在Privatelink的情况下如何使用浏览器客户端连接雪花

Question

当我们为雪花设置了私有链接时，我们需要使用什么URL才能使用浏览器客户端连接到雪花？我们已经设置了AWS privatelink以连接到Snowflake，从而避免了Internet上的流量。如果有人进行了设置，那么与此相关的任何输入都会很棒。当我从浏览器使用privatelink dns时，出现403 Forbidden错误。

Answer 1

AWS PrivateLink是AWS上的Snowflake客户通过AWS网络主干网获得私有连接的绝佳方法。例如，您可以在VPC中运行诸如Tableau服务器之类的服务器工具，并且无需通过Internet即可连接到Snowflake。 这是为您的帐户启用它的高级流程。

1. 按照AWS文档在VPC中启用PrivateLink。
2. Snowflake的文件支持案例，可为您的帐户启用PrivateLink。在支持案例中包括您的AWS账户ID。
3. 启用该功能后，Snowflake支持人员将提供3条信息：a）Snowflake专用链接网址，b）DNS记录和c）ip地址，以限制对您的Snowflake帐户的公共URL访问。
4. 根据上面提供给您的DNS记录设置DNS。设置AWS安全组策略以允许访问Snowflake专用链接URL端口443和80（对于OCSP）。
5. 在Snowflake中创建一个网络策略，仅允许支持人员在上面提供的IP地址。
6. 验证：在您的VPC上，启动一个EC2实例，然后通过在EC2上运行的浏览器登录到Snowflake私有链接url。或者，使用snowsql命令行工具从VPC内部进行验证。

其他安全最佳实践： 在您的VPC中设置S3 endpoint。这将确保来自您的VPC的S3访问通过AWS主干而不是Internet。请注意，Snowflake驱动程序直接连接到S3以获得更大的结果集，或者如果您正在使用PUT命令加载数据。

此外，请参考官方文档中有关https://docs.snowflake.net/manuals/user-guide/admin-security-privatelink.html的主题

这里是high-level diagram of how it works。

注意：从公司网络到AWS VPC的专用连接是一个单独的主题，您可以使用AWS Direct Connect或AWS VPN对其进行配置。该配置独立于Snowflake，您应该能够直接与AWS一起启用它。

Vikas Jain |安全产品管理|雪花