Java/Spring Boot使用Azure Key Vault存储的key-pair连接Snowflake流程咨询

私钥部署到Azure Key Vault的操作步骤 #

• 首先生成Snowflake兼容的密钥对：
  用openssl执行命令生成PKCS#8格式的2048位私钥：
  openssl genrsa -out rsa_key.p8 2048
  再导出对应的公钥：
  openssl rsa -in rsa_key.p8 -pubout -out rsa_key.pub
  如果你生成的私钥是PKCS#1格式，需要转成PKCS#8格式才能被Snowflake识别。
• 上传私钥到Azure Key Vault：推荐将私钥作为**机密（Secret）**存储，方便后续Java侧直接读取PEM字符串使用：
  • Portal操作路径：进入对应Key Vault实例 → 左侧菜单栏选择「机密」→ 点击「生成/导入」→ 上传方式选「手动」，自定义机密名称，值直接粘贴rsa_key.p8文件的完整内容（包括头尾的-----BEGIN PRIVATE KEY-----和-----END PRIVATE KEY-----标记），设置有效期和访问权限后创建即可。
  • Azure CLI操作命令：
    az keyvault secret set --name <自定义私钥机密名> --vault-name <你的Key Vault实例名> --file rsa_key.p8
• 配置访问权限：给你的Spring Boot应用绑定的托管标识/服务主体分配Key Vault的「机密读取」权限，保证应用可以正常拉取私钥内容。

配置是否需要联系Snowflake Support #

全程不需要联系Snowflake Support，所有操作都可自主完成，仅涉及Snowflake侧和客户端侧两处配置

• Snowflake侧操作：仅需要把生成的公钥绑定到你的登录用户，执行SQL即可，只要你有对应账号的USER ADMIN或ACCOUNTADMIN权限就能操作：
  ALTER USER <你的Snowflake用户名> SET RSA_PUBLIC_KEY='<公钥内容，去掉头尾标记和所有换行>'
• Java/Spring Boot侧操作：通过Azure Key Vault SDK拉取到私钥内容后，直接传给Snowflake JDBC驱动的对应配置参数即可，核心参数为sfURL、sfUser、sfPrivateKey，私钥设密的话额外加sfPrivateKeyPassphrase参数即可，无需额外服务端配置。

提示：如果使用Snowflake官方的Spring Boot Starter，直接将拉取到的私钥值填入对应配置项即可，不需要修改业务代码。

内容的提问来源于stack exchange，提问作者Belen