切换Key-Pair认证后Airflow连接Snowflake超时故障排查

针对你遇到的Key-Pair认证下连接超时（日志显示连接host='1'）、但Basic Auth正常的情况，从以下几个方向逐一排查：

1. 私钥加载逻辑的变量错误 #

你的Key-Pair代码中，snow.connect调用get_private_key(pkb, passphrase)时，pkb变量未定义——这里应该传入读取到的私钥文件内容，补充文件读取逻辑：

# 读取私钥文件
with open("/path/to/your_private_key.p8", "rb") as key_file:
    private_key_content = key_file.read()

# 调用连接时传入正确的私钥内容
snow.connect(
    username="abc",
    private_key=get_private_key(private_key_content, passphrase),
    account="123",
    warehouse="test",
    database="test_db",
    schema="schema",
)

若pkb为无效值（空或错误字节），会导致Snowflake认证失败，进而返回错误的连接端点（如host='1'），触发超时。

2. Cryptography库版本兼容性问题 #

代码中使用的default_backend()在cryptography 3.0+版本已被废弃，若Airflow环境中cryptography版本过高，会导致私钥加载失败，引发连接异常。修改私钥加载代码，移除废弃参数：

def get_private_key(private_key, passphrase):
    p_key = serialization.load_pem_private_key(
        private_key,
        password=passphrase.encode() if passphrase else None,  # 确保密码为字节类型
        # 移除default_backend()参数
    )

    pkb = p_key.private_bytes(
        encoding=serialization.Encoding.DER,
        format=serialization.PrivateFormat.PKCS8,
        encryption_algorithm=serialization.NoEncryption()
    )
    return pkb

同时检查snowflake-connector-python与cryptography的版本兼容性（例如snowflake-connector-python 3.0+需搭配cryptography 3.4+）。

3. Snowflake用户公钥未绑定 #

若Snowflake用户abc未绑定对应公钥，Key-Pair认证会失败，可能导致连接器返回错误的连接地址。执行SQL确认：

DESCRIBE USER abc;

查看RSA_PUBLIC_KEY字段是否存在你的公钥内容，若没有则执行绑定命令：

ALTER USER abc SET RSA_PUBLIC_KEY='-----BEGIN PUBLIC KEY-----...-----END PUBLIC KEY-----';

4. 账户参数格式不完整 #

Key-Pair认证场景下，Snowflake账户名可能需要完整格式（包含区域及云服务商），例如account_id.region.cloud（如xy123.us-west-2.aws）。仅传入123这类短账户名，可能无法正确解析端点，导致连接到错误host。尝试使用完整账户名：

snow.connect(
    account="123.us-west-2.aws",  # 替换为你的完整账户地址
    # 其他参数不变
)

5. 私钥格式错误 #

确保私钥为PKCS8格式的PEM文件（以-----BEGIN PRIVATE KEY-----开头）。若为旧的PKCS1格式（-----BEGIN RSA PRIVATE KEY-----），需转换为PKCS8：

openssl pkcs8 -topk8 -inform PEM -outform PEM -in old_private_key.pem -out new_private_key.p8 -nocrypt

6. Airflow Worker权限/网络问题 #

• 确认Airflow Worker进程对私钥文件有读取权限（建议设置文件权限为600）
• 检查Worker是否能正常访问Snowflake的认证端点（account.snowflakecomputing.com的443端口）

内容的提问来源于stack exchange，提问作者moonwalker7