Snowflake Trust -suhteen määrittäminen Clean Room Identity Boostille

Snowflake-ympäristösi määrittäminen

1. Avaa Snowflake-työkalusi SQL-editori ja suorita nämä tehtävät määrittääksesi datasäiliöt, käyttöoikeudet ja palvelukäyttäjän.
   

   Huomautus Nämä esimerkkikoodit ovat vain ohjeita varten. Testaa ja vahvista kaikki sandboxin koodit ennen kuin käytät sitä tuotantoympäristössä.
2. Luo tälle asiakkaalle oma tietokanta ja skeema, jotta hänen tietonsa pysyvät erillään muista yhteistyötapahtumista.

   CREATE DATABASE CUSTOMER_DB;
   CREATE SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT;

   Huomioi tietokannan ja skeeman nimet — syötät ne Data 360:ään, kun hyväksyt kutsun.

3. Luo tulostustaulukot.

   Alla on taulukot, joihin rikastustyösi kirjoittaa. Määritä kaikkien sarakkeiden nimet kaksinkertaisissa lainausmerkeissä säilyttääksesi tapauksen. Ilman kaksoislainausmerkkejä Snowflake lisää sarakkeiden nimet automaattisesti ylöspäin, mikä aiheuttaa virheitä, kun Data 360 lukee taulukoita.

   

   Tärkeää Määritä ensisijainen avain jokaiselle tulostustaulukolle. Data 360 lukee ensisijaisen avaimen metadataa, kun se löytää taulukkosi, eikä yhteistyötä voi aktivoida, jos missään tulostustaulukossa puuttuu ensisijainen avain. Määritä sähköposti- ja puhelintaulukoille ensisijainen avain yhteydenottopisteen arvosarakkeessa osapuolen tunnuksen sijaan, koska osapuolen tunnus voi toistua tietueissa.

   -- 1. Bridge Table: links consumer Individual IDs to your internal IDs
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerIndBridgeTable (
     "SourceId"            VARCHAR(255),  -- Consumer's Individual ID
     "PartnerIndividualId" VARCHAR(255)   -- Your internal unique identifier
   );
   
   -- 2. Individual Table: enriched name and identity attributes
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerBoostedIndividualTable (
     "IndividualId"        VARCHAR(255),  -- Matches PartnerIndividualId in bridge table
     "ssot__FirstName__c"  VARCHAR(255),
     "ssot__LastName__c"   VARCHAR(255),
     "EnrichmentTimestamp" TIMESTAMP_NTZ
   );
   
   -- 3. Email Table: enriched email addresses
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerBoostedEmailTable (
     "PartyId"             VARCHAR(255),  -- Links to IndividualId in table 2
     "EnrichedEmail"       VARCHAR(255),
     "EnrichmentTimestamp" TIMESTAMP_NTZ
   );
   
   -- 4. Phone Table: enriched phone numbers
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerBoostedPhoneTable (
     "PartyId"             VARCHAR(255),  -- Links to IndividualId in table 2
     "EnrichedPhone"       VARCHAR(50),
     "EnrichmentTimestamp" TIMESTAMP_NTZ
   );

   

   Huomautus Alla olevat taulukoiden nimet ovat esimerkkejä. Käytä kutsua hyväksyessäsi annetussa metadatan JSON-tiedostossa esitettyjä todellisia nimiä. Data 360 käyttää JSON-tiedoston objectApiName-arvoja löytääkseen Snowflake-skeemasi taulukot.
4. Ota rikastustyösi käyttöön ja määritä se keskittymään tämän asiakkaan skeemaan.

   Määritä työkoodisi lukuoikeudeksi Snowflake-datayhteydestä, jonka Data 360 luo ympäristössäsi hyväksymisen jälkeen, suorita identiteetin vahvistus identiteettikaaviollesi ja kirjoita luomaasi tietokantaan ja skeemaan rikastettu tulos.

   Älä suorita työtä vielä — kuluttajan tiedot eivät ole käytettävissä Snowflake-ympäristössäsi ennen kuin olet hyväksynyt kutsun Data 360:sta.

   

   Huomautus Jos käytät yhtä Snowflake-tiliä useille asiakkaille, rikastustyö voi käyttää kaikkia tilin tietokantoja. Raja työn suoritusrooli tarkasti tämän asiakkaan tietokantaan ja skeemaan, ja tarkasta roolien myöntämiset säännöllisesti vahvistaaksesi, ettei asiakassuhteiden käyttöä ole.
5. Luo Data 360:lle oma rooli.

   Erillinen rooli on nimetty käyttöoikeusjoukko, jonka kohdistat Snowflake OIDC -palvelukäyttäjälle.

   CREATE ROLE IF NOT EXISTS DATACLOUD_SF_ROLE;

6. Myönnä roolille varaston, tietokannan ja skeeman käyttöoikeudet.

   Jos haluat nähdä tililläsi käytettävissä olevat varastot, avaa Snowflake-konsolin Pääkäyttäjä > varastot ja merkitse haluamasi varaston nimi. Nämä komennot sallivat roolin käyttää varastoa ja käyttää asiakkaan tietokantaa ja skeemaa.

   GRANT USAGE ON WAREHOUSE MY_WH TO ROLE DATACLOUD_SF_ROLE;
   GRANT USAGE ON DATABASE CUSTOMER_DB TO ROLE DATACLOUD_SF_ROLE;
   GRANT USAGE ON SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT TO ROLE DATACLOUD_SF_ROLE;

   Korvaa MY_WH varaston nimellä, CUSTOMER_DB luomallasi tietokannalla ja ENRICHED_OUTPUT luomallasi skeemalla. Huomioi varaston nimi — syötät sen Data 360:een, kun hyväksyt kutsun.

7. Myönnä roolille tulostustaulukoiden lukuoikeus.

   Data 360 lukee rikastetut tulostaulukot, kun rikastustyö suoritetaan luodakseen rikastetut DMO-organisaatiot kuluttajan organisaatiossa. Nämä myönnytykset tarjoavat roolille SELECT-käyttöoikeuden kaikkiin tulostaulukoihin — sekä olemassa oleviin taulukoihisi että myöhemmin luomiisi taulukoihin.

   GRANT SELECT ON ALL TABLES IN SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT TO ROLE DATACLOUD_SF_ROLE;
   GRANT SELECT ON FUTURE TABLES IN SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT TO ROLE DATACLOUD_SF_ROLE;

8. Luo palvelukäyttäjä Workload Identity Federation (OIDC) Trustilla.

   Tämä on varattu Snowflake-käyttäjä, jota Data 360 käyttää muodostaakseen yhteyden Snowflake-tiliisi ja lukeakseen rikastettuja tulostaulukoita. Toisin kuin tavallisella käyttäjällä, sillä ei ole salasanaa — sen sijaan se luottaa kuluttajan Salesforce-organisaation antamiin sisäänkirjautumisvaltuuksiin. Vain Data 360, joka on todennettu kyseisen kuluttajan organisaatioksi, voi kirjautua sisään tässä käyttäjänä.

   Käytä Ennen aloittamista -osiossa huomioitua Ulkoinen tunnus- ja Salesforce-toimialueen URL-osoitetta.

   CREATE OR REPLACE USER sf_oidc_user
     WORKLOAD_IDENTITY =
     (
       TYPE = OIDC
       ISSUER = 'https://yourcompany.my.salesforce.com/services/connectors'
       SUBJECT = 'your-external-id'
       OIDC_AUDIENCE_LIST = ('https://yourcompany.my.salesforce.com')
     )
     TYPE = SERVICE
     DEFAULT_ROLE = DATACLOUD_SF_ROLE;

   • ISSUER — Syötä Consumer Salesforce-toimialueen URL-osoite, jonka perässä lukee /services/connectors. Tämä kertoo Snowflakelle, mikä Salesforce-organisaatio voi myöntää kirjautumisvaltuuksia tälle käyttäjälle. Esimerkiksi https://yourcompany.my.salesforce.com/services/connectors.
   • SUBJECT — Syötä Ulkoinen tunnus. Tämä kiinnittää Trust-arvon tähän tiettyyn yhteistyöhön — vaikka sama Salesforce-organisaatio lähettäisi valtuuden, valtuus ei voi käyttää toisen asiakkaan tietoja.
   • OIDC_AUDIENCE_LIST — Syötä Consumer Salesforce Domain URL ilman jälkiliitettä. Esimerkiksi https://yourcompany.my.salesforce.com.

   

   Huomautus Luo palvelukäyttäjä — älä muunna olemassa olevaa käyttäjää. Olemassa olevan Snowflake-käyttäjän muuttaminen palvelukäyttäjäksi poistaa kyseisen henkilön mahdollisuuden kirjautua sisään Snowflakeen interaktiivisesti ja yhdistää hänen päivittäiset käyttöoikeutensa koneiden käyttöoikeuksiin. Näin tilin tarkastaminen ja kumoaminen on vaikeampaa. Erillisen palvelun käyttäjä pitää Data 360:n käyttöoikeudet täysin erillään ja helposti poistettavissa. Jos käytät yhtä Snowflake-tiliä useille asiakkaille, sisällytä asiakkaan nimi palvelun käyttäjänimeen välttyäksesi ristiriidoilta — esimerkiksi Customer1_DC_User.

   Huomioi palvelun käyttäjänimi — syötät sen Data 360:een, kun hyväksyt kutsun.

9. Kohdista rooli palvelukäyttäjälle.

   GRANT ROLE DATACLOUD_SF_ROLE TO USER sf_oidc_user;

   Palvelukäyttäjällä on määrittämäsi käyttöoikeudet.
10. Ennen kuin siirryt käyttämään Data 360 -versiota, varmista, että sinulla on nämä arvot Snowflake-ympäristöstäsi — syötät ne ohjattuun hyväksymistoimintoon.

    Kenttä Data 360:ssa	Snowflaken arvo
    Snowflake-tilin URL	Snowflake-tilisi koko URL-osoite, esimerkiksi https://myorg.snowflakecomputing.com
    Palvelukäyttäjä	Palvelukäyttäjälle antamasi nimi
    Tietovaraston nimi	Käyttämäsi varaston nimi
    Tietokannan nimi	Luomasi tietokannan nimi
    Skeeman nimi	Luomasi skeeman nimi

Yhteistyökutsun hyväksyminen Data 360:ssa

11. Palaa Accept Clean Room -yhteistyön kutsun ohjattuun toimintoon Data 360:ssa ja suorita seuraavat hyväksymisvaiheet: Valitse datatila ja luo tai valitse kartoitettu malli.
12. Tarkasta Snowflake Trust Relationship -osiosta, että sivulla näytettävät ulkoisen tunnuksen ja Salesforce-toimialueen URL-osoitteen arvot vastaavat niitä arvoja, joita käytit SUBJECT- ja ISSUER-kentissä, kun loit palvelukäyttäjää Snowflakessa.
    Nämä arvot ovat Vain luku -muotoisia. Data 360 näyttää ne tässä, jotta voit vahvistaa, että Snowflake-määrityksesi ovat oikein ennen jatkamista.
13. Syötä määritysvaiheessa huomioimasi arvot Snowflake Connection Settings -osioon.
    • Snowflake-tilin URL-osoite: Snowflake-tilisi koko URL-osoite, esimerkiksi https://myorg.snowflakecomputing.com
    • Palvelukäyttäjä: Snowflakessa luomasi palvelukäyttäjän nimi
    • Datan varaston nimi: palvelukäyttäjään liittyvän varaston nimi
    • Tietokannan nimi: Snowflakessa luomasi tietokanta
    • Skeeman nimi: Snowflakessa luomasi skeema
14. Napsauta Test Connection.

    Data 360 yrittää muodostaa yhteyden Snowflake-tilillesi palvelukäyttäjän avulla. Jos testi epäonnistuu, tarkasta, että Snowflake-palvelukäyttäjäsi SUBJECT- ja ISSUER-arvot vastaavat sivulla näytettyä Ulkoinen tunnus- ja Salesforce Consumer Domain URL -osoitetta tarkalleen. Tarkasta myös, että Snowflake-tilisi sijaitsee alueella, joka on yhteensopiva kuluttajan Data 360 -alueen kanssa.

15. Napsauta Seuraava ja hyväksy kutsu.