SnowPro Advanced: Administrator 無料問題 3 / 10 ・ 分野1: Snowflake Security, RBAC, and User Administration
SCIM のセキュリティ統合を作り、IdP の側で Snowflake のアプリにユーザーを割り当てたが、Snowflake にユーザーが現れない。IdP が Snowflake に SCIM の要求を送っているかどうかを、まず Snowflake の側で確かめたい。公式ドキュメントに合う確かめ方はどれか。
- rest_event_history の表を問い合わせ、IdP からの SCIM API の要求が届いているかを見る
- LOGIN_HISTORY を問い合わせ、SCIM の統合の RUN_AS_ROLE で始まったログインの記録があるかを見る
- SHOW SECURITY INTEGRATIONS で enabled の列を見て、false なら統合が要求を受け付けていないと判断する
- ACCESS_HISTORY を問い合わせ、IdP から書き込まれたユーザーの行がどの表に入ったかを見る
正解と解説を見る
正解: A
正解の理由
SCIM の使い方として公式が挙げるものの1つが、REST API の要求の監査である。管理者は rest_event_history の表を問い合わせて、IdP が更新（SCIM API の要求）を Snowflake に送っているかを判断できる。ユーザーが現れないとき、要求が届いていないのか、届いて失敗しているのかを、Snowflake の側でここから切り分けられる。SCIM ではユーザーの管理もグループ（ロール）の管理も、IdP から Snowflake への1対1の対応で行う。
違う選択肢
「LOGIN_HISTORY を問い合わせ、SCIM の統合の RUN_AS_ROLE で始まったログインの記録があるかを見る」… LOGIN_HISTORY はユーザーのログインの試みを記録するもので、IdP から届く SCIM API の要求を見る場所ではない。SCIM の要求が届いているかは、公式の使い方にあるとおり rest_event_history で確かめる。
「SHOW SECURITY INTEGRATIONS で enabled の列を見て、false なら統合が要求を受け付けていないと判断する」… SCIM のセキュリティ統合は無効にできず、SHOW SECURITY INTEGRATIONS で enabled が false と出ることがあっても、今のところ働きには影響しないと公式に書かれている。この列で要求を受けているかは判断できない。
「ACCESS_HISTORY を問い合わせ、IdP から書き込まれたユーザーの行がどの表に入ったかを見る」… ACCESS_HISTORY は、問い合わせがどの表や列を読み書きしたかを記録するビューで、SCIM でユーザーを払い出す要求の記録を見る場所ではない。IdP からの要求の到着は rest_event_history で見る。
つまずき方
SCIM で作ったユーザーには、既定で Snowflake から招待のメールが送られ、作成から24〜48時間のうちに届く。送らせたくなければ Snowflake のサポートに頼む。