关于Snowflake对接Okta后非Okta用户访问权限的技术咨询

我正在将Snowflake接入Okta实现身份认证，但部分用户（如合同工）不具备Okta访问权限。迁移过程中需执行的安全集成操作如下：

use role accountadmin;
CREATE SECURITY INTEGRATION OKTAINTEGRATION
    TYPE = SAML2
    ENABLED = TRUE 
    SAML2_ISSUER = 'http://www.okta.com/<YOUR ENTITY ID>'
    SAML2_SSO_URL = '<YOUR IDP SSO URL>'
    SAML2_PROVIDER = OKTA
    SAML2_X509_CERT = '<YOUR AUTHENTICATION CERTIFICATE in ONE LINE>'
    SAML2_SP_INITIATED_LOGIN_PAGE_LABEL = 'MYSSO'
    SAML2_ENABLE_SP_INITIATED = TRUE;

问题1：接入Okta后，这类无Okta权限的用户是否将无法访问Snowflake？ #

是的，默认情况下，启用上述Okta SAML2集成并让Snowflake依赖Okta做身份认证后，没有Okta访问权限的用户将无法通过SSO流程登录Snowflake。如果没额外配置本地认证的 fallback 机制，这类用户会完全失去Snowflake的访问权限。

问题2：是否存在允许部分此类用户继续访问Snowflake的方案？ #

有几种可行方案：

• 保留本地密码认证：为特定用户（如合同工）启用本地密码登录，修改用户配置设置登录名和密码，同时确保Snowflake账户未强制所有用户必须使用SSO。执行以下SQL（需拥有ACCOUNTADMIN角色）：

ALTER USER <CONTRACTOR_USERNAME> SET LOGIN_NAME = '<USERNAME>' PASSWORD = '<STRONG_PASSWORD>' MUST_CHANGE_PASSWORD = TRUE;

• 配置混合认证模式：创建多个安全集成，允许部分用户使用Okta SSO，另一部分用户使用本地密码或其他身份提供商认证，前提是Snowflake的账户认证策略支持这种混合模式。
• 临时授予Okta权限：如果合同工的访问需求是短期的，可以临时为他们创建Okta账户，待访问结束后禁用或删除该账户，这种方式既合规又能满足临时访问需求。

参考Snowflake社区文档《如何使用Okta配置Snowflake的SSO（新URL格式）》中的说明，配置SAML2集成时需确保正确填写Okta的实体ID、SSO地址、证书等信息，同时可通过用户级别的认证设置实现混合登录模式。

内容的提问来源于stack exchange，提问作者KristiLuna