Konfigurer Trust for Clean Room Identity Boost

Opsæt dit Snowflake-miljø

1. I dit Snowflake-regneark skal du åbne SQL-editoren og udføre disse opgaver for at opsætte databeholdere, tilladelser og servicebruger.
   

   Bemærk Disse kodeeksempler er kun til vejledning. Test og valider al kode i en sandbox, før du bruger den i produktion.
2. Opret en dedikeret database og et skema for denne kunde, så vedkommendes data forbliver isolerede fra andre samarbejder.

   CREATE DATABASE CUSTOMER_DB;
   CREATE SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT;

   Bemærk databasen og skemanavne – du angiver dem i Data 360, når du accepterer invitationen.

3. Opret outputtabellerne.

   Dette er de tabeller, som dit berigelsesjob skriver til. Definer alle kolonnenavne i dobbelte anførselstegn for at bevare sagen. Uden dobbelte anførselstegn sætter Snowflake automatisk kolonnenavne i store bogstaver, hvilket medfører fejl, når Data 360 læser tabellerne.

   

   Vigtigt Definer en primær nøgle på hver outputtabel. Data 360 læser primære nøglemetadata, når den finder dine tabeller, og samarbejdet kan ikke blive aktivt, hvis der mangler en primær nøgle i en outputtabel. For mail- og telefontabeller skal du definere den primære nøgle på kontaktpunktværdikolonnen i stedet for part-id'et, da et part-id kan gentages på tværs af registreringer.

   -- 1. Bridge Table: links consumer Individual IDs to your internal IDs
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerIndBridgeTable (
     "SourceId"            VARCHAR(255),  -- Consumer's Individual ID
     "PartnerIndividualId" VARCHAR(255)   -- Your internal unique identifier
   );
   
   -- 2. Individual Table: enriched name and identity attributes
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerBoostedIndividualTable (
     "IndividualId"        VARCHAR(255),  -- Matches PartnerIndividualId in bridge table
     "ssot__FirstName__c"  VARCHAR(255),
     "ssot__LastName__c"   VARCHAR(255),
     "EnrichmentTimestamp" TIMESTAMP_NTZ
   );
   
   -- 3. Email Table: enriched email addresses
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerBoostedEmailTable (
     "PartyId"             VARCHAR(255),  -- Links to IndividualId in table 2
     "EnrichedEmail"       VARCHAR(255),
     "EnrichmentTimestamp" TIMESTAMP_NTZ
   );
   
   -- 4. Phone Table: enriched phone numbers
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerBoostedPhoneTable (
     "PartyId"             VARCHAR(255),  -- Links to IndividualId in table 2
     "EnrichedPhone"       VARCHAR(50),
     "EnrichmentTimestamp" TIMESTAMP_NTZ
   );

   

   Bemærk De tabelnavne, der vises her, er eksempler. Brug de faktiske navne, der er erklæret i den yderligere metadata-JSON, du angiver, når du accepterer invitationen. Data 360 bruger objectApiName værdier i denne JSON til at finde tabellerne i dit Snowflake-skema.
4. Implementer dit berigelsesjob, og konfigurer det til at målrette mod denne kundes skema.

   Opsæt din jobkode til at læse fra den Snowflake-datadeling, som Data 360 opretter i dit miljø efter accept, kør identitetsløsning mod dit identitetsdiagram og skriv beriget output til den database og det skema, du oprettede.

   Kør ikke jobbet endnu – forbrugerdataene er ikke tilgængelige i dit Snowflake-miljø, før du har accepteret invitationen i Data 360.

   

   Bemærk Hvis du bruger en enkelt Snowflake-konto til flere kunder, kan berigelsesjobbet få adgang til alle databaser i den pågældende konto. Tilpas jobkørselsrollen strengt til denne kundes database og skema, og revis regelmæssigt rolletildelinger for at bekræfte, at der ikke er nogen krydskundeadgang.
5. Opret en dedikeret rolle til Data 360.

   En dedikeret rolle er et navngivet sæt af tilladelser, som du tildeler til Snowflake OIDC-servicebrugeren.

   CREATE ROLE IF NOT EXISTS DATACLOUD_SF_ROLE;

6. Tildel rollen adgang til en lagerbygning, database og et skema.

   Hvis du vil se de tilgængelige lagerbygninger i din konto, skal du gå til Administrator > Lagerbygninger på Snowflake-konsollen og skrive navnet på den lagerbygning, du vil bruge. Disse kommandoer giver rollen tilladelse til at bruge lagerbygningen og til at få adgang til denne kundes database og skema.

   GRANT USAGE ON WAREHOUSE MY_WH TO ROLE DATACLOUD_SF_ROLE;
   GRANT USAGE ON DATABASE CUSTOMER_DB TO ROLE DATACLOUD_SF_ROLE;
   GRANT USAGE ON SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT TO ROLE DATACLOUD_SF_ROLE;

   Erstat MY_WH med lagernavnet, CUSTOMER_DB med den database, du oprettede, og ENRICHED_OUTPUT med det skema, du oprettede. Bemærk lagernavnet – du indtaster det i Data 360, når du accepterer invitationen.

7. Tildel rollen tilladelse til at læse outputtabellerne.

   Data 360 læser de berigede outputtabeller, efter berigelsesjobbet er kørt for at oprette de berigede DMO'er i forbrugerens organisation. Disse tildelinger giver rollen SELECT-adgang på alle outputtabeller – både dine eksisterende tabeller og eventuelle tabeller, som du opretter senere.

   GRANT SELECT ON ALL TABLES IN SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT TO ROLE DATACLOUD_SF_ROLE;
   GRANT SELECT ON FUTURE TABLES IN SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT TO ROLE DATACLOUD_SF_ROLE;

8. Opret en servicebruger med OIDC Trust (Workload Identity Federation).

   Dette er en dedikeret Snowflake-bruger, som Data 360 bruger til at oprette forbindelse til din Snowflake-konto og læse de berigede outputtabeller. I modsætning til en almindelig bruger har den ingen adgangskode – i stedet har den tillid til logintokener, der er udstedt af forbrugerens Salesforce-organisation. Kun Data 360, der er godkendt som den pågældende forbrugerorganisation, kan logge ind som denne bruger.

   Brug det eksterne id og URL til Salesforce Consumer Domain, som du noterede i afsnittet Før du starter.

   CREATE OR REPLACE USER sf_oidc_user
     WORKLOAD_IDENTITY =
     (
       TYPE = OIDC
       ISSUER = 'https://yourcompany.my.salesforce.com/services/connectors'
       SUBJECT = 'your-external-id'
       OIDC_AUDIENCE_LIST = ('https://yourcompany.my.salesforce.com')
     )
     TYPE = SERVICE
     DEFAULT_ROLE = DATACLOUD_SF_ROLE;

   • ISSUER – Angiv URL'en for Forbruger-Salesforce-domæne efterfulgt af /services/connectors. Dette fortæller Snowflake, hvilken Salesforce-organisation der kan udstede logintokener for denne bruger. F.eks. https://yourcompany.my.salesforce.com/services/connectors.
   • SUBJECT – Angiv det eksterne id. Dette fastgør Trust til dette specifikke samarbejde – selv hvis den samme Salesforce-organisation sender et token, kan dette token ikke få adgang til en anden kundes data.
   • OIDC_AUDIENCE_LIST – Angiv URL'en for Forbruger-Salesforce-domæne uden et stisuffiks. F.eks. https://yourcompany.my.salesforce.com.

   

   Bemærk Opret en servicebruger – konverter ikke en eksisterende bruger. Ændring af en eksisterende Snowflake-bruger til en servicebruger fjerner denne persons mulighed for at logge på Snowflake interaktivt og blander deres daglige tilladelser med maskinadgang. Hvis du gør det, bliver kontoen vanskeligere at overvåge og vanskeligere at tilbagekalde. En dedikeret servicebruger holder adgangen til Data 360 fuldt isoleret og nem at fjerne. Hvis du bruger en enkelt Snowflake-konto til flere kunder, skal du inkludere kundenavnet i servicebrugernavnet for at undgå konflikter – f.eks. Customer1_DC_User.

   Bemærk servicebrugernavnet – du angiver det i Data 360, når du accepterer invitationen.

9. Tildel rollen til servicebrugeren.

   GRANT ROLE DATACLOUD_SF_ROLE TO USER sf_oidc_user;

   Servicebrugeren har de tilladelser, som du opsætter.
10. Før du flytter til Data 360, skal du bekræfte, at du har disse værdier fra dit Snowflake-miljø – du angiver dem i acceptguiden.

    Felt i Data 360	Værdi i Snowflake
    Snowflake-konto-URL	Den fulde URL for din Snowflake-konto, f.eks. https://myorg.snowflakecomputing.com
    Servicebruger	Navnet, du gav servicebrugeren
    Navn på datalager	Det lagernavn, du brugte
    Database navn	Det databasenavn, som du oprettede
    Skemanavn	Det skemanavn, som du oprettede

Accepter samarbejdsinvitationen i Data 360

11. Vend tilbage til guiden Accepter invitation til samarbejde i Clean Room i Data 360, og udfør disse accepttrin: vælg et dataområde, og opret eller vælg derefter en tilknyttet skabelon.
12. I afsnittet Snowflake Trust Relationship skal du kontrollere, at værdierne for eksternt id og URL for Salesforce Consumer Domain, der vises på siden, matcher det, du brugte i felterne SUBJECT og ISSUER, da du oprettede servicebrugeren i Snowflake.
    Disse værdier er skrivebeskyttede. Data 360 viser dem her, så du kan bekræfte, at din Snowflake-opsætning er korrekt, før du fortsætter.
13. I afsnittet Snowflake-forbindelsesindstillinger skal du angive de værdier, du noterede i opsætningstrinene.
    • Snowflake-konto-URL: Den fulde URL for din Snowflake-konto, f.eks. https://myorg.snowflakecomputing.com
    • Servicebruger: Navnet på den servicebruger, du oprettede i Snowflake
    • Navn på datalagring: det lagernavn, der er knyttet til servicebrugeren
    • Database navn: den database, som du oprettede i Snowflake
    • Skemanavn: det skema, som du oprettede i Snowflake
14. Klik på Test Connection (Test forbindelse).

    Data 360 forsøger at oprette forbindelse til din Snowflake-konto ved brug af servicebrugeren. Hvis testen mislykkes, skal du kontrollere, at SUBJECT- og ISSUER-værdierne i din Snowflake-servicebruger nøjagtigt matcher det eksterne id og URL'en til Salesforce Consumer Domain, der vises på siden. Kontroller også, at din Snowflake-konto er i et område, der er kompatibelt med forbrugerens Data 360-område.

15. Klik på Næste og accepter invitationen.