禁用公网访问的Azure SA与Snowflake连接授权问题求助

针对禁用公网访问的Azure存储账户（SA）无法与Snowflake建立连接的问题，结合你的配置情况，以下是需要检查的关键遗漏点及方案：

一、存储集成（Storage Integration）核心权限验证 #

1. 确认Snowflake服务主体的角色权限
   你提到等待为Snowflake的AZURE_MULTI_TENANT_APP_NAME分配权限，需注意：

   • 必须直接分配Storage Blob Data Reader或Storage Blob Data Contributor角色（而非通用的Contributor角色）——Blob数据访问需要专用的数据权限角色，通用Contributor仅提供管理层面权限，无法直接读取Blob内容。
   • 确保角色是直接分配给Snowflake的服务主体，而非通过组继承，避免权限生效延迟。

2. 验证存储集成配置正确性
   复用现有存储集成时，需确认以下配置：

   • 执行DESC STORAGE INTEGRATION <你的集成名称>，检查AZURE_TENANT_ID是否与新SA所在的Azure租户ID完全匹配。
   • 确认STORAGE_ALLOWED_LOCATIONS中添加的新路径格式正确：必须是azure://<存储账户名>.blob.core.windows.net/<容器名>/，存储账户名需为小写（Azure存储账户名强制小写），路径末尾的斜杠不可省略。

二、禁用公网SA的网络访问控制 #

禁用公网访问的SA，Snowflake的请求必须通过允许的路径进入，这是当前可能遗漏的核心点：

1. IP白名单方式（临时方案）
   若不想使用专用端点，需将Snowflake所在区域的全部IP范围加入SA的防火墙白名单。注意：Snowflake的IP范围可能会定期更新，需设置定期同步机制，否则IP变更后会再次断开连接。

2. 专用端点方式（推荐方案）
   这是无需维护IP白名单的长期稳定方案，配置步骤如下：

   • 在Azure中为新SA创建专用端点，并将其部署到与Snowflake虚拟网络对等的VNet中（或通过Azure Private Link配置跨租户访问）。
   • 更新Snowflake存储集成，添加AZURE_PRIVATE_ENDPOINT参数，指定专用端点的FQDN，确保Snowflake通过私有网络访问SA。
   • 确认SA的网络设置中，已允许专用端点所在的VNet访问。

三、SAS Token方式的额外检查 #

若尝试用SAS Token仍失败，需排查：

• SAS Token需包含Read和List权限，且有效时间未过期。
• SA的防火墙设置中，需允许SAS Token对应的请求源IP（即Snowflake的IP），否则即使SAS权限正确，也会因网络拦截失败。

四、测试与排障步骤 #

1. 执行COPY INTO <测试表> FROM @<你的stage>/<测试文件> FILE_FORMAT = (TYPE = CSV)，获取具体错误信息（如403权限错误/无法连接错误），区分是授权问题还是网络问题。
2. 检查Azure活动日志，查看Snowflake访问SA的请求记录，确认是权限拒绝还是网络拦截。

内容的提问来源于stack exchange，提问作者YAHO5