如何通过SQLAlchemy连接串实现Snowflake与Superset的Azure AD SSO连接

由于Superset是服务器端应用，无法触发桌面浏览器完成externalbrowser模式的交互式认证，必须采用无交互的Azure AD SSO认证方式，以下是两种可行的连接串配置方案：

方案1：Azure AD服务主体认证（Client Credentials Flow） #

该方式适合非用户级的批量/后台访问，通过Azure AD应用注册的服务主体完成认证：

1. 前置配置：
   • 在Azure AD中创建应用注册，记录客户端ID、客户端密钥、租户ID
   • 在Snowflake中创建安全集成，关联该Azure AD应用，授予对应仓库、数据库的访问权限
2. 连接串格式：

   snowflake://<你的Snowflake账户标识>/<数据库名>/<模式名>?warehouse=<仓库名>&role=<角色名>&authenticator=https://login.microsoftonline.com/<Azure租户ID>/oauth2/token&client_id=<Azure应用客户端ID>&client_secret=<Azure应用客户端密钥>
   

   说明：账户标识格式通常为xxx-yyyyyy（无需添加.snowflakecomputing.com后缀）

方案2：Azure AD托管标识认证（适合Azure部署的Superset） #

如果Superset部署在Azure服务（如VM、App Service、AKS）上，可使用托管标识实现免密钥认证：

1. 前置配置：
   • 为Superset所在的Azure资源启用系统分配或用户分配的托管标识
   • 在Snowflake中为该托管标识授予对应访问权限
2. 连接串格式：
   • 系统分配托管标识：

     snowflake://<你的Snowflake账户标识>/<数据库名>/<模式名>?warehouse=<仓库名>&role=<角色名>&authenticator=azure_msi
     

   • 用户分配托管标识（需指定托管标识的客户端ID）：

     snowflake://<你的Snowflake账户标识>/<数据库名>/<模式名>?warehouse=<仓库名>&role=<角色名>&authenticator=azure_msi&client_id=<托管标识客户端ID>
     

额外注意事项 #

• 确保Superset服务器能正常访问Azure AD和Snowflake的公网端点
• Snowflake角色需绑定到对应的Azure AD主体（服务主体/托管标识）
• 测试连接前，先验证服务主体/托管标识已获得Snowflake的对应访问权限

内容的提问来源于stack exchange，提问作者thomashu1987