Amazon QuickSight现已支持Snowflake数据源的RSA密钥对认证
内容评分
摘要
Amazon QuickSight现已支持通过RSA密钥对与Snowflake数据源进行安全认证。此举旨在取代传统的密码认证，解决其安全漏洞和操作不便等问题，并顺应Snowflake淘汰密码认证的趋势。新功能采用非对称加密技术，允许用户建立无密码连接，提升企业数据集成安全性与合规性。文章详细介绍了生成密钥对、配置Snowflake用户及在QuickSight中建立连接的步骤，支持UI和API两种方式，并可与AWS Secrets Manager集成，简化部署与私钥管理。
正文
现代企业在将商业智能（BI）平台连接到云数据仓库时，面临着如何在确保安全性的同时维持自动化流程的挑战。传统的基于密码的认证方式存在安全漏洞、操作不便及合规性风险，尤其是在Snowflake等平台逐步淘汰用户名密码认证机制的背景下，这些问题愈发突出。
Amazon QuickSight现已支持通过密钥对（Key Pair）方式对Snowflake数据源进行集成认证。该认证机制采用非对称加密技术，以RSA密钥对替代传统的密码认证，显著提升了安全性。此举也顺应了Snowflake逐步淘汰密码认证的趋势。借助此新功能，Amazon QuickSight用户能够与Snowflake数据源建立安全、无密码的连接，从而实现符合企业安全标准的全流程集成体验。
本文将详细指导您如何在Amazon QuickSight与Snowflake之间，通过安全的密钥对认证方式建立数据源连接。
前提条件： 在配置Amazon QuickSight与Snowflake之间的密钥对认证之前，请确保满足以下条件：
- 拥有一个具备适当权限的活跃Amazon QuickSight账户。通常需要管理员权限来创建和管理数据源、配置认证设置及授予用户权限。Amazon QuickSight Enterprise许可证或Enterprise Edition中的Author角色通常能提供足够的访问权限。
- 拥有一个Snowflake账户，并具备ACCOUNTADMIN、SECURITYADMIN或USERADMIN角色。这些高级权限对于修改用户账户、使用
ALTER USER命令分配公钥以及授予仓库和数据库权限至关重要。如果无法获取这些权限，请联系您的Snowflake管理员寻求帮助。 - 已安装OpenSSL（用于生成密钥对）。该加密工具包可生成PKCS#8格式的RSA密钥对。大多数Linux和macOS系统已预装OpenSSL，Windows用户可使用Windows Subsystem for Linux (WSL) 或单独下载安装OpenSSL。
- （可选）具备AWS Secrets Manager访问权限（用于基于API的配置）。这需要相应的IAM权限来创建和管理密钥，并通过Amazon QuickSight API实现自动化部署和基础设施即代码（IaC）配置。
解决方案步骤： 我们将引导您完成以下关键步骤，以在Amazon QuickSight与Snowflake之间建立安全的密钥对认证连接：
- 生成RSA密钥对：使用OpenSSL生成公钥和私钥，并确保遵循正确的加密标准。
- 配置Snowflake用户：将生成的公钥分配给您的Snowflake用户账户并验证设置。
- 建立数据源连接：通过Amazon QuickSight用户界面进行交互式配置，或通过AWS命令行界面（AWS CLI）进行程序化部署。
接下来，我们将详细探讨每个步骤，以确保Amazon QuickSight与Snowflake连接的安全性！
生成RSA密钥对： 在AWS管理控制台中打开AWS CloudShell，执行以下命令生成RSA私钥（系统将提示您输入加密密码，请务必选择一个强密码并妥善保存，后续生成公钥时需要使用该密码）。
配置Snowflake用户：
登录Snowflake并执行SQL命令将公钥分配给指定用户。随后，通过DESCRIBE USER命令确认公钥是否已成功设置。
在Amazon QuickSight用户界面中建立连接：
在AWS管理控制台中，导航至“Datasets”，选择“Data Sources”选项卡，然后点击“Create Data Source”。在“Create Data Source”页面中，输入数据源名称，选择Snowflake，并继续下一步。在新的数据源配置页面中，输入相关参数（包括数据库服务器地址、数据库名称等），并选择“KeyPair”作为认证类型。在“Private Key”字段中粘贴通过cat rsa_key.p8命令获取的私钥内容；如果生成密钥时设置了密码，请同时输入该密码。
通过Amazon QuickSight API建立连接： 使用AWS CLI执行相应命令，以程序化方式创建Amazon QuickSight与Snowflake的数据源连接。
清理资源： 完成配置后，请删除在AWS Secrets Manager中创建的密钥，并删除在Amazon QuickSight中创建的数据源连接，以避免产生额外费用。
总结： 密钥对认证显著提升了Amazon QuickSight与Snowflake之间的数据连接安全性。通过消除基于密码的认证风险并采用非对称加密技术，企业能够有效提升安全防护水平，同时保持自动化工作流程的顺畅运行。此解决方案满足了企业的关键需求，包括增强安全性、简化服务账户管理，以及适应Snowflake逐步淘汰传统密码认证的趋势。无论是通过直观的Amazon QuickSight用户界面还是AWS CLI进行部署，密钥对认证都能在保证安全性的同时提供高度灵活性。与AWS Secrets Manager的集成有助于安全保护私钥，而简化的设置流程则便于在开发、测试和生产环境中快速部署数据源。
更多信息： 请参阅Snowflake官方文档以获取更多关于密钥对认证的详细信息。
关于作者： Vignessh Baskaran、Chinnakanu Sai Janakiram和Nithyashree Alwarsamy是Amazon QuickSight的技术专家，他们在数据分析和基础设施自动化领域拥有丰富经验；Andries Engelbrecht则是Snowflake的首席解决方案工程师，专注于产品和服务集成。