Konfigurere Snowflake Trust-relasjon for Clean Room Identity Boost

Konfigurere Snowflake-miljøet

1. Åpne SQL-redigeringsprogrammet i Snowflake-regnearket og utfør disse oppgavene for å konfigurere databeholdere, tillatelser og tjenestebrukere.
   

   Merk Disse kodeeksemplene er bare for veiledning. Test og valider all kode i en Sandbox-organisasjon før du bruker den i produksjonsorganisasjonen.
2. Opprett en dedikert database og et skjema for denne kunden slik at dataene deres holdes isolert fra andre samarbeid.

   CREATE DATABASE CUSTOMER_DB;
   CREATE SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT;

   Noter deg navnet på databasen og skjemaet – du oppgir dem i Data 360 når du godtar invitasjonen.

3. Opprett utdatatabellene.

   Dette er tabellene som anrikingsjobben skriver til. Definer alle kolonnenavn med doble anførselstegn for å beholde sak. Uten dobbeltanførselstegn setter Snowflake automatisk opp kolonnenavn, noe som fører til feil når Data 360 leser tabellene.

   

   Viktig Definer en primærnøkkel i hver utdatatabell. Data 360 leser primærnøkkelmetadata når den oppdager tabellene, og samarbeidet kan ikke bli aktivt hvis en utdatatabell mangler en primærnøkkel. For e-post- og telefontabellene definerer du primærnøkkelen i kontaktpunktverdikolonnen i stedet for parts-IDen fordi en parts-ID kan gjentas på tvers av poster.

   -- 1. Bridge Table: links consumer Individual IDs to your internal IDs
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerIndBridgeTable (
     "SourceId"            VARCHAR(255),  -- Consumer's Individual ID
     "PartnerIndividualId" VARCHAR(255)   -- Your internal unique identifier
   );
   
   -- 2. Individual Table: enriched name and identity attributes
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerBoostedIndividualTable (
     "IndividualId"        VARCHAR(255),  -- Matches PartnerIndividualId in bridge table
     "ssot__FirstName__c"  VARCHAR(255),
     "ssot__LastName__c"   VARCHAR(255),
     "EnrichmentTimestamp" TIMESTAMP_NTZ
   );
   
   -- 3. Email Table: enriched email addresses
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerBoostedEmailTable (
     "PartyId"             VARCHAR(255),  -- Links to IndividualId in table 2
     "EnrichedEmail"       VARCHAR(255),
     "EnrichmentTimestamp" TIMESTAMP_NTZ
   );
   
   -- 4. Phone Table: enriched phone numbers
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerBoostedPhoneTable (
     "PartyId"             VARCHAR(255),  -- Links to IndividualId in table 2
     "EnrichedPhone"       VARCHAR(50),
     "EnrichmentTimestamp" TIMESTAMP_NTZ
   );

   

   Merk Tabellnavnene som vises her, er eksempler. Bruk de faktiske navnene som er erklært i den ekstra metadata-JSON-koden du oppgir når du godtar invitasjonen. Data 360 bruker objectApiName-verdiene i JSON-filen til å finne tabellene i Snowflake-skjemaet.
4. Distribuer anrikingsjobben og konfigurer den til å målrette denne kundens skjema.

   Konfigurer jobbkoden til å lese fra Snowflake-datadeling som Data 360 oppretter i miljøet etter godkjenning, kjør identitetsløsning mot identitetsgrafen og skriv berikede utdata til databasen og skjemaet du opprettet.

   Ikke kjør jobben ennå – forbrukerdataene er ikke tilgjengelig i Snowflake-miljøet før du har godtatt invitasjonen i Data 360.

   

   Merk Hvis du bruker én enkelt Snowflake-konto for flere kunder, får anrikingsjobben tilgang til alle databasene i den kontoen. Omfang jobbens utføringsrolle strengt til denne kundens database og skjema, og revider regelmessig rolletildelinger for å bekrefte at det ikke finnes noen tilgang på tvers av kunder.
5. Opprett en egen rolle for Data 360.

   En dedikert rolle er et navngitt sett tillatelser som du tildeler Snowflake OIDC-tjenestebrukeren.

   CREATE ROLE IF NOT EXISTS DATACLOUD_SF_ROLE;

6. Gi rollen tilgang til en lagerbygning, en database og et skjema.

   Hvis du vil se hvilke lagre som er tilgjengelig i kontoen, går du til Administrator > lagre i Snowflake-konsollen og noterer deg navnet på lageret du vil bruke. Disse kommandoene gir rollen tillatelse til å bruke lagerbygningen og tilgang til denne kundens database og skjema.

   GRANT USAGE ON WAREHOUSE MY_WH TO ROLE DATACLOUD_SF_ROLE;
   GRANT USAGE ON DATABASE CUSTOMER_DB TO ROLE DATACLOUD_SF_ROLE;
   GRANT USAGE ON SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT TO ROLE DATACLOUD_SF_ROLE;

   Erstatt MY_WH med lagernavnet, CUSTOMER_DB med databasen du opprettet, og ENRICHED_OUTPUT med skjemaet du opprettet. Noter deg lagernavnet – du oppgir det i Data 360 når du godtar invitasjonen.

7. Gi rollen tillatelse til å lese utdatatabellene.

   Data 360 leser de anrikede utdatatabellene etter at anrikingsjobben har blitt kjørt for å opprette de anrikede DMO-ene i forbrukerorganisasjonen. Disse tildelingene gir rollen SELECT-tilgang til alle utdatatabeller – både dine eksisterende tabeller og eventuelle tabeller som du oppretter senere.

   GRANT SELECT ON ALL TABLES IN SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT TO ROLE DATACLOUD_SF_ROLE;
   GRANT SELECT ON FUTURE TABLES IN SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT TO ROLE DATACLOUD_SF_ROLE;

8. Opprett en tjenestebruker med Workload Identity Federation (OIDC) Trust.

   Dette er en dedikert Snowflake-bruker som Data 360 bruker til å koble til Snowflake-kontoen og lese de berikede utdatatabellene. Til forskjell fra en vanlig bruker har den ikke passord – i stedet klarerer den påloggingstokener utstedt av forbrukerens Salesforce-organisasjon. Bare Data 360, som er godkjent som den bestemte forbrukerorganisasjonen, kan logge seg på som denne brukeren.

   Bruk den eksterne IDen og URL-adressen for Salesforce Consumer-domene som du noterte deg i delen Før du begynner.

   CREATE OR REPLACE USER sf_oidc_user
     WORKLOAD_IDENTITY =
     (
       TYPE = OIDC
       ISSUER = 'https://yourcompany.my.salesforce.com/services/connectors'
       SUBJECT = 'your-external-id'
       OIDC_AUDIENCE_LIST = ('https://yourcompany.my.salesforce.com')
     )
     TYPE = SERVICE
     DEFAULT_ROLE = DATACLOUD_SF_ROLE;

   • ISSUER – Oppgi URL-adressen til Consumer Salesforce-domene fulgt av /services/connectors. Dette forteller Snowflake hvilken Salesforce-organisasjon som kan utstede påloggingstokener for denne brukeren. For eksempel https://yourcompany.my.salesforce.com/services/connectors.
   • SUBJECT – Skriv inn den eksterne ID-en. Dette fester Trust til dette bestemte samarbeidet – selv om samme Salesforce-organisasjon sender et token, kan ikke dette tokenet få tilgang til en annen kundes data.
   • OIDC_AUDIENCE_LIST: Oppgi URL-adressen til Consumer Salesforce-domene uten banesuffiks. For eksempel https://yourcompany.my.salesforce.com.

   

   Merk Opprett en tjenestebruker – ikke konverter en eksisterende bruker. Endring av en eksisterende Snowflake-bruker til en tjenestebruker fjerner denne personens mulighet til å logge på Snowflake interaktivt og blander deres daglige tillatelser med maskintilgang. Det gjør det vanskeligere å revidere kontoen og vanskeligere å oppheve den. En dedikert servicebruker holder Data 360s tilgang fullstendig isolert og enkelt å fjerne. Hvis du bruker én enkelt Snowflake-konto for flere kunder, inkluderer du kundenavnet i tjenestebrukernavnet for å unngå konflikter, for eksempel Customer1_DC_User.

   Noter deg tjenestebrukernavnet – du oppgir det i Data 360 når du godtar invitasjonen.

9. Tildel rollen til tjenestebrukeren.

   GRANT ROLE DATACLOUD_SF_ROLE TO USER sf_oidc_user;

   Tjenestebrukeren har tillatelsene du konfigurerer.
10. Før du går til Data 360 må du kontrollere at du har disse verdiene fra Snowflake-miljøet – du skriver dem inn i godkjenningsveiviseren.

    Felt i Data 360	Verdi i Snowflake
    URL-adresse til Snowflake-konto	Den fullstendige URL-adressen til Snowflake-kontoen, for eksempel https://myorg.snowflakecomputing.com
    Tjenestebruker	Navnet du ga tjenestebrukeren
    Navn på datalager	Lagernavnet du brukte
    Databasenavn	Databasenavnet du opprettet
    Skjemanavn	Skjemanavnet du opprettet

Godta samarbeidsinvitasjonen i Data 360

11. Gå tilbake til veiviseren Godta samarbeidsinvitasjon for ryddige rom i Data 360 og utfør disse godkjenningstrinnene: velg et dataområde, og opprett eller velg deretter en tilordnet mal.
12. I delen Snowflake Trust Relationship kontrollerer du at verdiene for ekstern ID og URL-adresse for Salesforce-domene for forbruker som vises på siden, samsvarer med det du brukte i SUBJECT- og ISSUER-feltene da du opprettet tjenestebrukeren i Snowflake.
    Disse verdiene er skrivebeskyttet. Data 360 viser dem her slik at du kan bekrefte at Snowflake-oppsettet er riktig før du fortsetter.
13. I delen Innstillinger for Snowflake-tilkobling skriver du inn verdiene du noterte deg i oppsettrinnene.
    • Snowflake-konto-URL: den fullstendige URL-adressen til Snowflake-kontoen din, for eksempel https://myorg.snowflakecomputing.com
    • Tjenestebruker: navnet på tjenestebrukeren du opprettet i Snowflake
    • Data Warehouse Name: lagerbygningsnavnet som er knyttet til tjenestebrukeren
    • Databasenavn: databasen som du har opprettet i Snowflake
    • Skjemanavn: skjemaet du opprettet i Snowflake
14. Klikk på Test Connection (Test tilkobling).

    Data 360 forsøker å koble til Snowflake-kontoen din ved bruk av tjenesten. Hvis testen mislykkes, kontrollerer du at SUBJECT- og ISSUER-verdiene i Snowflake-tjenestebrukeren samsvarer nøyaktig med den eksterne IDen og URL-adressen til Salesforce Consumer-domene som vises på siden. Kontroller også at Snowflake-kontoen er i et område som er kompatibelt med forbrukerens Data 360-område.

15. Klikk på Neste og godta invitasjonen.