Connectez Snowflake au DSPM - Documentation technique Netskope

Overview

Ce guide explique comment connecter votre entrepôt de données Snowflake à la plateforme DSPM de Netskope. Le processus consiste à créer un compte de service dédié dans Snowflake avec les autorisations nécessaires, puis à utiliser les informations d'identification de ce compte pour établir la connexion dans la console Netskope.

Configuration et connexion

Cette section présente la procédure de bout en bout pour connecter votre base de données. Le processus est divisé en deux étapes principales : la création d'un compte de service dans votre environnement Snowflake, puis la connexion du magasin de données dans l'interface utilisateur Netskope.

Étape 1 : Créer un compte de service dans Snowflake

Avant de vous connecter au DSPM, vous devez créer un compte de service dédié dans Snowflake. Cela permet à la DSPM d'accéder aux journaux de requêtes et aux données de balayage. Vous pouvez le faire manuellement, ce qui est la méthode recommandée pour la plupart des utilisateurs, ou en utilisant le script Python fourni.

Les deux méthodes nécessitent que vous ayez les privilèges ACCOUNTADMIN dans Snowflake.

Méthode 1 : Installation manuelle dans Snowflake UI (Recommandé)

Cette méthode consiste à créer l'utilisateur et le rôle du compte de service directement dans Snowflake.

Connectez-vous à votre compte Snowflake en tant qu'utilisateur ayant le rôle ACCOUNTADMIN.
Créez un New rôle dédié pour Netskope DSPM (par exemple, NETSKOPE_DSPM_ROLE).
Accordez à ce rôle les privilèges nécessaires. Il doit s'agir de USAGE pour tous les entrepôts et toutes les bases de données concernés par l'analyse DSPM, et de SELECT pour toutes les tables de ces bases de données.
Créez un utilisateur New, dédié à Netskope DSPM (par exemple, NETSKOPE_DSPM_USER) avec un mot de passe sécurisé.
Attribuez le rôle New à l'utilisateur New et définissez-le comme rôle par défaut de l'utilisateur.

Méthode 2 : Installation automatisée via un script Python

Cette méthode utilise un script Python fourni pour automatiser la création et la configuration du compte de service.

Conditions préalables

Avant d'exécuter le script, assurez-vous que vous remplissez les conditions suivantes :

Vous avez votre identifiant de compte Snowflake. Pour plus de détails sur les identifiants de compte, consultez la documentation Snowflake.
Vous disposez des informations d'identification (nom d'utilisateur, mot de passe, rôle, entrepôt) pour un utilisateur de Snowflake ayant le rôle ACCOUNTADMIN. Le script vous demandera de les indiquer.
Vous avez Python (version 3 ou ultérieure) installé localement.
Vous avez installé le site Snowflake python connector.

Exécutez le script d'installation

Ouvrez votre interface de ligne de commande (CLI) ou votre terminal.
Téléchargez le script d'automatisation en exécutant la commande suivante :

wget https://dasera-release.s3.us-west-2.amazonaws.com/snowflake_setup.py
Naviguez jusqu'au répertoire où le script a été téléchargé.
Exécutez le script avec la commande : python snowflake_setup.py

Lorsque le script vous y invite, saisissez les paramètres suivants :

Le connecteur Snowflake Python ajoute automatiquement .snowflakecomputing.com à votre identifiant de compte. Vous devez saisir only l'identifiant.

✅ CORRECT Examples:
xy12345.us-east-1
mycompany-prod
ab12345.us-west-2.aws

❌ INCORRECT Examples:
xy12345.us-east-1.snowflakecomputing.com (comprend le domaine)
https://mycompany-prod.snowflakecomputing.com (URL complète)

Script Parameters

Paramètres	Description
Compte flocon de neige	Saisissez uniquement l'identifiant de votre compte Snowflake (voir la note d'avertissement ci-dessus).
Username	Indiquez le nom d'utilisateur de l'administrateur du compte Snowflake (l'utilisateur ayant le rôle ACCOUNTADMIN).
Mot de passe	Indiquez le mot de passe de l'administrateur du compte Snowflake.
Rôle d'administrateur	Saisissez `ACCOUNTADMIN`. C'est le seul rôle qui peut accéder aux tables nécessaires de SNOWFLAKE et leur accorder des privilèges.
Entrepôt administratif	Saisissez le nom d'un entrepôt auquel l'utilisateur admin a accès. Le script accordera des privilèges d'utilisation et de surveillance aux bases de données de cet entrepôt.
Nom d'utilisateur à créer pour l'utilisateur de Netskope DSPM	Entrez un nom d'utilisateur pour le New compte de service (par exemple, `NETSKOPE_DSPM_USER`).
Rôle à créer pour l'utilisateur de Netskope DSPM	Saisissez un nom de rôle pour le New compte de service (par exemple, `NETSKOPE_DSPM_ROLE`).
Mot de passe pour l'utilisateur de Netskope DSPM	Créez et saisissez un mot de passe sécurisé pour le compte de service New.
Entrepôt à utiliser par l'utilisateur de Netskope DSPM	Indiquez le nom de l'entrepôt par défaut pour le compte de service New.

Vous pouvez alternativement authentifier ce magasin de données via AWS Secrets Manager au lieu d’un nom d’utilisateur et d’un mot de passe.

Comprendre les types de bases de données Snowflake

Le processus d'installation détecte et gère automatiquement les différents types de bases de données Snowflake. Comprendre ces types vous permet de savoir à quoi vous attendre lors de l'installation :

Type de base de données	Description	Méthode d'octroi de privilèges
Base de données standard	Bases de données créées directement dans votre compte Snowflake	GRANT USAGE, MONITOR + schema/tableau grants
Base de données importée/partagée	Bases de données partagées à partir d'autres comptes Snowflake via le partage de données	ACCORDER DES PRIVILÈGES D'IMPORTATION
Base de données d'applications	Bases de données à partir d'applications natives Snowflake	ACCORDER DES PRIVILÈGES D'IMPORTATION
Base de données personnelle	Bases de données spécifiques à l'utilisateur	Automatiquement ignoré (ne peut être accordé aux rôles)

Cas particuliers

SNOWFLAKE System Database: La base de données SNOWFLAKE est une base de données système partagée qui fournit des informations sur l'utilisation des comptes et les métadonnées. Cela nécessite toujours GRANT IMPORTED PRIVILEGES et est essentiel pour les capacités de surveillance DSPM.

Détection automatisée

Les scripts d'installation s'exécutent automatiquement :

Identifiez le type de chaque base de données dans votre compte.
Appliquez les privilèges appropriés en fonction du type de base de données.
Sauter les bases de données personnelles (qui ne peuvent être accordées qu'à des utilisateurs individuels).
Fournir des résultats clairs indiquant les privilèges accordés à chaque base de données.

Étape 2 : Connecter le magasin de données

Enfin, utilisez les informations d'identification du compte de service que vous avez créé à l'étape 1 pour connecter le magasin de données dans la console Netskope.

Step 1: Provide Credentials

Suivez les étapes suivantes pour configurer la connexion :

Allez sur Data Stores > Data Store Inventory.
Cliquez sur CONNECT A DATA STORE en haut à droite.

Conseil : Sinon, si le magasin de données a déjà été trouvé par autodécouverte, allez sur l'onglet Discovered et cliquez sur Connect dans la colonne Actions.
In the Connect a Data Store window, click the data store icon you wish to connect.
Dans la section Fournir des informations d'identification, remplissez les champs suivants :

Field	Value
Identifiant du magasin de données	Saisissez un nom convivial pour ce magasin de données.
Point de terminaison du magasin de données	Saisissez l’URL de votre compte Snowflake ( `< account_identifier > .snowflakecomputing.com`).
Méthode d'authentification	Select votre méthode d’authentification préférée : `Username / Password` ou `AWS Secrets Manager`.
Secret ARN	(Si vous utilisez AWS Secrets Manager) Saisissez l'ARN secret obtenu à partir d'AWS Secrets Manager.
Nom d'utilisateur de la base de données	Entrez le nom d'utilisateur du compte de service de la DSPM que vous avez créé à l'étape 1. (Si vous utilisez Nom d'utilisateur / Mot de passe) Entrez le nom d'utilisateur du compte de service de la DSPM que vous avez créé à l'étape 1.
Mot de passe	(Si vous utilisez Nom d'utilisateur / Mot de passe) Entrez le mot de passe du compte de service DSPM que vous avez créé à l'étape 1.
Fréquence de balayage	Select la fréquence à laquelle DSPM examine le magasin de données pour vérifier s'il y a des changements.
Piscine à débordement	Si vous utilisez des conteneurs sidecar pour surveiller ce magasin de données, sélectionnez un pool sidecar ayant une visibilité réseau sur celui-ci. Pour en savoir plus, consultez notre article sur l'administration des side-cars .

Step 2: Scanning Infrastructure

Cliquez sur Next.
Lorsque l'onglet Select Capabilities apparaît, remplissez les champs suivants :
- Assign a Data Owner (Facultatif) : Select un ou plusieurs utilisateurs responsables de ce magasin de données.
- Which databases should Netskope DSPM scan?Select les bases de données et les schémas spécifiques à surveiller, le cas échéant.
- FeaturesSelect les fonctionnalités que vous souhaitez activer.

Capability	Soutenu pour Flocon de neige
Discovery	Oui (en permanence)
Analyse des privilèges	Oui
Analyse des données fantômes	Oui
Classification	Oui Note: Select la case à cocher Ingest Snowflakes pour importer le schéma Snowflake existant et les balises d’objet. Pour en savoir plus, consultez notre article sur les Tags de données .)
Contrôle des données en cours d'utilisation	Oui
Automation	Oui (en permanence)

Step 3: Review and Save

Cliquez sur Save.
- Lorsque l'onglet Review apparaît, le système valide votre configuration. Si vous rencontrez des problèmes, suivez les instructions à l'écran pour les résoudre.
Cliquez sur Save pour finaliser la connexion.

Problèmes courants d'installation

Si vous rencontrez des erreurs au cours du processus d'installation ou de connexion, reportez-vous aux scénarios ci-dessous.

Account Identifier Errors
- Symptom: La connexion échoue en raison d'une erreur d'identification du compte.
- Solution: Utilisez uniquement l'identifiant du compte (par exemple, xy12345.us-east-1), et non l'URL complète. Supprimez .snowflakecomputing.com et https:// s'ils sont présents.
Imported Database Access Issues
- Symptom: Le script signale "Could not grant IMPORTED PRIVILEGES on [database]".
- Cause: Le rôle ACCOUNTADMIN peut ne pas avoir de droits sur les bases de données partagées de fournisseurs externes.
- Solution:
  - Vérifiez que la base de données est partagée avec votre compte.
  - Contactez le fournisseur de données pour vous assurer que les autorisations de partage sont correctes.
  - Certaines bases de données partagées peuvent nécessiter une autorisation distincte.
Personal Database Warnings
- Symptom: Le script affiche "Sauter [base de données] (Type : PERSONAL DATABASE)".
- Explanation: C'est un comportement attendu. Les bases de données personnelles sont propres à l'utilisateur et ne peuvent pas être attribuées à des rôles. La DSPM n'analysera pas ces bases de données.
Missing Databases in DSPM
- Symptom: Certaines bases de données n'apparaissent pas dans la DSPM après la connexion.
- Check:
  - Vérifiez le type de base de données avec :
```
SELECT DATABASE_NAME, TYPE
FROM SNOWFLAKE.INFORMATION_SCHEMA.DATABASES
WHERE DATABASE_NAME = 'your_database_name';
```
  - Confirmez que les privilèges corrects ont été appliqués en fonction du type de base de données.
  - Assurez-vous que le compte de service a accès à l'entrepôt où se trouve la base de données.
Privilege Grant Failures During Setup
- Symptom: Des avertissements apparaissent lors de l'application des privilèges de la base de données.
- Common Causes:
  - Les bases de données d'applications qui n'ont pas été entièrement installées.
  - Bases de données partagées en attente d'approbation.
  - Bases de données sur lesquelles ACCOUNTADMIN n'a pas de droits à accorder.
- Action: Examinez les messages d'avertissement. De nombreux avertissements sont informatifs et n'empêchent pas le DSPM de fonctionner sur les bases de données accessibles.