配置Dataiku-Snowflake Entra ID OAuth时scope不存在问题排查

核心原因分析 #

错误中的资源ID 00000003-0000-0000-c000-000000000000 是Microsoft Graph API的固定标识符，说明Entra ID将你的OAuth请求目标资源默认识别为了Microsoft Graph，而非Snowflake账户。而SESSION:ROLE-ANY是Snowflake专属的scope，自然不在Graph API的权限范围内，因此报错。

具体排查方向 #

• 检查Snowflake安全集成的AUDIENCE参数：确保其值为你的Snowflake账户URL（格式为https://<account_identifier>.snowflakecomputing.com），无拼写或格式错误。该参数必须与OAuth请求中的resource参数完全匹配。
• 验证Dataiku的OAuth请求配置：确认Dataiku在发起授权请求时是否携带了resource参数，且值设置为你的Snowflake账户URL。若缺失，需在Dataiku的Snowflake连接配置中补充该参数。
• 调整Entra ID服务器应用的资源配置：尝试为Entra ID服务器应用设置Application ID URI为你的Snowflake账户URL，然后将Snowflake安全集成的AUDIENCE更新为该URI，确保Entra ID能正确映射资源。
• 检查Entra ID客户端应用的权限：确认客户端应用的“API权限”列表中，是否包含针对Snowflake资源的权限（而非仅Microsoft Graph权限）。若使用自定义范围，需确认范围名称与请求的SESSION:ROLE-ANY一致。
• 解码访问令牌验证字段：用JWT解码工具解析获取到的访问令牌，检查aud（受众）字段是否为Snowflake账户URL；同时检查scp字段是否包含SESSION:ROLE-ANY，以此定位请求链路中哪个环节出现了资源或scope的偏差。

内容的提问来源于stack exchange，提问作者toucan