외부 액세스 통합 생성 및 사용하기¶

공용 인터넷 또는 비공개 연결 선택하기¶

외부 네트워크 위치에 연결할 때 Snowflake에서 외부 네트워크 위치로의 연결은 공용 인터넷을 통하거나 Azure Private Link (Microsoft 설명서) 또는 AWS PrivateLink (AWS 설명서)를 통해 비공개 연결을 사용할 수 있습니다. 외부 네트워크 위치에 대한 연결의 보안 요구 사항에 따라 비공개 연결을 사용할 수 있습니다. 비공개 연결을 사용하면 보안 요구 사항을 충족하는 데 도움이 될 수 있습니다.

공용 인터넷을 사용하는 경우 이 항목의 다음 섹션에 있는 지침을 따르십시오.

비공개 연결을 사용하는 경우 상호 작용을 구성하는 사람에게 ACCOUNTADMIN 역할이 할당되어 있어야 합니다. 또한 Snowflake 계정은 Business Critical Edition 이상이어야 합니다. Azure Private Link 또는 AWS PrivateLink 사용 시 추가 청구 요금이 발생합니다. 자세한 내용은 다음 항목를 검토하십시오.

• 아웃바운드 네트워크 트래픽을 위한 비공개 연결

• 비공개 연결 엔드포인트 관리: Azure

• 비공개 연결 엔드포인트(AWS)를 관리하십시오.

다음으로, 아래 항목 중 하나에 표시된 대로 비공개 연결을 사용하도록 외부 네트워크 위치에 대한 액세스를 구성합니다.

• Microsoft Azure 에서의 외부 네트워크 액세스 및 비공개 연결.

• AWS 에서의 외부 네트워크 액세스 및 비공개 연결.

외부 네트워크 위치를 나타내는 네트워크 규칙 만들기¶

CREATE NETWORK RULE 명령을 사용하여 외부 네트워크의 위치와 액세스 제한을 나타내는 네트워크 규칙을 만들 수 있습니다. 예를 들어 네트워크 규칙에서는 호스트 이름, 네트워크와의 통신 방향(수신 또는 송신)과 같은 네트워크 식별자를 지정합니다.

외부 네트워크에 대한 액세스를 지원하기 위해 관리자는 외부 액세스 통합 을 생성할 때 규칙을 포함합니다. 통합에 포함된 각 규칙은 함수 또는 프로시저가 액세스하도록 허용되는 외부 네트워크 위치를 지정합니다.

외부 액세스 통합에 사용할 네트워크 규칙을 생성할 때 다음을 지정합니다.

• EGRESS를 MODE 매개 변수 값으로 지정합니다.

• HOST_PORT 또는 PRIVATE_HOST_PORT 와 같은 네트워크 유형을 나타내는 TYPE 매개 변수 값입니다.

• VALUE_LIST 매개 변수에 외부 위치의 엔드포인트를 지정합니다.

• (선택 사항) 외부 위치의 엔드포인트 이름을 포함한 포트 번호를 지정합니다. 포트 번호를 생략하면 Snowflake는 외부 액세스에 기본 포트 번호인 443을 사용합니다.

  예를 들어 엔드포인트에 포트 80이 필요한 경우 VALUE_LIST 매개 변수는 다음과 같을 수 있습니다.

  VALUE_LIST = ('example.com:80')
  

  Copy

CREATE OR REPLACE NETWORK RULE google_apis_network_rule
  MODE = EGRESS
  TYPE = HOST_PORT
  VALUE_LIST = ('translation.googleapis.com');

자격 증명을 나타내는 시크릿 만들기¶

CREATE SECRET 을 사용하여 외부 네트워크 위치로 인증하는 데 필요한 자격 증명을 나타내는 시크릿을 만들 수 있습니다. 예를 들어, 시크릿에는 사용자 이름 및 비밀번호 또는 보안 통합 등의 자격 증명이 포함될 수 있습니다.

OAuth를 지원하는 외부 네트워크 위치에 액세스하려면 클라이언트 ID, 클라이언트 시크릿, 토큰 엔드포인트 등 OAuth 흐름에 필요한 값이 포함된 보안 통합 에 대한 참조를 시크릿에 포함하는 것이 가장 좋습니다.

시크릿은 다음과 같은 방식으로 사용됩니다.

• 관리자가 외부 액세스 통합 을 생성할 때 사용합니다.

  통합 생성 시, 관리자는 개발자가 통합을 사용하는 함수나 프로시저를 생성할 때 처리기 코드에서 사용할 수 있는 시크릿을 지정합니다.

• 개발자가 UDF 또는 프로시저 처리기를 생성할 때 사용합니다.

  개발자는 처리기 코드가 외부 위치에 대한 요청을 할 때 인증하는 데 사용할 수 있는 자격 증명이 포함된 허용된 시크릿을 지정합니다. 처리기를 작성할 때 개발자는 처리기 코드에 자격 증명을 리터럴 값으로 포함하는 대신 Snowflake API를 사용하여 시크릿에 포함된 자격 증명을 검색할 수 있습니다.

CREATE OR REPLACE SECRET oauth_token
  TYPE = OAUTH2
  API_AUTHENTICATION = google_translate_oauth
  OAUTH_REFRESH_TOKEN = 'my-refresh-token';

CREATE OR REPLACE SECRET bp_maps_api
  TYPE = GENERIC_STRING
  SECRET_STRING = 'replace-with-your-api-key';

외부 액세스 통합 만들기¶

CREATE EXTERNAL ACCESS INTEGRATION 명령을 사용하여 UDF 및 프로시저와 함께 사용하도록 허용된 네트워크 규칙(외부 네트워크 위치를 나타냄)과 허용된 시크릿(인증을 위한 자격 증명을 나타냄)을 집계하는 외부 액세스 통합을 생성할 수 있습니다.

특히, 외부 액세스 통합은 통합을 참조하는 UDF 및 프로시저가 사용할 수 있는 네트워크 규칙과 시크릿을 지정합니다.

외부 액세스 통합은 관리자가 UDF와 프로시저에서 외부 네트워크 위치에 대한 액세스를 관리하는 데 사용됩니다. 통합은 통합을 참조하는 UDF와 프로시저에서 사용하도록 허용된 위치와 자격 증명만 지정합니다. 관리자는 외부 위치에 대한 액세스를 관리하기 위해 통합을 활성화하거나 비활성화할 수도 있습니다.

CREATE OR REPLACE EXTERNAL ACCESS INTEGRATION google_apis_access_integration
  ALLOWED_NETWORK_RULES = (google_apis_network_rule)
  ALLOWED_AUTHENTICATION_SECRETS = (oauth_token)
  ENABLED = true;

함수 또는 프로시저에서 외부 액세스 통합 사용하기¶

CREATE FUNCTION 또는 CREATE PROCEDURE 명령을 사용하여 UDF 또는 프로시저를 생성할 때 다음과 같이 외부 네트워크 위치에 대한 액세스를 활성화할 수 있습니다.

• EXTERNAL_ACCESS_INTEGRATIONS 매개 변수의 값을 하나 이상의 통합으로 설정하여 이 매개 변수를 포함합니다.

  여기서 지정하는 각 통합은 통합이 지정하는 외부 네트워크 위치와 시크릿에 대한 액세스를 허용합니다.

• SECRETS 매개 변수의 값을 하나 이상의 시크릿과 처리기 코드에서 액세스하는 데 사용할 이름으로 설정하여 이 매개 변수를 포함합니다.

  값으로 지정하는 시크릿은 외부 액세스 통합에서도 지정해야 합니다.

• 처리기 코드에서 시크릿에 액세스하여 외부 네트워크 위치로 인증하기 위한 자격 증명을 불러옵니다.

Snowflake는 특정 UDF에서 만들 수 있는 총 연결 수를 제한합니다. 리소스 고갈 문제가 발생하지 않도록 하려면 연결을 최대한 많이 재사용하십시오. UDF 초기화 중에 TCP 클라이언트 또는 세션을 한 번 만든 다음 나머지 쿼리에 대해 UDF 처리기에서 클라이언트나 세션을 사용하면 최대한 많이 재사용할 수 있습니다.

CREATE OR REPLACE FUNCTION google_translate_python(sentence STRING, language STRING)
RETURNS STRING
LANGUAGE PYTHON
RUNTIME_VERSION = 3.9
HANDLER = 'get_translation'
EXTERNAL_ACCESS_INTEGRATIONS = (google_apis_access_integration)
PACKAGES = ('snowflake-snowpark-python','requests')
SECRETS = ('cred' = oauth_token )
AS
$$
import _snowflake
import requests
import json
session = requests.Session()
def get_translation(sentence, language):
  token = _snowflake.get_oauth_access_token('cred')
  url = "https://translation.googleapis.com/language/translate/v2"
  data = {'q': sentence,'target': language}
  response = session.post(url, json = data, headers = {"Authorization": "Bearer " + token})
  return response.json()['data']['translations'][0]['translatedText']
$$;