Настройка внешней аутентификации OAuth для Redshift

примечание

Эта функция в настоящее время доступна только для провайдеров удостоверений Okta и Entra ID.

Тарифные планы Enterprise и Enterprise+ в dbt поддерживают аутентификацию OAuth через внешних провайдеров. Когда включена функция External OAuth, пользователи могут авторизоваться с помощью своих учётных данных, используя единый вход (SSO) через поставщика удостоверений (IdP). External OAuth предоставляет пользователям доступ к нескольким приложениям, включая dbt, без передачи сервису их статических учётных данных. Это упрощает для пользователей процесс аутентификации в средах разработки и обеспечивает дополнительный уровень безопасности вашей учётной записи dbt.

Начало работы

Процесс настройки внешнего OAuth потребует переключения между вашими учетными записями dbt, IdP и хранилища данных. Откройте их в нескольких вкладках браузера, чтобы ускорить настройку:

dbt: Вы будете работать преимущественно на странице Account settings —> Integrations. Для настройки интеграции и создания подключений вам понадобятся соответствующие разрешения.
Поставщики удостоверений:
- Okta: Вы будете работать в нескольких разделах учетной записи Okta, но начать можно с раздела Applications. Вам понадобятся разрешения на создание приложения и сервера авторизации.
- Entra ID Требуется администратор с разрешениями на создание приложений Entra ID, который также является пользователем хранилища данных.
Хранилище данных:
- Redshift: Создайте и настройте интеграцию Identity Center с вашим поставщиком удостоверений и управляйте ею.

Если администраторы, отвечающие за эти продукты, — разные люди, лучше координировать работу одновременно, чтобы снизить трение в процессе настройки.

Убедитесь, что ваши администраторы Amazon завершили интеграцию Amazon Identity Center с Okta или Entra ID.

Конфигурация провайдера идентификации

Выберите поддерживаемого поставщика удостоверений (IdP), чтобы получить инструкции по настройке внешнего OAuth в его среде и завершению интеграции с dbt:

Okta
Entra ID

1. Инициализация настроек dbt

В своей учетной записи dbt перейдите в Account settings —> Integrations.
Прокрутите страницу вниз до раздела Custom integrations и нажмите Add integrations
Оставьте это окно открытым. Вы можете установить для Integration type значение Okta и найти Redirect URI внизу страницы. Скопируйте этот URI в буфер обмена для использования на следующих шагах.

Скопируйте URI обратного вызова внизу страницы интеграции в dbt.

2. Создание приложения Okta

В панели управления Okta раскройте раздел Applications и нажмите Applications. Затем нажмите кнопку Create app integration.
Выберите OIDC в качестве метода входа и Web applications в качестве типа приложения. Нажмите Next.

Окно создания приложения Okta с выбранными параметрами OIDC и Web Application.

Задайте приложению подходящее имя, например «Приложение внешней OAuth-аутентификации для dbt», чтобы его было легко распознать.
В разделе Grant type включите опцию Refresh token.
Прокрутите страницу вниз до параметра Sign-in redirect URIs. Вставьте URI перенаправления, полученный в dbt на шаге 1.3.

Окно настройки приложения Okta, в котором для URI перенаправления при входе указано значение из dbt.

Сохраните конфигурацию приложения. Вы вернетесь к нему позже, а пока переходите к следующим шагам.

3. Создание Okta API

Раскройте раздел Security и выберите API в боковом меню Okta.
На экране API нажмите Add authorization server. Задайте имя authorization server (подойдет псевдоним вашего аккаунта хранилища данных). В поле Audience скопируйте и вставьте URL входа в хранилище данных. Добавьте описание и нажмите Save.

Окно API Okta с заданным значением Audience.

На экране конфигурации authorization server откройте Metadata URI в новой вкладке. Информация с этой страницы понадобится на следующих шагах.

Страница настроек API Okta с выделенным URI метаданных.

Пример данных, полученных по URI метаданных.

Перейдите на вкладку Scopes и нажмите Add scope. В поле Name укажите session:role-any. (Необязательно) Настройте Display phrase и Description, затем нажмите Create.

Область действия API, настроенная в окне добавления области действия.

Откройте вкладку Access policies и нажмите Add policy. Укажите Name и Description, а в поле Assign to выберите The following clients. Начните вводить имя приложения, созданного на шаге 2.3 — оно подставится автоматически. Выберите приложение и нажмите Create Policy.

Автоматическое заполнение значения в поле назначения.

На экране access policy нажмите Add rule.

Выделена кнопка добавления правила API.

Задайте правилу понятное имя и прокрутите страницу до раздела token lifetimes. Настройте параметры Access token lifetime is, Refresh token lifetime is и but will expire if not used every в соответствии с политиками вашей организации. Мы рекомендуем значения по умолчанию — 1 час и 90 дней. Более строгие правила увеличивают вероятность того, что пользователям придется чаще проходить повторную аутентификацию.

Настройки срока действия токена в окне правила API.

Вернитесь на вкладку Settings и оставьте ее открытой в браузере — часть информации понадобится позже.

4. Создание настроек OAuth в хранилище данных

Убедитесь, что администраторы Amazon завершили интеграцию Identity Center с Okta.

Настройте приложение Okta и API в соответствии с конфигурацией Amazon.

5. Настройка интеграции в dbt

Вернитесь на страницу Account settings —> Integrations в dbt, на которой вы были в начале. Теперь пора заполнить все поля.
1. Integration name: Задайте интеграции понятное имя, включающее сведения, позволяющие определить среду Okta, чтобы будущим пользователям не приходилось гадать, к какой среде она относится.
2. Client ID и Client secrets: Скопируйте эти значения со страницы приложения Okta.
Идентификатор клиента и секрет, выделенные в приложении Okta.
1. Authorize URL и Token URL: Находятся в URI метаданных.
URL-адреса авторизации и получения токена, выделенные в URI метаданных.
Нажмите Save, чтобы сохранить конфигурацию.