SAS连接Snowflake：密钥对认证安全存储配置问题咨询

针对RHEL上SAS 9.4M7与Snowflake密钥对认证的安全参数存储需求，以下是几种可行方案：

方案1：SAS加密文件存储+预分配库动态读取 #

利用SAS自带的密码加密功能，将敏感参数存储在权限严格控制的加密文件中，预分配库时动态读取：

1. 生成加密密码
   用PROC PWENCODE对密钥文件的密码进行加密：

   proc pwencode in='your_key_passphrase' out=encoded_pwd method=sas002;
   run;
   

   复制输出的加密字符串（如{SAS002}xxxxxxxxx）。

2. 创建密钥配置文件
   创建一个仅服务账号可读写的文本文件（如/sas/secrets/snowflake_keys.conf），权限设为chmod 600，内容格式：

   KEY_FILE_PATH=/sas/keys/snowflake_service_key.p8
   ENCODED_KEY_PWD={SAS002}xxxxxxxxx
   

3. 预分配库时读取参数
   在预分配库的SAS代码中添加读取逻辑，提取参数后传入连接配置：

   /* 禁止宏变量值输出到日志 */
   options nologsymbolgen;
   
   /* 读取配置文件 */
   data _null_;
     infile '/sas/secrets/snowflake_keys.conf' truncover;
     input param $ value $200.;
     if param='KEY_FILE_PATH' then call symputx('key_path', value);
     if param='ENCODED_KEY_PWD' then call symputx('key_pwd', value);
   run;
   
   /* 预分配密钥认证库 */
   libname snowflake_srv odbc dsn='Snowflake_KeyAuth'
     PRIVATE_KEY_FILE=&key_path.
     PRIVATE_KEY_FILE_PWD=&key_pwd.;
   

方案2：Linux内核密钥环+OpenSSL加密存储 #

借助Linux内核密钥环管理解密密码，结合OpenSSL加密存储敏感参数，避免明文泄露：

1. 加密参数文件
   创建明文参数文件snowflake_keys_plain.txt，内容同方案1，用OpenSSL加密：

   openssl enc -aes-256-cbc -salt -in snowflake_keys_plain.txt -out /sas/secrets/snowflake_keys.enc
   

   设置加密密码，后续将其存入内核密钥环。

2. 将解密密码存入内核密钥环
   在服务账号的登录脚本（如~/.bash_profile）或SAS批处理启动脚本中添加：

   # 将解密密码存入用户级密钥环，仅当前会话可见
   keyctl add user snowflake_decrypt_pass 'your_encryption_pass' @u
   

3. SAS预分配库时解密读取
   在预分配库代码中调用OpenSSL解密临时文件，读取参数后立即删除临时文件：

   options nologsymbolgen;
   
   /* 解密配置文件到临时文件 */
   data _null_;
     call system('keyctl pipe user snowflake_decrypt_pass | openssl enc -aes-256-cbc -d -in /sas/secrets/snowflake_keys.enc -out /tmp/snowflake_keys_temp.txt -pass stdin');
   run;
   
   /* 读取临时文件并设置宏变量 */
   data _null_;
     infile '/tmp/snowflake_keys_temp.txt' truncover;
     input param $ value $200.;
     if param='KEY_FILE_PATH' then call symputx('key_path', value);
     if param='ENCODED_KEY_PWD' then call symputx('key_pwd', value);
     /* 立即删除临时文件 */
     call system('rm -f /tmp/snowflake_keys_temp.txt');
   run;
   
   /* 预分配库 */
   libname snowflake_srv odbc dsn='Snowflake_KeyAuth'
     PRIVATE_KEY_FILE=&key_path.
     PRIVATE_KEY_FILE_PWD=&key_pwd.;
   

方案3：SAS Metadata Server存储密码 #

利用SAS 9.4的Metadata Server存储敏感密码，通过预分配库代码调用：

1. 在SAS Management Console创建存储密码

   • 导航至数据服务器 > 存储密码，新建通用密码对象。
   • 输入密钥文件的密码，设置权限仅允许服务账号访问。

2. 预分配库时获取存储密码
   自定义宏或用PROC METADATA查询存储密码，传入连接配置：

   options nologsymbolgen;
   
   /* 自定义宏获取Metadata存储的密码 */
   %macro get_metadata_pwd(obj_id);
     %local pwd;
     proc metadata in=
       "<GetMetadataObjects>
         <Reposid>$METAREPOSITORY</Reposid>
         <Type>Password</Type>
         <Objects><ObjId>&obj_id.</ObjId></Objects>
         <NS>SAS</NS>
         <Flags>0x00010000</Flags>
         <Options><XMLSelect search='//Password/PasswordValue'/></Options>
       </GetMetadataObjects>"
       out=metadata_out;
     run;
     data _null_;
       set metadata_out;
       if index(xml, '<PasswordValue>') then do;
         pwd = scan(scan(xml, 2, '<'), 1, '>');
         call symputx('pwd', pwd);
       end;
     run;
     &pwd.
   %mend;
   
   /* 获取密码并预分配库 */
   %let key_pwd = %get_metadata_pwd('xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx');
   libname snowflake_srv odbc dsn='Snowflake_KeyAuth'
     PRIVATE_KEY_FILE='/sas/keys/snowflake_service_key.p8'
     PRIVATE_KEY_FILE_PWD=&key_pwd.;
   

安全最佳实践 #

• 密钥文件（.p8）权限设为chmod 600，仅服务账号可读。
• 所有配置文件、Metadata对象权限严格控制，最小化访问范围。
• 启用OPTIONS NOLOGSYMBOLGEN避免敏感宏变量值写入日志。
• 夜间批处理的SAS会话以专用服务账号运行，禁止其他账号访问。

内容的提问来源于stack exchange，提问作者Nivazz