Konfigurera Snowflake Trust för identitetsboost för renrum

Konfigurera din Snowflake-miljö

1. I ditt Snowflake-kalkylblad, öppna SQL-redigeraren och utför dessa uppgifter för att konfigurera databehållare, behörigheter och serviceanvändare.
   

   Anteckning Dessa kodexempel är endast för vägledning. Testa och validera all kod i en sandbox innan du använder den i produktion.
2. Skapa en dedikerad databas och schema för denna kund så att deras data förblir isolerade från andra samarbeten.

   CREATE DATABASE CUSTOMER_DB;
   CREATE SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT;

   Notera databas- och schemanamnen – du anger dem i Data 360 när du accepterar inbjudan.

3. Skapa utdatatabellerna.

   Dessa är tabellerna som ditt anrikningsjobb skriver till. Definiera alla kolumnnamn med dubbla citattecken för att bevara kundcase. Utan dubbla citattecken ger Snowflake automatiskt kolumnnamn med versaler, vilket orsakar fel när Data 360 läser tabellerna.

   

   Viktig Definiera en primär nyckel i varje utdatatabell. Data 360 läser metadata med primär nyckel när det upptäcker dina tabeller och samarbetet kan inte bli aktivt om någon utdatatabell saknar en primär nyckel. För e-post- och telefontabeller, definiera den primära nyckeln i kolumnen kontaktpunktvärde istället för part-ID, eftersom ett part-ID kan upprepas över poster.

   -- 1. Bridge Table: links consumer Individual IDs to your internal IDs
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerIndBridgeTable (
     "SourceId"            VARCHAR(255),  -- Consumer's Individual ID
     "PartnerIndividualId" VARCHAR(255)   -- Your internal unique identifier
   );
   
   -- 2. Individual Table: enriched name and identity attributes
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerBoostedIndividualTable (
     "IndividualId"        VARCHAR(255),  -- Matches PartnerIndividualId in bridge table
     "ssot__FirstName__c"  VARCHAR(255),
     "ssot__LastName__c"   VARCHAR(255),
     "EnrichmentTimestamp" TIMESTAMP_NTZ
   );
   
   -- 3. Email Table: enriched email addresses
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerBoostedEmailTable (
     "PartyId"             VARCHAR(255),  -- Links to IndividualId in table 2
     "EnrichedEmail"       VARCHAR(255),
     "EnrichmentTimestamp" TIMESTAMP_NTZ
   );
   
   -- 4. Phone Table: enriched phone numbers
   CREATE OR REPLACE TABLE CUSTOMER_DB.ENRICHED_OUTPUT.PartnerBoostedPhoneTable (
     "PartyId"             VARCHAR(255),  -- Links to IndividualId in table 2
     "EnrichedPhone"       VARCHAR(50),
     "EnrichmentTimestamp" TIMESTAMP_NTZ
   );

   

   Anteckning Tabellnamnen som visas här är exempel. Använd de faktiska namn som deklarerats i den ytterligare metadata-JSON du anger när du accepterar inbjudan. Data 360 använder objectApiName i den JSON för att hitta tabellerna i ditt Snowflake-schema.
4. Distribuera ditt anrikningsjobb och konfigurera det så att det riktar in sig på denna kunds schema.

   Konfigurera din jobbkod för att läsa från Snowflake-datadelningen som Data 360 skapar i din miljö efter godkännande, kör identitetslösning mot din identitetsgraf och skriv utökad utdata till databasen och schemat som du skapade.

   Kör inte jobbet ännu — konsumentens data är inte tillgängliga i din Snowflake-miljö förrän du har accepterat inbjudan i Data 360.

   

   Anteckning Om du använder ett enskilt Snowflake-konto för flera kunder kan anrikningsjobbet komma åt alla databaser i det kontot. Omfatta jobbets utföranderoll strikt till denna kunds databas och schema, och granska regelbundet tilldelningar av roller för att bekräfta att ingen korskundsåtkomst har skett.
5. Skapa en dedikerad roll för Data 360.

   En dedikerad roll är en namngiven uppsättning behörigheter som du tilldelar till Snowflake OIDC-tjänstanvändaren.

   CREATE ROLE IF NOT EXISTS DATACLOUD_SF_ROLE;

6. Bevilja rollåtkomst till en lagerbyggnad, databas och schema.

   För att se vilka lagerbyggnader som är tillgängliga i ditt konto, gå till Administratör > Lagerbyggnader i Snowflake Console och notera namnet på den lagerbyggnad du vill använda. Dessa kommandon ger rollen behörighet att använda lagerbyggnaden och att komma åt denna kunds databas och schema.

   GRANT USAGE ON WAREHOUSE MY_WH TO ROLE DATACLOUD_SF_ROLE;
   GRANT USAGE ON DATABASE CUSTOMER_DB TO ROLE DATACLOUD_SF_ROLE;
   GRANT USAGE ON SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT TO ROLE DATACLOUD_SF_ROLE;

   Ersätt MY_WH med lagernamnet, CUSTOMER_DB med den databas du skapade och ENRICHED_OUTPUT med det schema du skapade. Notera lagerbyggnadens namn – du anger det i Data 360 när du accepterar inbjudan.

7. Ge rollen behörighet att läsa utdatatabellerna.

   Data 360 läser de förbättrade utdatatabellerna efter att anrikningsjobbet körts för att skapa de förbättrade DMO i konsumentens organisation. Dessa bidrag ger rollen SELECT åtkomst till alla utdatatabeller — både dina befintliga tabeller och tabeller som du skapar senare.

   GRANT SELECT ON ALL TABLES IN SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT TO ROLE DATACLOUD_SF_ROLE;
   GRANT SELECT ON FUTURE TABLES IN SCHEMA CUSTOMER_DB.ENRICHED_OUTPUT TO ROLE DATACLOUD_SF_ROLE;

8. Skapa en serviceanvändare med Workload Identity Federation (OIDC) Trust.

   Detta är en dedikerad Snowflake-användare som Data 360 använder för att ansluta till ditt Snowflake-konto och läsa tabellerna för utökade utdata. Till skillnad från en vanlig användare har den inget lösenord — istället litar den på inloggningstokens utfärdade av konsumentens Salesforce-organisation. Endast Data 360, autentiserad som den specifika konsumentens organisation, kan logga in som denna användare.

   Använd Externt ID och Konsumentens Salesforce-domän-URL som du noterade i sektionen Innan du börjar.

   CREATE OR REPLACE USER sf_oidc_user
     WORKLOAD_IDENTITY =
     (
       TYPE = OIDC
       ISSUER = 'https://yourcompany.my.salesforce.com/services/connectors'
       SUBJECT = 'your-external-id'
       OIDC_AUDIENCE_LIST = ('https://yourcompany.my.salesforce.com')
     )
     TYPE = SERVICE
     DEFAULT_ROLE = DATACLOUD_SF_ROLE;

   • ISSUER — Ange URL för Salesforce-domän för konsument följt av /services/connectors. Detta talar om för Snowflake vilken Salesforce-organisation som kan utfärda inloggningstokens för denna användare. Till exempel https://yourcompany.my.salesforce.com/services/connectors.
   • SUBJECT — Ange Externt ID. Detta fäster Trusten till detta specifika samarbete — även om samma Salesforce-organisation skickar en token kan den token inte komma åt en annan kunds data.
   • OIDC_AUDIENCE_LIST — Ange URL för Salesforce-domän för konsument utan ett sökvägssuffix. Till exempel https://yourcompany.my.salesforce.com.

   

   Anteckning Skapa en serviceanvändare — konvertera inte en befintlig användare. Att ändra en befintlig Snowflake-användare till en serviceanvändare tar bort personens möjlighet att logga in i Snowflake interaktivt och blandar deras dagliga behörigheter med maskinåtkomst. Detta gör kontot svårare att granska och svårare att återkalla. En dedikerad serviceanvändare håller åtkomsten till Data 360 helt isolerad och enkel att ta bort. Om du använder ett enskilt Snowflake-konto för flera kunder, inkludera kundnamnet i tjänstanvändarnamnet för att undvika konflikter, till exempel Customer1_DC_User.

   Notera användarnamnet för tjänsten – du anger det i Data 360 när du accepterar inbjudan.

9. Tilldela rollen till serviceanvändaren.

   GRANT ROLE DATACLOUD_SF_ROLE TO USER sf_oidc_user;

   Tjänsteanvändaren har de behörigheter du konfigurerar.
10. Innan du går till Data 360, se till att du har dessa värden från din Snowflake-miljö – ange dem i godkännandeguiden.

    Fält i Data 360	Värde i Snowflake
    Snowflake-konto-URL	Den fullständiga URL:en för ditt Snowflake-konto, till exempel https://myorg.snowflakecomputing.com
    Serviceanvändare	Namnet du gav serviceanvändaren
    Datalagernamn	Lagernamnet som du använde
    Databasnamn	Det databasnamn som du skapade
    Schemanamn	Schemanamnet som du skapade

Acceptera inbjudan till samarbete i Data 360

11. Gå tillbaka till guiden Acceptera inbjudan till samarbete i renrum i Data 360 och utför dessa godkännandesteg: välj ett datautrymme och skapa eller välj sedan en mappad mall.
12. I sektionen Snowflake Trust Relationship, kontrollera att värdena för Externt ID och URL för Salesforce-domän som visas på sidan matchar vad du använde i fälten SUBJECT och ISSUER när du skapade serviceanvändaren i Snowflake.
    Dessa värden är skrivskyddade. Data 360 visar dem här så att du kan bekräfta att din Snowflake-konfiguration är korrekt innan du fortsätter.
13. I sektionen Inställningar för Snowflake-anslutning, ange de värden du noterade i inställningsstegen.
    • Snowflake-konto-URL: den fullständiga URL:en för ditt Snowflake-konto, till exempel https://myorg.snowflakecomputing.com
    • Serviceanvändare: namnet på den serviceanvändare du skapade i Snowflake
    • Datalagernamn: lagernamnet som är associerat med serviceanvändaren
    • Databasnamn: databasen som du skapade i Snowflake
    • Schemanamn: det schema som du skapade i Snowflake
14. Klicka på Testa anslutning.

    Data 360 försöker ansluta till ditt Snowflake-konto med hjälp av serviceanvändaren. Om testet misslyckas, kontrollera att värdena för SUBJECT och ISSUER i din Snowflake-tjänstanvändare exakt matchar det Externt ID och Konsumentens Salesforce-domän-URL som visas på sidan. Kontrollera även att ditt Snowflake-konto är i en region som är kompatibel med konsumentens Data 360-region.

15. Klicka på Nästa och acceptera inbjudan.