Snowflake KeyPair Partitionコネクター

​

はじめに

​

必要条件

• アカウントのフルネーム（Snowflakeが提供）。これは、Snowflake URLの https://の 直後に続く部分です。 アカウントのフルネームには、アカウントがホストされる地域とクラウドプラットフォームを識別する追加のセグメントが含まれる場合があることに注意してください。米国西部地域は account_name 、その他の地域は account_name.region_id です。以下の表に、クラウドプラットフォームまたは地域別のアカウント名の例を示します。各行に対して、アカウント名が「xy12345」であると仮定しています。

• Snowflakeホストへの接続に使用するユーザー名。
• シークレットキー。
• パスフレーズ。シークレットキーを暗号化する場合、OpenSSLが、シークレットキーファイルの暗号化に使用されるパスフレーズの入力を求めてきます。
• 自分の権限名。

​

パブリックキーペア/シークレットキーペアの設定

1. ターミナルウィンドウのコマンドラインからシークレットキーを生成します。 シークレットキーの暗号化バージョンも、シークレットキーの暗号化されていないバージョンも生成できます。
   • 暗号化されていないバージョンを生成するには、以下のコマンドを使用します。 $ openssl genrsa -out rsa_key.pem 2048
   • 暗号化されたバージョンを生成するには、以下のコマンドを使用します。 $ openssl genrsa 2048 | openssl pkcs8 -topk8 -inform PEM -out rsa_key.p8 通常、暗号化されたバージョンを生成する方が安全です。 2番目のコマンドを使用してシークレットキーを暗号化する場合、OpenSSLが、シークレットキーファイルの暗号化に使用されるパスフレーズの入力を求めてきます。シークレットキーを保護するために強力なパスフレーズを使用することを推奨します。このパスフレーズを安全な場所に記録します。Snowflakeに接続するときにパスフレーズを入力します。パスフレーズはシークレットキーの保護にのみ使用され、Snowflakeに送信されることはないことに注意してください。 PEMシークレットキーの例を以下に示します。
     コピー

     AIに質問

     -----BEGIN ENCRYPTED PRIVATE KEY-----
     
     MIIE6TAbBgkqhkiG9w0BBQMwDgQILYPyCppzOwECAggABIIEyLiGSpeeGSe3xHP1
     
     wHLjfCYycUPennlX2bd8yX8xOxGSGfvB+99+PmSlex0FmY9ov1J8H1H9Y3lMWXbL
     
     ...
     
     -----END ENCRYPTED PRIVATE KEY-----
     
2. コマンドラインからシークレットキーを参照してパブリックキーを生成します。シークレットキーが暗号化され、「rsa_key.p8」という名前のファイルに含まれていると仮定して、次のコマンドを使用します。 $ openssl rsa -in rsa_key.p8 -pubout -out rsa_key.pub 以下がPEMパブリックキーのサンプルです。
   コピー

   AIに質問

   -----BEGIN PUBLIC KEY-----
   
   MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAy+Fw2qv4Roud3l6tjPH4
   
   zxybHjmZ5rhtCz9jppCV8UTWvEXxa88IGRIHbJ/PwKW/mR8LXdfI7l/9vCMXX4mk
   
   ...
   
   -----END PUBLIC KEY-----
   
3. パブリックキーファイルとシークレットキーファイルをローカルディレクトリにコピーして保存します。ファイルのパスを記録します。シークレットキーはPKCS#8（公開鍵暗号標準）フォーマットを使用して保存され、前のステップで指定したパスフレーズで暗号化されることに注意してください。ただし、OSが提供するファイル許可機構を使用して、ファイルを不正アクセスから保護する必要があります。使用されていない時にファイルをセキュリティ保護するのはユーザーの責任です。
4. ALTER USERを使用して、Snowflakeユーザーにパブリックキーを割り当てます。例： alter user jsmith set rsa_public_key='MIIBIjANBgkqh...';
   注記：

   • セキュリティ管理者（例えばSECURITYADMIN権限を持つユーザー）以上がユーザーを変更できます。
   • SQLステートメント内のパブリックキーヘッダーとフッターを除外します。
5. DESCRIBEUSERを使用してユーザーのパブリックキーの指紋を確認します。

   プロパティ	値	デフォルト	説明
   名前	JSMITH	NULL値	名前
   RSA_PUBLIC_KEY_FP	SHA256:nvnONUsfiuycCLMXIEWG4eTp4FjhVUZQUQbNpbSHXiA=	NULL値	ユーザーのRSAパブリックキーの指紋。
   RSA_PUBLIC_KEY_2_FP	NULL値	NULL値	ユーザーの2番目のRSAパブリックキーの指紋。

   注記： RSA_PUBLIC_KEY_2_FPプロパティの詳細については、「キーローテーション」を参照してください。
6. 下のサンプルコードを修正して実行します。このコードはシークレットキーファイルを復号してSnowflakeドライバーに渡し、接続を作成します。
   • セキュリティパラメーターを更新：
     • <path>は作成したシークレットキーファイルへのローカルパスを指定します。
   • セッションのパラメーターを更新：
     • <user>はSnowflakeログイン名を指定します。
     • <account>はアカウントの名前を指定します（Snowflakeにより提供される）。
   • サンプルコードは以下のとおりです。
     コピー

     AIに質問

      import java.util.Properties;
      import java.sql.Connection;
      import java.sql.Statement;
      import java.sql.ResultSet;
      import java.sql.DriverManager;
      import java.io.File;
      import java.io.FileInputStream;
      import java.io.DataInputStream;
      import java.util.Base64;
      import java.security.spec.PKCS8EncodedKeySpec;
      import java.security.KeyFactory;
      import java.security.PrivateKey;
      import javax.crypto.EncryptedPrivateKeyInfo;
      import javax.crypto.SecretKeyFactory;
      import javax.crypto.spec.PBEKeySpec;
     
      public class TestJdbc
      {
         public static void main(String[] args)
            throws Exception
         {
            File f = new File("<path>/rsa_key.p8");
            FileInputStream fis = new FileInputStream(f);
            DataInputStream dis = new DataInputStream(fis);
            byte[] keyBytes = new byte[(int) f.length()];
            dis.readFully(keyBytes);
            dis.close();
     
            String encrypted = new String(keyBytes);
            String passphrase = System.getenv("PRIVATE_KEY_PASSPHRASE");
            encrypted = encrypted.replace("-----BEGIN ENCRYPTED PRIVATE KEY-----", "");
            encrypted = encrypted.replace("-----END ENCRYPTED PRIVATE KEY-----", "");
            EncryptedPrivateKeyInfo pkInfo = new EncryptedPrivateKeyInfo(Base64.getMimeDecoder().decode(encrypted));
            PBEKeySpec keySpec = new PBEKeySpec(passphrase.toCharArray());
            SecretKeyFactory pbeKeyFactory = SecretKeyFactory.getInstance(pkInfo.getAlgName());
            PKCS8EncodedKeySpec encodedKeySpec = pkInfo.getKeySpec(pbeKeyFactory.generateSecret(keySpec));
            KeyFactory keyFactory = KeyFactory.getInstance("RSA");
            PrivateKey encryptedPrivateKey = keyFactory.generatePrivate(encodedKeySpec);
     
            String url = "jdbc:snowflake://<account>.snowflakecomputing.com";
            Properties prop = new Properties();
            prop.put("user", "<user>");
            prop.put("account", "<account>");
            prop.put("privateKey", encryptedPrivateKey);
     
            Connection conn = DriverManager.getConnection(url, prop);
            Statement stat = conn.createStatement();
            ResultSet res = stat.executeQuery("select 1");
            res.next();
            System.out.println(res.getString(1));
            conn.close();
         }
      }
     

​

キーローテーション

1. キーペア認証の使用のステップを完了します。
   • 新しいシークレットキーとパブリックキーのセットを生成します。
   • ユーザーにパブリックキーを割り当てます。パブリックキーの値をRSA_PUBLIC_KEYまたはRSA_PUBLIC_KEY_2のいずれか（現在使用していないキー値）に設定します。 例： alter user jsmis set rsa_public_key_2='JERUE Htcve...';
2. コードを更新してSnowflakeに接続します。新しいシークレットキーを指定します。 Snowflakeは、接続情報とともに送信されたシークレットキーにもとづいて、認証用の正しいアクティブなパブリックキーを検証します。
3. ユーザープロフィールから古いパブリックキーを削除します。例： alter user jsmith unset rsa_public_key;

​

Snowflakeアカウントに接続する

​

［認証情報］ペイン

​

［詳細］ペイン

​

その他のペイン

​

よくある質問