是否可使用自有云环境替代Snowflake托管S3存储数据？

首先明确结论：部署在AWS上的Snowflake完全支持使用你自有AWS环境存储数据，根据你的管控需求不同，有3种可直接落地的方案：

方案1：客户自有存储（Customer-Managed Storage, CMS）全量托管 #

这是完全把数据存在自有AWS账户的方案，Snowflake的核心表数据、临时计算数据都存在你自己名下的S3存储桶，Snowflake只负责计算层的调度，不持有底层存储资源，是Snowflake官方原生支持的正式特性，不需要二次开发。

• 配置要求：
  • 提前在自有AWS账户中创建专属S3存储桶，开启版本控制、服务器端加密
  • 配置IAM角色，给Snowflake的官方AWS服务ID开放存储桶的读写、列表、删除等必要权限
  • 新账号可以在初始化阶段直接选择CMS模式，存量账号提交Snowflake官方工单即可申请切换
• 适用场景：对数据属地合规、存储资源自主管控要求极高的企业
• 注意点：你需要自行承担S3存储的费用、存储桶的运维、合规审计工作，Snowflake不负责该存储桶的可用性保障

方案2：外部Stage存储非核心/流转数据 #

如果不需要调整Snowflake核心表的存储位置，只是要把待加载的原始数据、导出的计算结果、非结构化数据存在自有环境，用外部Stage就能实现，配置门槛极低，5分钟就能搞定，也是绝大多数用户的选择。

• 配置要求：
  • 在自有AWS账户创建S3存储桶，配置IAM权限允许Snowflake访问
  • 在Snowflake中先创建存储集成对象，再执行CREATE EXTERNAL STAGE语句关联该S3存储桶，示例命令：

  CREATE OR REPLACE STAGE my_custom_s3_stage
  URL = 's3://<你的存储桶名称>/<存储路径>/'
  STORAGE_INTEGRATION = <提前创建的存储集成对象名称>;
  

• 适用场景：ETL链路中间数据存储、非结构化数据治理、跨系统数据共享场景
• 注意点：Snowflake核心表的存储还是在Snowflake托管的S3中，只有你主动放到外部Stage的数据才存在自有环境

方案3：客户管理密钥（CMK）加密托管存储 #

如果你不需要物理存储放在自有账户，只需要掌握数据加密的控制权，属于半自主管控的折中方案，不需要调整存储架构就能满足合规要求。

• 配置要求：
  • 在自有AWS账户的KMS服务中创建自定义对称加密密钥
  • 配置KMS密钥策略，允许Snowflake的服务角色调用加密、解密接口
  • 在Snowflake中配置账户/数据库/表级的加密策略，指定使用该CMK加密
• 适用场景：满足等保、行业合规要求中「加密密钥自主持有」的要求，不需要自行运维存储桶
• 注意点：物理存储介质还是归Snowflake托管，你只持有加密密钥的控制权，一旦密钥被误删，Snowflake侧的所有加密数据都无法恢复，合规要求不高的话没必要选该方案，额外产生的KMS调用费用需要自行承担

内容的提问来源于stack exchange，提问作者jsrathnayake