Configurer Snowflake pour l’approvisionnement automatique d’utilisateurs avec l’ID Microsoft Entra

Cet article montre les étapes que vous effectuez dans Snowflake et l’ID Microsoft Entra pour configurer l’ID Microsoft Entra pour approvisionner et déprovisionner automatiquement les utilisateurs et les groupes dans Snowflake. Pour découvrir des détails importants sur ce que fait ce service, son fonctionnement et les questions fréquemment posées, consultez Qu’est-ce que le provisionnement automatique des utilisateurs d’applications SaaS dans Microsoft Entra ID ?.

Fonctionnalités prises en charge

Conditions préalables

Le scénario décrit dans cet article suppose que vous disposez déjà des conditions préalables suivantes :

• Un locataire Microsoft Entra
• L’un des rôles suivants : Administrateur d’application, Administrateur d’application cloud ou Propriétaire de l’application.
• Un locataire Snowflake
• Au moins un utilisateur dans Snowflake disposant du rôle ACCOUNTADMIN.

Étape 1 : Planifier votre déploiement d’approvisionnement

1. Découvrez comment fonctionne le service d’approvisionnement.
2. Déterminez qui est concerné par la mise en service.
3. Déterminez les données à faire correspondre entre Microsoft Entra ID et Snowflake.

Étape 2 : Configurer Snowflake pour prendre en charge le provisionnement avec Microsoft Entra ID

Avant de configurer Snowflake pour le provisionnement automatique d’utilisateurs avec Microsoft Entra ID, vous devez activer le provisionnement SCIM (System for Cross-domain Identity Management) dans Snowflake.

1. Connectez-vous à Snowflake en tant qu’administrateur et exécutez ce qui suit à partir de l’interface de feuille de calcul Snowflake ou de SnowSQL.

   use role accountadmin;
   
    create role if not exists aad_provisioner;
    grant create user on account to role aad_provisioner;
    grant create role on account to role aad_provisioner;
   grant role aad_provisioner to role accountadmin;
    create or replace security integration aad_provisioning
        type = scim
        scim_client = 'azure'
        run_as_role = 'AAD_PROVISIONER';
    select system$generate_scim_access_token('AAD_PROVISIONING');
   

2. Utilisez le rôle ACCOUNTADMIN.

   

3. Créez le rôle personnalisé AAD_PROVISIONER. Tous les utilisateurs et rôles dans Snowflake créés par Microsoft Entra ID appartiendront au rôle à l’étendue réduite AAD_PROVISIONER.

   

4. Laissez le rôle ACCOUNTADMIN créer l’intégration de sécurité en utilisant le rôle personnalisé AAD_PROVISIONER.

   

5. Créez et copiez le jeton d’autorisation dans le Presse-papiers et stockez-le de manière sécurisée pour une utilisation ultérieure. Utilisez ce jeton pour chaque demande d’API REST SCIM et placez-le dans l’en-tête de demande. Le jeton d’accès expire après six mois et un nouveau jeton d’accès peut être généré avec cette instruction.

   

Étape 3 : Ajouter Snowflake à partir de la galerie d’applications Microsoft Entra

Ajoutez Snowflake à partir de la galerie d’applications Microsoft Entra pour gérer le provisionnement dans Snowflake. Si vous avez déjà configuré Snowflake pour l’authentification unique (SSO), vous pouvez utiliser la même application. Toutefois, nous vous recommandons de créer une application distincte quand vous testez initialement l’intégration. En savoir plus sur l’ajout d’une application à partir de la galerie.

Étape 4 : Définir qui est concerné par le provisionnement

Le service d’approvisionnement Microsoft Entra vous permet d’étendre l’étendue qui est approvisionnée en fonction de l’affectation à l’application, ou en fonction des attributs de l’utilisateur ou du groupe. Si vous choisissez de définir qui peut accéder à votre application selon l'affectation, vous pouvez utiliser les étapes permettant d’affecter des utilisateurs et des groupes à l’application. Si vous choisissez de définir le périmètre des utilisateurs ou groupes qui sont approvisionnés uniquement en fonction de leurs attributs, vous pouvez utiliser un filtre de périmètre.

• Commencez petit. Testez avec un petit ensemble d’utilisateurs et de groupes avant de les déployer pour tout le monde. Lorsque l’étendue de l’approvisionnement est définie sur les utilisateurs et les groupes affectés, vous pouvez le contrôler en affectant un ou deux utilisateurs ou groupes à l’application. Lorsque l’étendue est définie sur tous les utilisateurs et groupes, vous pouvez spécifier un filtre d’étendue basé sur des attributs .

• Si vous avez besoin de rôles supplémentaires, vous pouvez mettre à jour le manifeste de l’application pour ajouter de nouveaux rôles.

Étape 5 : Configurer l’approvisionnement automatique d’utilisateurs sur Snowflake

Cette section vous guide tout au long des étapes à suivre pour configurer le service de provisionnement Microsoft Entra afin de créer, de mettre à jour et de désactiver des utilisateurs et des groupes dans Snowflake. Vous pouvez baser la configuration sur des affectations d’utilisateurs et de groupes dans Microsoft Entra ID.

Pour configurer le provisionnement automatique d’utilisateurs pour Snowflake dans Microsoft Entra ID :

1. Connectez-vous au Centre d’administration de Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.

2. Accédez aux Entra ID>applications d'entreprise.

   

3. Dans la liste des applications, sélectionnez Snowflake.

   

4. Sélectionnez l’onglet Approvisionnement.

   

5. Sélectionnez + Nouvelle configuration.

   

6. Dans la section Informations d’identification de l’administrateur, entrez les valeurs d’URL de base SCIM 2.0 et de jeton d’authentification que vous avez récupérées précédemment dans les zones URL de locataire et Jeton secret, respectivement.

   Remarque

   Le point de terminaison SCIM Snowflake se compose de l’URL de compte Snowflake suivie de /scim/v2/. Par exemple, si le nom de votre compte Snowflake est acme et si ce compte Snowflake se trouve dans la région Azure east-us-2, la valeur de l’URL de locataire est https://acme.east-us-2.azure.snowflakecomputing.com/scim/v2.

7. Sélectionnez Tester la connexion pour vérifier que l’ID Microsoft Entra peut se connecter à Snowflake. Si la connexion échoue, vérifiez que votre compte Snowflake dispose des autorisations d’administrateur requises et réessayez.

   

8. Sélectionnez Créer pour créer votre configuration.

9. Sélectionnez Propriétés dans la page Vue d’ensemble .

10. Sélectionnez l’icône Modifier pour modifier les propriétés. Activez les e-mails de notification et fournissez un e-mail pour recevoir des e-mails de quarantaine. Activer la prévention des suppressions accidentelles. Cliquez sur Appliquer pour enregistrer les modifications.

    

11. Sélectionnez Mappage d’attributs dans le volet gauche et sélectionnez utilisateurs.

12. Passez en revue les attributs utilisateur synchronisés de Microsoft Entra ID vers Snowflake dans la section Mappage d’attributs. Les attributs sélectionnés en tant que propriétés de Correspondance sont utilisés pour faire correspondre les comptes d’utilisateur dans Snowflake pour les opérations de mise à jour. Sélectionnez le bouton Enregistrer pour valider les modifications.

    Caractéristique	Type
    active	Booléen
    displayName	Chaîne
    emails[type eq "work"].value	Chaîne
    nom d’utilisateur	Chaîne
    name.givenName	Chaîne
    name.familyName	Chaîne
    identifiant externe	Chaîne
    urn : ietf : params : scim : schemas : extension : 2.0 : User : type Gestion des utilisateurs - Snowflake Documentation	Chaîne

    Remarque

    La modification du nom d’affichage du groupe est désormais déverrouillée. Auparavant, le nom d’affichage du groupe dans Snowflake n’a pas pu être modifié, empêchant les clients de modifier le mappage. Il est désormais modifiable.

    Remarque

    Attributs utilisateur d’extension personnalisée pris en charge par Snowflake durant le provisionnement SCIM :

    • rôle par défaut
    • DEFAULT_WAREHOUSE
    • DEFAULT_SECONDARY_ROLES
    • LE NOM SNOWFLAKE ET LES CHAMPS LOGIN_NAME DOIVENT ÊTRE DIFFÉRENTS

    La configuration des attributs personnalisés d'extension Snowflake dans le provisionnement d’utilisateurs SCIM de Microsoft Entra est expliquée ici.

13. Sélectionnez Groupes.

14. Passez en revue les attributs de groupe synchronisés de Microsoft Entra ID vers Snowflake dans la section Mappage d’attributs. Les attributs sélectionnés en tant que propriétés de Correspondance sont utilisés pour faire correspondre les groupes dans Snowflake pour les opérations de mise à jour. Sélectionnez le bouton Enregistrer pour valider les modifications.

    Caractéristique	Type
    displayName	Chaîne
    membres	Référence

15. Pour configurer des filtres d’étendue, reportez-vous aux instructions suivantes fournies dans l’article intitulé "Filtre d’étendue".

16. Utilisez l’approvisionnement à la demande pour valider la synchronisation avec un petit nombre d’utilisateurs avant de déployer plus largement dans votre organisation.

17. Lorsque vous êtes prêt à provisionner, sélectionnez Démarrer l’approvisionnement dans la page Vue d’ensemble .

Étape 6 : Surveiller votre déploiement

Une fois le provisionnement configuré, utilisez les ressources suivantes pour superviser votre déploiement :

1. Utilisez les journaux d’approvisionnement pour déterminer quels utilisateurs sont provisionnés correctement ou sans succès
2. Vérifiez la barre de progression pour voir l’état du cycle d’approvisionnement et à quel point il est proche de l’achèvement.
3. Si la configuration d’approvisionnement semble être dans un état non sain, l’application passe en quarantaine. Pour en savoir plus sur les états de quarantaine, consultez l'article sur le statut de mise en quarantaine des applications.

Limitations du connecteur

Les jetons SCIM générés par Snowflake expirent au bout de 6 mois. N’oubliez pas que vous devez actualiser ces jetons avant leur expiration pour permettre aux synchronisations de provisionnement de continuer de fonctionner.

Accès juste à temps (JIT) aux applications avec PIM pour les groupes

Avec Privileged Identity Management (PIM) pour les groupes, vous pouvez fournir un accès juste-à-temps aux groupes dans Snowflake et réduire le nombre d’utilisateurs qui ont un accès permanent aux groupes privilégiés dans Snowflake.

Configurer votre application d’entreprise pour l’authentification unique (SSO) et l’approvisionnement

Pour configurer l’accès persistant et non administrateur dans Snowflake, procédez comme suit :

1. Ajoutez Snowflake à votre locataire, configurez-le pour l’approvisionnement, comme décrit dans les étapes précédentes de ce didacticiel et démarrez l’approvisionnement.
2. Configurez l’authentification unique pour Snowflake.
3. Créez un groupe qui fournit à tous les utilisateurs l’accès à l’application.
4. Affectez le groupe à l’application Snowflake.
5. Attribuez à votre utilisateur de test un membre direct du groupe que vous avez créé pour l’accès à tous les utilisateurs ou fournissez l’accès au groupe via un package d’accès. Ce groupe fournit un accès persistant et non administrateur dans Snowflake.

Activer PIM pour les groupes

Pour accorder l’accès administrateur juste-à-temps, procédez comme suit :

1. Créez un deuxième groupe dans Microsoft Entra ID. Ce groupe fournit l’accès aux autorisations d’administrateur dans Snowflake.
2. Placez le groupe sous gestion dans Microsoft Entra PIM.
3. Définissez votre utilisateur de test comme éligible pour le groupe dans PIM avec le rôle de membre.
4. Affectez le deuxième groupe à l’application Snowflake.
5. Utilisez l’approvisionnement à la demande pour créer le groupe dans Snowflake.
6. Connectez-vous à Snowflake et attribuez au deuxième groupe les autorisations nécessaires pour effectuer des tâches d’administration.

À présent, tous les utilisateurs finaux qui ont été éligibles pour le groupe dans PIM peuvent obtenir un accès JIT au groupe dans Snowflake en activant leur appartenance au groupe.

Considérations clés

• Combien de temps faut-il pour qu’un utilisateur soit approvisionné dans l’application ?
  • Lorsqu’un utilisateur est ajouté à un groupe dans Microsoft Entra ID en dehors de l’activation de son appartenance au groupe à l’aide de Microsoft Entra Privileged Identity Management (PIM) :
    • L’appartenance au groupe est approvisionnée dans l’application lors du prochain cycle de synchronisation. Le cycle de synchronisation s’exécute toutes les 40 minutes.
  • Lorsqu’un utilisateur active son appartenance au groupe dans Microsoft Entra ID PIM :
    • L’appartenance au groupe est provisionnée en 2 à 10 minutes. Pendant les périodes de volume élevé de requêtes, les requêtes sont limitées à un taux de cinq requêtes par 10 secondes.
    • Pour les cinq premiers utilisateurs activant leur appartenance à un groupe pour une application spécifique sur une période de dix secondes, l’appartenance au groupe est approvisionnée dans l’application en deux à dix minutes.
    • Pour le sixième utilisateur et les suivants activant leur appartenance à un groupe pour une application spécifique sur une période de dix secondes, l’appartenance au groupe est approvisionnée dans l’application lors du prochain cycle de synchronisation. Le cycle de synchronisation s’exécute toutes les 40 minutes. Les limites de restriction sont propres à chaque application d’entreprise.
• Si l’utilisateur ne peut pas accéder au groupe nécessaire dans Snowflake, consultez la section Conseils de dépannage , journaux PIM et journaux d’approvisionnement pour confirmer que l’appartenance au groupe a été mise à jour avec succès. Selon la façon dont l’application cible est conçue, l’appartenance au groupe peut prendre plus de temps pour que l’appartenance au groupe prenne effet dans l’application.
• Vous pouvez créer des alertes pour les échecs à l’aide de Azure Monitor.
• La désactivation est effectuée pendant le cycle incrémentiel normal. Elle n’est pas traitée immédiatement via l’approvisionnement à la demande.

Conseils de dépannage

Le service de provisionnement Microsoft Entra fonctionne actuellement dans des plages IP spécifiques. Si nécessaire, vous pouvez restreindre d’autres plages d’adresses IP et ajouter ces plages d’adresses IP particulières à la liste d'autorisations de votre application. Cette technique autorisera le flux de trafic du service de provisionnement Microsoft Entra vers votre application.

Journal des modifications

• 21/07/2020 : Activation de la suppression réversible pour tous les utilisateurs (via l’attribut actif).
• 12/10/2022 : Configuration SCIM de Snowflake mise à jour.

Ressources supplémentaires

• Gestion de l’approvisionnement de comptes d’utilisateur pour les applications d’entreprise
• Qu’est-ce que l’accès aux applications et l’authentification unique avec l’ID Microsoft Entra ?

Contenu connexe

• Découvrez comment passer en revue les journaux et obtenir des rapports sur l’activité d’approvisionnement