Настройка внешнего OAuth с Redshift Enterprise Enterprise +

примечание

Эта функция в настоящее время доступна только для провайдеров удостоверений Okta и Entra ID.

Тарифные планы dbt Enterprise и Enterprise+ поддерживают аутентификацию OAuth с внешними провайдерами. Когда включена опция External OAuth, пользователи могут авторизовывать свои учетные данные для разработки с помощью единого входа (SSO) через провайдер удостоверений (IdP). External OAuth позволяет пользователям получать доступ к нескольким приложениям, включая dbt, не передавая сервису свои статические учетные данные. Это упрощает процесс аутентификации для сред разработки и обеспечивает дополнительный уровень безопасности для вашей учетной записи dbt.

Начало работы

Процесс настройки внешнего OAuth потребует некоторого взаимодействия между вашими аккаунтами dbt, IdP и хранилища данных. Чтобы ускорить процесс конфигурации, рекомендуется держать их открытыми в нескольких вкладках браузера:

dbt: Основная работа будет в разделе Account settings —> Integrations. Для настройки интеграции и создания подключений вам потребуются соответствующие права доступа.
Провайдеры идентификации (Identity providers):
- Okta: Вам предстоит работать в нескольких разделах аккаунта Okta, но начать можно с раздела Applications. Потребуются права на создание приложения и authorization server.
- Entra ID: Требуется администратор с доступом к созданию приложений Entra ID, который также является пользователем в хранилище данных.
Хранилище данных:
- Redshift: Создайте и управляйте интеграцией с Identity Center совместно с вашим провайдером идентификации.

Если администраторы, отвечающие за эти продукты, — разные люди, лучше координировать работу одновременно, чтобы снизить трение в процессе настройки.

Убедитесь, что ваши администраторы Amazon завершили интеграцию Amazon Identity Center с Okta или Entra ID.

Конфигурация провайдера идентификации

Выберите поддерживаемого провайдера идентификации (IdP), чтобы получить инструкции по настройке внешнего OAuth в его среде и завершению интеграции в dbt:

Okta
Entra ID

1. Инициализация настроек dbt

В вашем аккаунте dbt перейдите в Account settings —> Integrations.
Прокрутите страницу до раздела Custom integrations и нажмите Add integrations.
Оставьте это окно открытым. Установите Integration type в значение Okta и обратите внимание на Redirect URI в нижней части страницы. Скопируйте его в буфер обмена — он понадобится на следующих шагах.

Скопируйте callback URI в нижней части страницы интеграции в dbt.

2. Создание приложения Okta

В панели управления Okta раскройте раздел Applications и нажмите Applications. Затем нажмите кнопку Create app integration.
Выберите OIDC в качестве метода входа и Web applications в качестве типа приложения. Нажмите Next.

Окно создания приложения Okta с выбранными OIDC и Web Application.

Задайте приложению понятное имя, например “External OAuth app for dbt”, чтобы его было легко идентифицировать.
В разделе Grant type включите опцию Refresh token.
Прокрутите страницу до параметра Sign-in redirect URIs. Вставьте redirect URI, полученный из dbt на шаге 1.3.

Окно конфигурации приложения Okta с настроенным sign-in redirect URI.

Сохраните конфигурацию приложения. Вы вернетесь к нему позже, а пока переходите к следующим шагам.

3. Создание Okta API

Раскройте раздел Security и выберите API в боковом меню Okta.
На экране API нажмите Add authorization server. Задайте имя authorization server (подойдет псевдоним вашего аккаунта хранилища данных). В поле Audience скопируйте и вставьте URL входа в хранилище данных. Добавьте описание и нажмите Save.

Окно Okta API с заданным значением Audience.

На экране конфигурации authorization server откройте Metadata URI в новой вкладке. Информация с этой страницы понадобится на следующих шагах.

Страница настроек Okta API с выделенным metadata URI.

Пример вывода metadata URI.

Перейдите на вкладку Scopes и нажмите Add scope. В поле Name укажите session:role-any. (Необязательно) Настройте Display phrase и Description, затем нажмите Create.

Настройка API scope в окне Add Scope.

Откройте вкладку Access policies и нажмите Add policy. Укажите Name и Description, а в поле Assign to выберите The following clients. Начните вводить имя приложения, созданного на шаге 2.3 — оно подставится автоматически. Выберите приложение и нажмите Create Policy.

Поле Assignment с автоматически подставленным значением.

На экране access policy нажмите Add rule.

Выделенная кнопка Add rule в API.

Задайте правилу понятное имя и прокрутите страницу до раздела token lifetimes. Настройте параметры Access token lifetime is, Refresh token lifetime is и but will expire if not used every в соответствии с политиками вашей организации. Мы рекомендуем значения по умолчанию — 1 час и 90 дней. Более строгие правила увеличивают вероятность того, что пользователям придется чаще проходить повторную аутентификацию.

Настройки времени жизни токенов в окне API rule.

Вернитесь на вкладку Settings и оставьте ее открытой в браузере — часть информации понадобится позже.

4. Создание настроек OAuth в хранилище данных

Убедитесь, что администраторы Amazon завершили интеграцию Identity Center с Okta.

Настройте приложение Okta и API в соответствии с конфигурацией Amazon.

5. Настройка интеграции в dbt

Вернитесь на страницу dbt Account settings —> Integrations, открытую в начале. Теперь заполните все поля.
1. Integration name: Укажите описательное имя интеграции, включающее информацию об окружении Okta, чтобы будущим пользователям не приходилось догадываться о ее назначении.
2. Client ID и Client secrets: Получите эти значения на странице приложения Okta.
Client ID и secret, выделенные на странице приложения Okta.
1. Authorize URL и Token URL: Эти значения можно найти в metadata URI.
Authorize и token URLs, выделенные в metadata URI.
Нажмите Save, чтобы сохранить конфигурацию.