Configurar la relación de Snowflake Trust para el refuerzo de identidad de sala limpia

Configurar su entorno de Snowflake

1. En su hoja de cálculo de Snowflake, abra el Editor SQL y complete estas tareas para configurar los contenedores de datos, los permisos y el usuario de servicio.
   

   Nota Estos ejemplos de código son solo orientativos. Pruebe y valide todo el código en un entorno sandbox antes de utilizarlo en producción.
2. Cree una base de datos y un esquema exclusivos para este cliente de modo que sus datos permanezcan aislados de otras colaboraciones.

   CREATE DATABASE CUSTOMER_DB;
   CREATE SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT;

   Tenga en cuenta los nombres de esquema y base de datos: los introduce en Data 360 al aceptar la invitación.

3. Cree las tablas de resultados.

   Estas son las tablas en las que escribe su trabajo de enriquecimiento. Defina todos los nombres de columnas entre comillas dobles para preservar el caso. Sin comillas dobles, Snowflake pone automáticamente en mayúsculas los nombres de columnas, lo que provoca errores cuando Data 360 lee las tablas.

   

   Importante Defina una clave principal en cada tabla de salida. Data 360 lee metadatos de clave principal cuando descubre sus tablas, y la colaboración no puede volverse activa si a cualquier tabla de salida le falta una clave principal. Para las tablas de correo electrónico y teléfono, defina la clave principal en la columna de valor de punto de contacto en vez del Id. de parte, ya que un Id. de parte puede repetirse entre registros.

   -- 1. Bridge Table: links consumer Individual IDs to your internal IDs
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerIndBridgeTable (
     "SourceId"            VARCHAR(255),  -- Consumer's Individual ID
     "PartnerIndividualId" VARCHAR(255)   -- Your internal unique identifier
   );
   
   -- 2. Individual Table: enriched name and identity attributes
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerBoostedIndividualTable (
     "IndividualId"        VARCHAR(255),  -- Matches PartnerIndividualId in bridge table
     "ssot__FirstName__c"  VARCHAR(255),
     "ssot__LastName__c"   VARCHAR(255),
     "EnrichmentTimestamp" TIMESTAMP_NTZ
   );
   
   -- 3. Email Table: enriched email addresses
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerBoostedEmailTable (
     "PartyId"             VARCHAR(255),  -- Links to IndividualId in table 2
     "EnrichedEmail"       VARCHAR(255),
     "EnrichmentTimestamp" TIMESTAMP_NTZ
   );
   
   -- 4. Phone Table: enriched phone numbers
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerBoostedPhoneTable (
     "PartyId"             VARCHAR(255),  -- Links to IndividualId in table 2
     "EnrichedPhone"       VARCHAR(50),
     "EnrichmentTimestamp" TIMESTAMP_NTZ
   );

   

   Nota Los nombres de tabla mostrados aquí son ejemplos. Utilice los nombres reales declarados en el JSON de metadatos adicionales que proporcione al aceptar la invitación. Data 360 utiliza los valores de objectApiName en ese JSON para encontrar las tablas en su esquema de Snowflake.
4. Implemente su trabajo de enriquecimiento y configúrelo para dirigirse al esquema de este cliente.

   Configure su código de trabajo para leer desde la colaboración de datos de Snowflake que Data 360 crea en su entorno tras la aceptación, ejecute la resolución de identidad en su gráfico de identidad y escriba resultados enriquecidos en la base de datos y el esquema que creó.

   No ejecute el trabajo aún: los datos del consumidor no están disponibles en su entorno de Snowflake hasta después de aceptar la invitación en Data 360.

   

   Nota Si utiliza una única cuenta de Snowflake para múltiples clientes, el trabajo de enriquecimiento puede acceder a todas las bases de datos en esa cuenta. Aplique el ámbito de la función de ejecución del trabajo estrictamente a la base de datos y el esquema de este cliente, y audite regularmente las concesiones de funciones para confirmar que no hay acceso entre clientes.
5. Cree una función exclusiva para Data 360.

   Una función exclusiva es un conjunto nombrado de permisos que asigna al usuario de servicio de Snowflake OIDC.

   CREATE ROLE IF NOT EXISTS DATACLOUD_SF_ROLE;

6. Otorgue a la función acceso a un almacén, una base de datos y un esquema.

   Para ver los almacenes disponibles en su cuenta, vaya a Administrador > Almacenes en la consola de Snowflake y anote el nombre del almacén que desea utilizar. Estos comandos otorgan permiso a la función para utilizar el almacén y acceder a la base de datos y el esquema de este cliente.

   GRANT USAGE ON WAREHOUSE MY_WH TO ROLE DATACLOUD_SF_ROLE;
   GRANT USAGE ON DATABASE CUSTOMER_DB TO ROLE DATACLOUD_SF_ROLE;
   GRANT USAGE ON SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT TO ROLE DATACLOUD_SF_ROLE;

   Sustituya MY_WH por el nombre del almacén, CUSTOMER_DB por la base de datos que creó y ENRICHED_OUTPUT por el esquema que creó. Anote el nombre del almacén: lo introduce en Data 360 al aceptar la invitación.

7. Otorgue el permiso de función para leer las tablas de salida.

   Data 360 lee las tablas de resultados enriquecidos después de que se ejecute el trabajo de enriquecimiento para crear los DMO enriquecidos en la organización del consumidor. Estas subvenciones otorgan a la función acceso SELECT en todas las tablas de resultados, tanto las tablas existentes como las tablas que cree más adelante.

   GRANT SELECT ON ALL TABLES IN SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT TO ROLE DATACLOUD_SF_ROLE;
   GRANT SELECT ON FUTURE TABLES IN SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT TO ROLE DATACLOUD_SF_ROLE;

8. Cree un usuario de servicio con Workload Identity Federation (OIDC) Trust.

   Este es un usuario exclusivo de Snowflake que Data 360 utiliza para conectar con su cuenta de Snowflake y leer las tablas de resultados enriquecidas. A diferencia de un usuario habitual, no tiene contraseña, sino que confía en los tokens de inicio de sesión emitidos por la organización de Salesforce del consumidor. Solo Data 360, autenticado como la organización de ese consumidor específico, puede iniciar sesión como este usuario.

   Utilice el Id. externo y la URL de dominio de Salesforce de consumidor que anotó en la sección Antes de empezar.

   CREATE OR REPLACE USER sf_oidc_user
     WORKLOAD_IDENTITY =
     (
       TYPE = OIDC
       ISSUER = 'https://yourcompany.my.salesforce.com/services/connectors'
       SUBJECT = 'your-external-id'
       OIDC_AUDIENCE_LIST = ('https://yourcompany.my.salesforce.com')
     )
     TYPE = SERVICE
     DEFAULT_ROLE = DATACLOUD_SF_ROLE;

   • ISSUER: introduzca la URL de dominio de Salesforce de consumidor seguida de /services/connectors. Esto indica a Snowflake qué organización de Salesforce puede emitir tokens de inicio de sesión para este usuario. Por ejemplo, https://yourcompany.my.salesforce.com/services/connectors.
   • SUBJECT: Introduzca el Id. externo. Esto basa el Trust en esta colaboración específica; incluso si la misma organización de Salesforce envía un token, ese token no puede acceder a los datos de un cliente diferente.
   • OIDC_AUDIENCE_LIST: introduzca la URL de dominio de Salesforce de consumidor sin un sufijo de ruta. Por ejemplo, https://yourcompany.my.salesforce.com.

   

   Nota Cree un usuario de servicio: no convierta un usuario existente. El cambio de un usuario existente de Snowflake a un usuario de servicio elimina la capacidad de esa persona de iniciar sesión en Snowflake de forma interactiva y mezcla sus permisos diarios con el acceso al equipo. Hacerlo hace que la cuenta sea más difícil de auditar y más difícil de revocar. Un usuario de servicio exclusivo mantiene el acceso de Data 360 completamente aislado y fácil de eliminar. Si utiliza una única cuenta de Snowflake para múltiples clientes, incluya el nombre del cliente en el nombre de usuario del servicio para evitar conflictos, como, por ejemplo, Customer1_DC_User.

   Tenga en cuenta el nombre de usuario del servicio: lo introduce en Data 360 al aceptar la invitación.

9. Asigne la función al usuario de servicio.

   GRANT ROLE DATACLOUD_SF_ROLE TO USER sf_oidc_user;

   El usuario de servicio tiene los permisos que configura.
10. Antes de pasar a Data 360, confirme que tiene estos valores desde su entorno de Snowflake: los introduce en el asistente de aceptación.

    Campo en Data 360	Valor en Snowflake
    URL de cuenta de Snowflake	La URL completa de su cuenta de Snowflake, por ejemplo, https://myorg.snowflakecomputing.com
    Usuario de servicio	El nombre que asignó al usuario de servicio
    Nombre de almacén de datos	El nombre del almacén que utilizó
    Nombre de base de datos	El nombre de la base de datos que creó
    Nombre de esquema	El nombre de esquema que creó

Aceptar la invitación de colaboración en Data 360

11. Vuelva al asistente Aceptar invitación de colaboración de sala limpia en Data 360 y complete estos pasos de aceptación: seleccione un espacio de datos y luego cree o seleccione una plantilla asignada.
12. En la sección Relación Snowflake Trust, verifique que los valores de Id. externo y URL de dominio de Salesforce de consumidor mostrados en la página coinciden con lo que utilizó en los campos SUBJECT y ISSUER al crear el usuario de servicio en Snowflake.
    Estos valores son de solo lectura. Data 360 los muestra aquí de modo que pueda confirmar que su configuración de Snowflake es correcta antes de continuar.
13. En la sección Configuración de conexión de Snowflake, introduzca los valores que anotó en los pasos de configuración.
    • URL de cuenta Snowflake: la URL completa de su cuenta de Snowflake, por ejemplo, https://myorg.snowflakecomputing.com
    • Usuario de servicio: el nombre del usuario de servicio que creó en Snowflake
    • Nombre de almacén: el nombre del almacén asociado con el usuario de servicio
    • Nombre de base de datos: la base de datos que creó en Snowflake
    • Nombre de esquema: el esquema que creó en Snowflake
14. Haga clic en Probar conexión.

    Data 360 intenta conectarse a su cuenta de Snowflake utilizando el usuario de servicio. Si la prueba falla, compruebe que los valores de SUBJECT y ISSUER en su usuario de servicio de Snowflake coinciden exactamente con el Id. externo y la URL de dominio de Salesforce de consumidor mostrados en la página. Compruebe también que su cuenta de Snowflake está en una región compatible con la región de Data 360 del consumidor.

15. Haga clic en Siguiente y acepte la invitación.