Gerenciamento de identidades de workload nomeadas para usuários no Snowflake

O Snowflake agora permite gerenciar identidades de workload (Workload Identity Federation) diretamente via comandos SQL em usuários de serviço, superando a limitação de uma única identidade padrão. Cada usuário pode ter até 10 identidades com nome e configurações de provedor próprios.

Para que serve

Imagine que você precisa autenticar múltiplos serviços e aplicações no Snowflake usando provedores de identidade em nuvem sem gerenciar senhas ou chaves de longa duração.

• Registrar novas identidades de workload associadas a provedores.
• Modificar parâmetros como comentários ou desabilitar identidades existentes.
• Listar métodos de autenticação configurados.

Como usar

Adicione uma nova identidade de workload a um usuário existente usando comandos SQL dedicados.

ALTER USER meu_usuario_servico ADD WORKLOAD IDENTITY identidade_aws (
  TYPE = AWS,
  ARN = 'arn:aws:iam::123456789012:role/MinhaRoleAWS'
);

O que acontece nesse código:

1. O comando ALTER USER identifica o usuário de serviço alvo.
2. A cláusula ADD WORKLOAD IDENTITY define o nome exclusivo da nova identidade (identidade_aws).
3. Os parâmetros específicos do provedor configuram a integração via AWS IAM.

Modifique uma identidade existente para atualizar configurações ou adicionar um comentário:

ALTER USER meu_usuario_servico MODIFY WORKLOAD IDENTITY identidade_aws SET COMMENT = 'Atualizado para testes';

O que acontece nesse código:

1. O comando aponta para a identidade nomeada já existente no usuário.
2. O parâmetro SET COMMENT aplica uma nova descrição para auditoria e controle.

Limitações e requisitos

• Cada usuário pode ter até 10 identidades de workload por padrão.
• Não é possível alterar propriedades como TYPE, ARN, ISSUER, SUBJECT ou OIDC_AUDIENCE_LIST diretamente; para alterá-las, é necessário remover a identidade e adicioná-la novamente.
• Os comandos nomeados não gerenciam a identidade DEFAULT gerada pela propriedade antiga WORKLOAD_IDENTITY.
• É necessário possuir a privilégio de OWNERSHIP ou MODIFY PROGRAMMATIC AUTHENTICATION METHODS sobre o usuário de serviço.