dbt升级至1.1.1后使用MFA连接Snowflake触发重复Duo通知咨询

dbt 1.1.0版本对官方Snowflake适配器的连接池逻辑做了重构：

• 1.1.0之前的版本执行单模型dbt compile时全程复用1条Snowflake连接，因此只会触发1次Duo MFA验证
• 1.1.x及以上版本默认会为元数据拉取、语法校验、依赖解析等不同操作独立创建连接，而Snowflake的交互式Duo MFA验证逻辑为每新建1条未携带有效认证令牌的连接，就会触发1次推送，因此会出现多条推送通知的情况。

• 方案1：开启MFA临时令牌本地缓存
  在dbt项目的profiles.yml对应Snowflake连接配置块中添加两个参数，驱动会自动将MFA验证通过后的临时令牌存在本地系统安全凭据库（Mac钥匙串、Windows凭据管理器、Linux密钥环），默认8小时有效期内新建连接不会重复触发Duo推送。dbt 1.1.1内置的Snowflake驱动版本已支持该配置，无需额外升级依赖。
  配置示例：

  your_project:
    target: dev
    outputs:
      dev:
        type: snowflake
        account: 你的Snowflake账号标识
        user: 登录用户名
        password: 登录密码
        role: 使用角色
        database: 目标数据库
        warehouse: 计算仓库
        schema: 目标schema
        # 新增以下两个配置
        authenticator: username_password_mfa
        client_store_temporary_credential: true
  

• 方案2：强制连接串行复用
  如果本地环境有安全管控，不允许存储临时认证令牌，可以在连接配置中设置threads: 1，同时添加client_session_keep_alive: true，强制所有dbt操作串行执行、复用同一条长连接，从根源上减少新建连接的数量。该方案缺点是多步操作无法并行，compile/run的执行速度会稍慢。
• 方案3：提前完成MFA验证
  执行dbt命令前先通过SnowSQL客户端登录对应Snowflake账号完成一次Duo验证，SnowSQL生成的临时认证令牌会被dbt的Snowflake驱动自动识别复用，短时间内执行dbt操作不会重复触发推送。

• 生产环境禁止使用交互式MFA：定时跑批、CI/CD等自动化场景下的dbt任务，使用密钥对认证的服务账号，对服务账号配置程序化访问豁免，不要绑定Duo这类交互式MFA推送，避免任务因等待验证超时失败。
• 本地开发优先用令牌缓存：本地环境优先选择client_store_temporary_credential配置，既满足账号层面的MFA安全要求，也不会反复收到推送打扰，注意不要将本地存储的临时凭据同步到代码仓库或公共存储路径。
• 不要随意关闭MFA：不要为了避免推送直接给个人开发账号关闭MFA校验，防止账号密码泄露后出现未授权访问。如果团队配置了企业SSO，优先使用SSO浏览器认证模式，认证体验比账号密码+Duo推送更流畅，同样支持令牌缓存。
• 合理设置本地线程数：本地开发场景下threads参数不要设置超过4，过高的并发数会同时新建大量连接，不仅会触发多次MFA推送，还容易触发Snowflake账号的并发连接数限制。

内容的提问来源于stack exchange，提问作者ashsc