵をSnowflake側に、秘密鍵をTROCCO側に、設定する必要があります。

公開鍵・秘密鍵の生成

ターミナルにて、以下のコマンドを順に実施してください。

1. 秘密鍵を作成する
   生成した秘密鍵は、TROCCOのSnowflake接続情報の秘密鍵欄に入力してください。

$ openssl genrsa 2048 | openssl pkcs8 -topk8 -inform PEM -out rsa_key.p8 -nocrypt

2. 公開鍵を生成する

$ openssl rsa -in rsa_key.p8 -pubout -out rsa_key.pub

3. 公開鍵を整形する（改行と不要な箇所の除去）

$ cat rsa_key.pub | \
tr -d "\n" | \
sed "s/-----BEGIN PUBLIC KEY-----//g" | \
sed "s/-----END PUBLIC KEY-----//g"

Snowflakeへの公開鍵の設定

先に作成・整形した公開鍵を踏まえて、Snowflake側で以下クエリを実行してください。

ALTER USER {USERNAME} SET RSA_PUBLIC_KEY='{PUBLIC_KEY}'

Microsoft Entra ID OAuth認証について

Microsoft Entra ID（旧Azure AD）を外部OAuthの認証サーバーとして利用し、Snowflakeに接続する認証方式です。
接続情報の作成時にMicrosoftアカウントで認証し、TROCCOが取得したアクセストークンを用いてSnowflakeに接続します。

事前準備

Microsoft Entra ID OAuth認証を利用するには、Microsoft Entra IDとSnowflakeで、あらかじめ以下の設定が必要です。
設定手順について、詳しくはSnowflake公式ドキュメント - 外部 OAuth 用 Microsoft Entra ID の構成を参照ください。

1. OAuthリソース用アプリケーションの登録

   Microsoft Entra IDにアプリケーションを登録し、Application ID URIを設定します。
   あわせて、Snowflakeのロールに対応するスコープ（session:role-anyまたはsession:role:<role_name>）を定義します。
   アプリケーションの登録方法について、詳しくはMicrosoft Learn - Microsoft Entra IDにアプリを登録する方法を参照ください。

2. OAuthクライアント用アプリケーションの登録

   Microsoft Entra IDにクライアント用のアプリケーションを登録します。
   登録後、クライアントシークレットを生成し、手順1で登録したアプリケーションに対するアクセス許可を付与します。

3. Snowflakeでのセキュリティ統合の作成

   Snowflakeで、外部OAuth用のセキュリティ統合（external_oauth_type = azure）を作成します。
   セキュリティ統合では、Microsoft Entra IDの発行者や署名鍵のエンドポイントに加えて、Snowflakeユーザーとの対応付けに用いるクレームを指定します。

4. Redirect URIの設定

   TROCCOの接続情報の作成画面で、認証方式にMicrosoft Entra IDによるOAuth認証を選択します。
   事前準備にRedirect URIが表示されるため、手順2で登録したアプリケーションのRedirect URIに設定してください。

TROCCOでの設定手順

1. Snowflakeの接続情報の作成画面で、認証方式にMicrosoft Entra IDによるOAuth認証を選択します。
2. クライアントID、クライアントシークレット、テナントID、スコープを入力します。
3. Microsoftアカウント認証をクリックします。
4. 別ウィンドウが開くため、Microsoftアカウントで認証します。
5. 認証に成功すると、認証済みアカウントとして認証したMicrosoftアカウントが表示されます。
6. 保存をクリックします。

権限とロール

Snowflakeを利用するにあたり、ロールに必要な権限を付与し、ユーザーにロールを付与する必要があります。
なお、転送設定（転送元・転送先）とデータマート定義とで、ロールに付与する必要のある権限は異なります。

転送設定（転送元）を利用する場合

必要となる権限

クエリサンプル

以下の条件を例に、ロールに権限を付与するクエリサンプルをご紹介します。

• 作成するロール：TROCCO_INPUT_ROLE
• ロールを付与するユーザー：TROCCO_USER
• 対象ウェアハウス：TROCCO_WAREHOUSE
• 対象データベース：TROCCO_DATABASE
• 対象スキーマ：PUBLIC
• 対象テーブル：TROCCO_TABLE

実際にロールに権限を付与する場合は、適宜内容を読み替えてください。

• ロールを作成可能なロールに切り替える

  USE ROLE ACCOUNTADMIN;
  

• ロールを新規作成する

  CREATE ROLE TROCCO_INPUT_ROLE;
  

• 指定したユーザーにロールを使用可能にする

  GRANT ROLE TROCCO_INPUT_ROLE TO USER TROCCO_USER;
  

• ユーザーに対し、作成したロールをデフォルトで使用するロールにする

  ALTER USER TROCCO_USER SET DEFAULT_ROLE = TROCCO_INPUT_ROLE;
  

• ウェアハウスの利用権限をロールに付与する

  GRANT USAGE ON WAREHOUSE TROCCO_WAREHOUSE TO ROLE TROCCO_INPUT_ROLE;
  GRANT OPERATE ON WAREHOUSE TROCCO_WAREHOUSE TO ROLE TROCCO_INPUT_ROLE;
  

• データベースの利用権限をロールに付与する

  GRANT USAGE ON DATABASE TROCCO_DATABASE TO ROLE TROCCO_INPUT_ROLE;
  

• スキーマの利用権限をロールに付与する

  GRANT USAGE ON SCHEMA TROCCO_DATABASE.PUBLIC TO ROLE TROCCO_INPUT_ROLE;
  

• スキーマの全テーブルに対してSELECTクエリを実行可能にする権限をロールに付与する場合

  GRANT SELECT ON ALL TABLES IN SCHEMA TROCCO_DATABASE.PUBLIC TO ROLE TROCCO_INPUT_ROLE;
  

• 個別のテーブルのみSELECTクエリを実行可能にする権限をロールに付与する場合

  GRANT SELECT on TABLE TROCCO_DATABASE.PUBLIC.TROCCO_TABLE TO ROLE TROCCO_INPUT_ROLE;
  

転送設定（転送先）を利用する場合

必要となる権限

クエリサンプル

以下の条件を例に、ロールに権限を付与するクエリサンプルをご紹介します。

• 作成するロール：TROCCO_OUTPUT_ROLE
• ロールを付与するユーザー：TROCCO_USER
• 対象ウェアハウス：TROCCO_WAREHOUSE
• 対象データベース：TROCCO_DATABASE
• 対象スキーマ：PUBLIC
• 対象テーブル：TROCCO_TABLE

実際にロールに権限を付与する場合は、適宜内容を読み替えてください。

• ロールを作成可能なロールに切り替える

  USE ROLE ACCOUNTADMIN;
  

• ロールを新規作成する

  CREATE ROLE TROCCO_OUTPUT_ROLE;
  

• 指定したユーザーにロールが使えるようにする

  GRANT ROLE TROCCO_OUTPUT_ROLE TO USER TROCCO_USER;
  

• ユーザーに対し、作成したロールをデフォルトで使用するロールにする

  ALTER USER TROCCO_USER SET DEFAULT_ROLE = TROCCO_OUTPUT_ROLE;
  

• ウェアハウスの利用権限をロールに付与する

  GRANT USAGE ON WAREHOUSE TROCCO_WAREHOUSE TO ROLE TROCCO_OUTPUT_ROLE;
  GRANT OPERATE ON WAREHOUSE TROCCO_WAREHOUSE TO ROLE TROCCO_OUTPUT_ROLE;
  

• データベースの利用権限をロールに付与する

  GRANT USAGE ON DATABASE TROCCO_DATABASE TO ROLE TROCCO_OUTPUT_ROLE;
  

• スキーマの利用権限をロールに付与する

  GRANT USAGE ON SCHEMA TROCCO_DATABASE.PUBLIC TO ROLE TROCCO_OUTPUT_ROLE;
  

• テーブル作成の権限をロールに付与する\

  GRANT CREATE TABLE ON SCHEMA TROCCO_DATABASE.PUBLIC TO ROLE TROCCO_OUTPUT_ROLE;
  

• ステージの操作の権限をロールに付与する

  GRANT CREATE STAGE on SCHEMA TROCCO_DATABASE.PUBLIC to ROLE TROCCO_OUTPUT_ROLE;
  

• テーブルの所有権をロールに移行させる

  ※ すでに存在するテーブルに対して実行する場合に必要になります。

  GRANT OWNERSHIP ON TABLE TROCCO_DATABASE.PUBLIC.TROCCO_TABLE TO ROLE TROCCO_OUTPUT_ROLE;
  

データマート定義を利用する場合

必要となる権限

クエリサンプル

以下の条件を例に、ロールに権限を付与するクエリサンプルをご紹介します。

• 作成するロール：TROCCO_DATAMART_ROLE
• ロールを付与するユーザー：TROCCO_USER
• 対象ウェアハウス：TROCCO_WAREHOUSE
• 対象データベース：TROCCO_DATABASE
• 対象スキーマ：PUBLIC
• 対象テーブル：TROCCO_TABLE

実際にロールに権限を付与する場合は、適宜内容を読み替えてください。

• ロールを作成可能なロールに切り替える

  USE ROLE ACCOUNTADMIN;
  

• ロールを新規作成する

  CREATE ROLE TROCCO_DATAMART_ROLE;
  

• 指定したユーザーにロールが使えるようにする

  GRANT ROLE TROCCO_DATAMART_ROLE TO USER TROCCO_USER;
  

• ユーザーに対し、作成したロールをデフォルトで使用するロールにする

  ALTER USER TROCCO_USER SET DEFAULT_ROLE = TROCCO_DATAMART_ROLE;
  

• ウェアハウスの利用権限をロールに付与する

  GRANT USAGE ON WAREHOUSE TROCCO_WAREHOUSE TO ROLE TROCCO_DATAMART_ROLE;
  
  GRANT OPERATE ON WAREHOUSE TROCCO_WAREHOUSE TO ROLE TROCCO_DATAMART_ROLE;
  

• データベースの利用権限をロールに付与する

  GRANT USAGE ON DATABASE TROCCO_DATABASE TO ROLE TROCCO_DATAMART_ROLE;
  

• スキーマの利用権限をロールに付与する

  GRANT USAGE ON SCHEMA TROCCO_DATABASE.PUBLIC TO ROLE TROCCO_DATAMART_ROLE;
  

• テーブル作成の権限をロールに付与する

  GRANT CREATE TABLE ON SCHEMA TROCCO_DATABASE.PUBLIC TO ROLE TROCCO_DATAMART_ROLE;
  

• テーブルへINSERTクエリを実行可能にする権限をロールに付与する

  GRANT INSERT ON TABLE TROCCO_DATABASE.PUBLIC.TROCCO_TABLE TO ROLE TROCCO_DATAMART_ROLE;
  

• テーブルの所有権をロールに移行させる

  ※ すでに存在するテーブルに対して実行する場合に必要になります。

  GRANT OWNERSHIP ON TABLE TROCCO_DATABASE.PUBLIC.TROCCO_TABLE TO ROLE TROCCO_DATAMART_ROLE;