Snowflake Trust relatie configureren voor Clean Room Identity Boost

Uw Snowflake-omgeving instellen

1. Open in uw Snowflake-werkblad de SQL Editor en voltooi deze taken om de gegevenscontainers, machtigingen en servicegebruiker in te stellen.
   

   Opmerking Deze codevoorbeelden zijn alleen ter oriëntatie. Test en valideer alle code in een sandbox voordat u deze in productie gebruikt.
2. Maak een speciale database en een schema voor deze klant, zodat diens gegevens geïsoleerd blijven van andere samenwerkingen.

   CREATE DATABASE CUSTOMER_DB;
   CREATE SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT;

   Let op de namen van de database en schema's. U geeft deze op in Data 360 wanneer u de uitnodiging accepteert.

3. Maak de uitvoertabellen.

   Dit zijn de tabellen waarnaar uw verrijkingstaak schrijft. Definieer alle kolomnamen tussen dubbele aanhalingstekens om de case te behouden. Zonder dubbele aanhalingstekens zet Snowflake kolomnamen automatisch in hoofdletters, wat tot fouten leidt wanneer Data 360 de tabellen leest.

   

   Belangrijk Definieer een primaire sleutel voor elke uitvoertabel. Data 360 leest metagegevens van primaire sleutels wanneer uw tabellen worden ontdekt. De samenwerking kan niet actief worden als er in een uitvoertabel geen primaire sleutel ontbreekt. Definieer voor de e-mail- en telefoontabellen de primaire sleutel voor de kolom voor de waarde van het aanspreekpunt in plaats van de partij-ID, omdat een partij-ID kan worden herhaald tussen records.

   -- 1. Bridge Table: links consumer Individual IDs to your internal IDs
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerIndBridgeTable (
     "SourceId"            VARCHAR(255),  -- Consumer's Individual ID
     "PartnerIndividualId" VARCHAR(255)   -- Your internal unique identifier
   );
   
   -- 2. Individual Table: enriched name and identity attributes
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerBoostedIndividualTable (
     "IndividualId"        VARCHAR(255),  -- Matches PartnerIndividualId in bridge table
     "ssot__FirstName__c"  VARCHAR(255),
     "ssot__LastName__c"   VARCHAR(255),
     "EnrichmentTimestamp" TIMESTAMP_NTZ
   );
   
   -- 3. Email Table: enriched email addresses
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerBoostedEmailTable (
     "PartyId"             VARCHAR(255),  -- Links to IndividualId in table 2
     "EnrichedEmail"       VARCHAR(255),
     "EnrichmentTimestamp" TIMESTAMP_NTZ
   );
   
   -- 4. Phone Table: enriched phone numbers
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerBoostedPhoneTable (
     "PartyId"             VARCHAR(255),  -- Links to IndividualId in table 2
     "EnrichedPhone"       VARCHAR(50),
     "EnrichmentTimestamp" TIMESTAMP_NTZ
   );

   

   Opmerking De hier getoonde tabelnamen zijn voorbeelden. Gebruik de feitelijke namen die zijn gedeclareerd in de aanvullende metagegevens-JSON die u opgeeft bij het accepteren van de uitnodiging. Data 360 gebruikt de objectApiName in die JSON om de tabellen in uw Snowflake-schema te vinden.
4. Implementeer uw verrijkingstaak en configureer deze voor het schema van deze klant.

   Stel uw taakcode in om te lezen uit de Snowflake-gegevensshare die Data 360 in uw omgeving maakt na acceptatie, voer identiteitsoplossing uit op basis van uw identiteitsgrafiek en schrijf verrijkte uitvoer naar de database en het schema die u hebt gemaakt.

   Voer de taak nog niet uit: de gegevens van de consument zijn pas beschikbaar in uw Snowflake-omgeving nadat u de uitnodiging in Data 360 hebt geaccepteerd.

   

   Opmerking Als u één Snowflake-account voor meerdere klanten gebruikt, heeft de verrijkingstaak toegang tot alle databases in die account. Beperk de uitvoeringsrol van de taak strikt tot de database en het schema van deze klant, en controleer regelmatig de roltoekenningen om te bevestigen dat er geen toegang voor meerdere klanten is.
5. Maak een speciale rol voor Data 360.

   Een speciale rol is een benoemde set machtigingen die u toewijst aan de Snowflake OIDC-servicegebruiker.

   CREATE ROLE IF NOT EXISTS DATACLOUD_SF_ROLE;

6. Verleen de rol toegang tot een magazijn, database en schema.

   Als u de magazijnen wilt zien die beschikbaar zijn in uw account, gaat u naar Beheerder > Magazijnen in de Snowflake Console en noteert u de naam van het magazijn dat u wilt gebruiken. Deze opdrachten geven de rol de machtiging om het magazijn te gebruiken en toegang te krijgen tot de database en het schema van deze klant.

   GRANT USAGE ON WAREHOUSE MY_WH TO ROLE DATACLOUD_SF_ROLE;
   GRANT USAGE ON DATABASE CUSTOMER_DB TO ROLE DATACLOUD_SF_ROLE;
   GRANT USAGE ON SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT TO ROLE DATACLOUD_SF_ROLE;

   Vervang MY_WH door de magazijnnaam, CUSTOMER_DB door de database die u hebt gemaakt en ENRICHED_OUTPUT door het schema dat u hebt gemaakt. Noteer de naam van het magazijn: u geeft deze op in Data 360 wanneer u de uitnodiging accepteert.

7. Verleen de rolmachtiging om de uitvoertabellen te lezen.

   Data 360 leest de verrijkte uitvoertabellen nadat de verrijkingstaak is uitgevoerd om de verrijkte DMO's te maken in de organisatie van de consument. Deze toekenningen geven de rol SELECT toegang voor alle uitvoertabellen — zowel uw bestaande tabellen als alle tabellen die u later maakt.

   GRANT SELECT ON ALL TABLES IN SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT TO ROLE DATACLOUD_SF_ROLE;
   GRANT SELECT ON FUTURE TABLES IN SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT TO ROLE DATACLOUD_SF_ROLE;

8. Maak een servicegebruiker met OIDC Trust (Workload Identity Federation).

   Dit is een speciale Snowflake-gebruiker die Data 360 gebruikt om verbinding te maken met uw Snowflake-account en de verrijkte uitvoertabellen te lezen. In tegenstelling tot een gewone gebruiker heeft deze geen wachtwoord, maar vertrouwt deze inlogtokens die zijn uitgegeven door de Salesforce-organisatie van de consument. Alleen Data 360, geauthenticeerd als de organisatie van die specifieke consument, kan inloggen als deze gebruiker.

   Gebruik de Externe ID en Consumenten Salesforce-domein-URL die u hebt genoteerd in de sectie Voordat u begint.

   CREATE OR REPLACE USER sf_oidc_user
     WORKLOAD_IDENTITY =
     (
       TYPE = OIDC
       ISSUER = 'https://yourcompany.my.salesforce.com/services/connectors'
       SUBJECT = 'your-external-id'
       OIDC_AUDIENCE_LIST = ('https://yourcompany.my.salesforce.com')
     )
     TYPE = SERVICE
     DEFAULT_ROLE = DATACLOUD_SF_ROLE;

   • ISSUER — Geef de URL van het Salesforce-domein Consument op gevolgd door /services/connectors. Dit vertelt Snowflake welke Salesforce-organisatie inlogtokens kan uitgeven voor deze gebruiker. Bijvoorbeeld https://yourcompany.my.salesforce.com/services/connectors.
   • SUBJECT: geef de externe ID op. Dit zet het Trust op deze specifieke samenwerking vast. Zelfs als dezelfde Salesforce-organisatie een token verzendt, heeft dat token geen toegang tot de gegevens van een andere klant.
   • OIDC_AUDIENCE_LIST: geef de URL van het Salesforce-domein Consument op zonder padsuffix. Bijvoorbeeld https://yourcompany.my.salesforce.com.

   

   Opmerking Maak een servicegebruiker: converteer een bestaande gebruiker niet. Als u een bestaande Snowflake-gebruiker wijzigt in een servicegebruiker, kan die persoon niet meer interactief inloggen bij Snowflake en worden diens dagelijkse machtigingen gecombineerd met machinetoegang. Hierdoor is de account moeilijker te controleren en in te trekken. Een toegewijde servicegebruiker houdt de toegang tot Data 360 volledig geïsoleerd en gemakkelijk te verwijderen. Als u één Snowflake-account voor meerdere klanten gebruikt, neemt u de klantnaam op in de servicegebruikersnaam om conflicten te voorkomen, bijvoorbeeld Customer1_DC_User.

   Let op de gebruikersnaam van de service: u geeft deze op in Data 360 wanneer u de uitnodiging accepteert.

9. Wijs de rol toe aan de servicegebruiker.

   GRANT ROLE DATACLOUD_SF_ROLE TO USER sf_oidc_user;

   De servicegebruiker heeft de machtigingen die u instelt.
10. Voordat u overschakelt naar Data 360, controleert u of u deze waarden hebt uit uw Snowflake-omgeving. U geeft ze op in de acceptatiewizard.

    Veld in Data 360	Waarde in Snowflake
    Snowflake-account-URL	De volledige URL van uw Snowflake-account, bijvoorbeeld https://myorg.snowflakecomputing.com
    Servicegebruiker	De naam die u de servicegebruiker hebt gegeven
    Naam gegevensmagazijn	De magazijnnaam die u hebt gebruikt
    Databasenaam	De databasenaam die u hebt gemaakt
    Naam van schema	De schemanaam die u hebt gemaakt

De uitnodiging voor samenwerking accepteren in Data 360

11. Ga terug naar de wizard Samenwerkingsuitnodiging voor cleanrooms accepteren in Data 360 en voltooi deze acceptatiestappen: selecteer een gegevensruimte en maak of selecteer vervolgens een toegewezen sjabloon.
12. Controleer in de sectie Snowflake Trust Relationship of de waarden Externe ID en Consumenten Salesforce-domein-URL die op de pagina worden weergegeven, overeenkomen met wat u hebt gebruikt in de velden SUBJECT en ISSUER bij het maken van de servicegebruiker in Snowflake.
    Deze waarden zijn alleen-lezen. Data 360 toont ze hier, zodat u kunt controleren of uw Snowflake-set-up correct is voordat u doorgaat.
13. Geef in de sectie Snowflake-verbindingsinstellingen de waarden op die u hebt genoteerd in de set-upstappen.
    • Snowflake-account-URL: de volledige URL van uw Snowflake-account, bijvoorbeeld https://myorg.snowflakecomputing.com
    • Servicegebruiker: de naam van de servicegebruiker die u in Snowflake hebt gemaakt
    • Data Warehouse Name: de magazijnnaam die is gekoppeld aan de servicegebruiker
    • Databasenaam: de database die u hebt gemaakt in Snowflake
    • Schemanaam: het schema dat u hebt gemaakt in Snowflake
14. Klik op Verbinding testen.

    Data 360 probeert verbinding te maken met uw Snowflake-account met behulp van de servicegebruiker. Als de test mislukt, controleert u of de SUBJECT en ISSUER in uw Snowflake-servicegebruiker exact overeenkomen met de Externe ID en Consumenten-Salesforce-domein-URL die op de pagina worden getoond. Controleer ook of uw Snowflake-account zich in een regio bevindt die compatibel is met de regio Data 360 van de consument.

15. Klik op Volgende en accepteer de uitnodiging.