* これは、Snowflakeのドキュメントとウェブ検索結果に基づき、アプリケーションがSnowflakeに認証する際の優先順位に関するベストプラクティスの推奨事項です。認証とは、Snowflakeに接続するユーザーまたはアプリケーションのIDを確認するプロセスです。Snowflakeは複数の認証方法をサポートしており、それぞれに長所と短所があります。推奨される優先順位は、以下の要素に基づいています。
* セキュリティ：認証方法は、不正アクセスやデータ漏洩に対する高度なセキュリティと保護を提供する必要があります。また、セキュリティ強化のため、多要素認証（MFA）またはシングルサインオン（SSO）をサポートする必要があります。
* 利便性: 認証方法は、スムーズで簡単なユーザーエクスペリエンスを提供する必要があります。
* 複雑な手順や手動の手順を必要としないこと。認証方法は、外部のIDプロバイダーやアプリケーションとのシームレスな統合もサポートする必要があります。
* 柔軟性：認証方法は、様々なユースケースやシナリオに対応できる幅広いオプションと機能を提供する必要があります。また、特定の要件を満たすためのカスタマイズと設定もサポートする必要があります。
これらの要素に基づいて推奨される優先順位は次のとおりです。
* OAuth（Snowflake OAuth または外部 OAuth）：OAuth は、アプリケーションがユーザーの認証情報を公開することなく、ユーザーに代わって Snowflake リソースにアクセスできるようにする認証のためのオープンスタンダードです。OAuth は、MFA、SSO、トークンベースの認証、そして様々な権限付与タイプとスコープをサポートしているため、高いレベルのセキュリティ、利便性、柔軟性を提供します。OAuth は、ID プロバイダーとアプリケーションに応じて、Snowflake OAuth または外部 OAuth のいずれかを使用して実装できます12。
* 外部ブラウザ: 外部ブラウザは、ユーザーが Web ブラウザと Okta、Azure AD、Ping Identity などの外部 ID プロバイダーを使用して Snowflake にログインできるようにする認証方法です。
外部ブラウザは、MFA、SSO、フェデレーション認証をサポートしているため、高いレベルのセキュリティと利便性を提供します。また、さまざまなプラットフォームやデバイス間で一貫したユーザーインターフェースとエクスペリエンスを提供します34。
* Oktaネイティブ認証：Oktaネイティブ認証は、Webブラウザを使用せずにOktaをIDプロバイダーとしてSnowflakeにログインできる認証方法です。Oktaネイティブ認証は、MFA、SSO、フェデレーション認証をサポートしているため、高いレベルのセキュリティと利便性を提供します。また、Oktaユーザーにネイティブのユーザーインターフェイスとエクスペリエンスを提供し、パスワードポリシーやユーザー管理などのさまざまなOkta機能をサポートします56。
* キーペア認証：キーペア認証は、ユーザーがパスワードを使用せずに公開キーと秘密キーのペアを使用してSnowflakeにログインできる認証方法です。キーペア認証は、非対称暗号化とデジタル署名を利用するため、高度なセキュリティを提供します。また、キーペア認証は、さまざまなキー形式、アルゴリズム、有効期限をサポートしているため、柔軟でカスタマイズ可能な認証オプションも提供します。キーペア認証は、主にサービスアカウントユーザー、例えばSnowflakeにプログラムで接続するアプリケーションやスクリプトなどで使用されます7。
* パスワード：パスワードは、ユーザー名とパスワードを使用してSnowflakeにログインできる、最もシンプルで基本的な認証方法です。パスワードは対称暗号化に依存しており、ブルートフォース攻撃やフィッシング攻撃に対して脆弱であるため、セキュリティレベルは低くなります。また、パスワードは手動入力と管理が必要で、MFAやSSOをサポートしていないため、利便性と柔軟性も低くなります。パスワードは最も推奨されない認証方法であり、最後の手段として、またはテスト目的でのみ使用してください。
参考文献:
* Snowflakeドキュメント: Snowflake OAuth
* Snowflakeドキュメント: 外部OAuth
* Snowflakeドキュメント: 外部ブラウザ認証
* Snowflakeブログ: Snowflakeで外部ブラウザ認証を使用する方法
* Snowflakeドキュメント:Oktaネイティブ認証
* Snowflakeブログ: SnowflakeでOktaネイティブ認証を使用する方法
* Snowflakeドキュメント: キーペア認証
* [Snowflakeブログ: Snowflakeでキーペア認証を使用する方法]
* [Snowflakeドキュメント: パスワード認証]
* [Snowflakeブログ: Snowflakeでパスワード認証を使用する方法]

Snowflake のドキュメントによると、インバウンド共有からデータベースを作成するには、ユーザーのロールに次の権限が必要です。
* 現在のアカウントに対するCREATE DATABASE権限。この権限により、ユーザーはアカウント1に新しいデータベースを作成できます。
* 共有に対するIMPORT DATABASE権限。この権限により、ユーザーは共有からアカウントにデータベースをインポートできます2。記載されているその他の権限は、この要件には関係ありません。IMPORT SHARE権限は、データベースではなく、アカウントに共有をインポートするために使用されます3。IMPORT PRIVILEGES権限は、共有オブジェクト自体ではなく、共有オブジェクトに付与された権限をインポートするために使用されます2。CREATE SHARE権限は、他のアカウントにデータを提供するための共有を作成するために使用されます4。他のアカウントのデータを使用するためのものではありません。
データベースの作成 | Snowflakeドキュメント
共有からのデータのインポート | Snowflakeドキュメント
共有のインポート | Snowflakeドキュメント
作成・共有 | Snowflakeドキュメント

Snowflakeが推奨するベストプラクティスによれば、大手製造会社の要件は、ヨーロッパのアカウント向けにプライベートデータエクスチェンジとデータシェアを組み合わせて導入することで満たされるはずです。プライベートデータエクスチェンジは、Snowflake Data Cloudプラットフォームの機能であり、組織間で安全かつ統制されたデータ共有を可能にします。これにより、Snowflakeのお客様は独自のデータハブを作成し、組織内の他の部門や外部パートナーを招待してデータセットにアクセスさせ、提供することができます。プライベートデータエクスチェンジは、エクスチェンジで共有されるデータの一元管理、きめ細かなアクセス制御、データ使用状況のメトリクスを提供します1。データシェアは、データをコピーまたは移動することなく、Snowflakeアカウント間でデータを安全かつ直接的に共有する方法です。データシェアにより、データプロバイダーは、自身のアカウント内の選択されたオブジェクトに対する権限を、他のアカウントの1人以上のデータコンシューマーに付与できます2。プライベートデータエクスチェンジをデータシェアと組み合わせて使用することで、企業は次のようなメリットを得ることができます。
* 各事業部門は共有するデータを決定し、プライベートデータエクスチェンジに公開することができます。公開されたデータは、エクスチェンジの他のメンバーによって検索・アクセス可能になります。これにより、複数のデータ共有関係や設定を管理する手間と複雑さが軽減されます。
* 企業は、同じクラウド環境内の既存のSnowflakeアカウントを活用してプライベートデータエクスチェンジを作成し、メンバーを招待することができます。これにより、移行とセットアップのコストを最小限に抑え、既存のSnowflakeの機能とセキュリティを活用できます。
* 同社はデータ共有機能を利用して、異なる地域やクラウドプラットフォームにある欧州のアカウントとデータを共有できます。これにより、データ主権とプライバシーに関する地域および規制要件を遵守しながら、組織全体でのデータ連携を実現できます。
* 同社はSnowflake Data Cloudプラットフォームを活用し、共有データの分析・変換に加え、他のデータソースやアプリケーションとの統合も実現しています。これにより、サプライチェーンの最適化と、複数のベンダーからの購買力向上を実現しています。