Databricks使用OAuth令牌连接Snowflake时出现‘EXTERNAL_OAUTH_USER_CLAIM_MISSING’错误的排查问询

从你描述的令牌声明（claims）清单来看，确实缺少了几个Snowflake OAuth认证必需的关键字段，下面逐一说明：

缺失的核心声明字段 #

• snowflake_account：这个字段是Snowflake OAuth令牌的必填项，用来明确指定你要访问的Snowflake账户标识（格式类似xy12345或xy12345.eu-central-1）。Snowflake依赖这个字段验证令牌对应的目标账户，没有它系统无法确定你要连接哪个Snowflake环境。
• scope：该字段定义了令牌的权限范围，对于Snowflake来说，至少需要包含session:role-any（允许使用任意已授权角色），或者具体的角色权限（比如session:role:analyst_role）。缺少这个字段，Snowflake无法识别该令牌允许执行的操作和对应的角色。
• azp（Authorized Party）：虽然你提到令牌里有appid，但Snowflake在OAuth验证时通常期望看到azp字段，用来标识请求令牌的客户端应用ID。这个ID必须和你在Snowflake中配置的OAuth客户端ID完全匹配，否则会被判定为无效。

额外排查建议 #

除了缺失的字段，你还可以检查这几个关键点：

• 确认在Azure AD应用注册中，已正确配置Snowflake的重定向URI，并且权限范围（Scope）设置符合Snowflake的要求。
• 核对Snowflake中的OAuth集成配置，确保Azure AD的租户ID、应用ID已经关联到对应的Snowflake用户和角色。
• 请求令牌时，确保resource参数设置为你的Snowflake账户URL（比如https://xy12345.snowflakecomputing.com），这个参数会直接影响aud（受众）字段是否正确指向Snowflake。

内容的提问来源于stack exchange，提问作者Iqram Choudhury