Azure Databricks连接Snowflake遇动态IP拦截，求稳定连接方案

针对Databricks集群IP动态变化导致无法通过静态白名单连接Snowflake的问题，可采用以下几种稳定连接方案：

方案1：OAuth认证（绕开IP限制） #

用OAuth替代用户名密码验证，无需依赖IP白名单：

1. 在Snowflake创建OAuth安全集成：

   CREATE SECURITY INTEGRATION OAUTH_DATABRICKS
     TYPE = OAUTH
     OAUTH_CLIENT = CUSTOM
     OAUTH_CLIENT_ID = '<你的Databricks OAuth客户端ID>'
     OAUTH_CLIENT_SECRET = '<你的Databricks OAuth客户端密钥>'
     OAUTH_REDIRECT_URI = 'https://<你的Databricks实例域名>/oauth/callback'
     OAUTH_ISSUE_REFRESH_TOKENS = TRUE
     OAUTH_REFRESH_TOKEN_VALIDITY = 86400
     ENABLED = TRUE;
   

2. 修改Databricks侧的连接代码，使用OAuth认证：

   import snowflake.connector
   
   con = snowflake.connector.connect(
       user='<Snowflake用户名>',
       account='<Snowflake账户名>',
       warehouse='<仓库名>',
       database='<数据库名>',
       schema='<模式名>',
       authenticator='OAUTH',
       token='<从Databricks获取的OAuth令牌>'
   )
   

   注：Databricks的OAuth令牌可通过集群内置环境变量或Databricks API获取。

方案2：Azure Private Link（私有网络互通） #

通过私有网络打通两者，流量不经过公网，彻底避免IP白名单问题：

• 在Snowflake中启用Azure Private Link，创建私有端点。
• 将Databricks集群部署到与Snowflake私有端点同区域的Azure虚拟网络，或通过VNet peering实现网络连通。
• 连接时使用Snowflake私有端点的专属URL，此时无需配置任何IP白名单。

方案3：白名单Azure Databricks服务IP段 #

Azure Databricks的集群IP属于固定的区域服务IP范围，可批量添加这些IP段到Snowflake白名单：

1. 下载官方发布的Azure IP范围JSON文件，提取目标区域的Databricks服务标记对应的所有IP段。
2. 在Snowflake中创建网络策略批量添加IP段：

   CREATE NETWORK POLICY DATABRICKS_ALLOW_LIST
     ALLOWED_IP_LIST = ('<IP段1>', '<IP段2>', ...)
     BLOCKED_IP_LIST = ('0.0.0.0/0')
     COMMENT = '允许Azure Databricks服务IP范围';
   

   注：Azure IP范围会定期更新，需定期同步白名单内容。

方案4：Azure AD身份集成（结合OAuth） #

将Azure AD作为统一身份提供商，同步用户的同时用OAuth认证连接：

• 在Snowflake中配置Azure AD为身份提供商。
• 启用SCIM自动同步Azure AD用户到Snowflake。
• Databricks集群使用Azure AD身份登录，获取OAuth令牌后连接Snowflake，无需IP白名单。

内容的提问来源于stack exchange，提问作者Hari