Snowflakeでキーペア認証を行う～ Talend Studio, Qlik Cloud, Qlik Replicate ～

Snowflake でキーペア認証を行う
～ Talend Studio, Qlik Cloud, Qlik
Replicate ～
Qlik Tips
2025/07/15
Tomohiro Takahashi
Technical Expert

Snowflake のキーペア認証
• Snowflake 、 2025 年 11 月までに単一要素パスワード認証をブロック
https://www.snowflake.com/ja/blog/blocking-single-factor-password-authentification/
Snowflake は 2025 年 11 月にパスワードによる単一要素認証のサインインをブロックすること
を発表しました。
...
シングルサインオンユーザー（ SAML または OAuth を使用）やキーペア認証を使用するユー
ザーには適用されません。
• キーペア認証とキーペアローテーション
https://docs.snowflake.com/ja/user-guide/key-pair-auth
Snowflake は、ユーザー名やパスワードなどの基本認証の代わりに、認証セキュリティを強化
するためのキーペア認証の使用をサポートしています。
この認証方法では、少なくとも 2048 ビットの RSA キーペアが必要です。 OpenSSL を使用し
てプライバシー強化メール（ PEM ）公開 / 秘密キーペアを生成します。
2

キーペア認証の準備
• OpenSSL がインストール済みであることを確認
• PKCS#8 形式の秘密鍵の生成 ( 暗号化するためにパスフレーズを使用 )
o $>openssl genrsa 2048 | openssl pkcs8 -topk8 -v2 des3 -inform PEM -out rsa_key.p8
• PKCS#8 形式の公開鍵の生成
o $>openssl rsa -in rsa_key.p8 -pubout -out rsa_key.pub
• SECURITYADMIN として Snowflake にログインし、特定のユーザーに公開鍵をセット
o ALTER USER example_user SET RSA_PUBLIC_KEY='MIIBIjANBgkqh...';
• ユーザーに正しく公開鍵がセットされたことをそのフィンガープリントで検証
o SELECT SUBSTR((SELECT “value” FROM TABLE(RESULT_SCAN(LAST_QUERY_ID())) WHERE "property" =
'RSA_PUBLIC_KEY_FP'), LEN('SHA256:') + 1);
-------
Output:
Azk1Pq...
-------
o $>openssl rsa -pubin -in rsa_key.pub -outform DER | openssl dgst -sha256 -binary | openssl enc -
base64
-------
Output:
writing RSA key
Azk1Pq...
-------
4

JDBC クライアントを作成してテスト
• Java17 + 最新の JDBC ドライバ (2025/7/15 時点では v3.25.0 が最新 )
o https://docs.snowflake.com/ja/developer-guide/jdbc/jdbc-parameters
o 秘密鍵ファイル (PKCS#8,PEM) とパスフレーズを JDBC の接続 URL パラメータ ( または接続プロパティ ) に
設定
• 例 : ?private_key_file=C:/temp/rsa_key.p8&private_key_file_pwd=password
o 基本認証の接続モードを利用しつつ、従来のパスワードにダミー ( 任意 ) の文字列を指定
5

JDBC クライアントを作成してテスト ( 続き )
• キーの復号時に関するエラーに対処する
o OpenSSL による秘密鍵の暗号化は、 Java 標準の暗号化ランタイムでは対応できず実行時エラーが発生す
るため、オープンソースの暗号ライブラリ「 Bouncy Castle (https://www.bouncycastle.org/) 」が別途必要
o 幸い、 Snowflake JDBC ドライバの「 v3.16.0 」以降を使えば、 Snowflake 専用のパッケージ名に変更された
Bouncy Castle が内蔵されており、 JVM 引数で回避可能
• 秘密鍵の復号化の処理に Snowflake JDBC ドライバ内蔵の Bouncy Castle を使用するよう指示する JVM 引数を指
定する必要がある
• -Dnet.snowflake.jdbc.enableBouncyCastle=true
o 参考
• キー復号エラー
o https://docs.snowflake.com/ja/developer-guide/jdbc/jdbc-configure#using-key-pair-authentication-and-key-rotation
• Using Private Key authentication in Dbeaver
o https://community.snowflake.com/s/article/Using-Private-Key-authentication-in-DBeaver 6

Talend Studio 自身で
メタデータの DB 接続
Talend Studio R2025-04 以降の新しい
バージョン
7

Talend Studio R2025-04 以降の新しいバージョン
• Snowflake JDBC ドライバの v3.22.0 がインストールされ、 Talend Studio 自身および ETL ジョブ
の双方で利用される
o Bouncy Castle が内蔵されているバージョンの .jar ファイル
• Talend Studio の .ini ファイル ( 例 : Talend-Studio-win-x86_64.ini) に JVM 引数を追加し
て、 Talend Studio を再起動
o -Dnet.snowflake.jdbc.enableBouncyCastle=true
8

Talend Studio R2025-04 以降の新しいバージョン ( 続き )
• メタデータの DB 接続で Snowflake 用の設定を行う
o 認証モードは基本認証 (Basic) で、パスワードはダミーの文字列を指定
o 秘密鍵ファイル (PKCS#8,PEM) とパスフレーズを「追加の JDBC パラメータ」に設定
• 例 : “private_key_file=C:/temp/rsa_key.p8&private_key_file_pwd=password”
9

Talend Studio の
ETL ジョブで接続
Talend Studio R2025-04 以降の新しい
バージョン
10

Talend Studio R2025-04 以降の新しいバージョン
• Snowflake 用のコンポーネントを配置してプロパティを設定
o 認証モードは基本認証 (Basic) で、パスワードはダミーの文字列を指定
11

Talend Studio R2025-04 以降の新しいバージョン ( 続き )
• ETL ジョブの実行の詳細設定で、追加の JVM 引数を指定する
o -Dnet.snowflake.jdbc.enableBouncyCastle=true
12

Talend Studio 自身で
メタデータの DB 接続
Talend Studio R2025-03 までの古い
バージョン
13

Talend Studio R2025-03 までの古いバージョン
～ Talend Studio R2025-04 以降の新しいバージョンでも利用可能な方法～
• Talend Studio R2025-03 までの古いバージョンには、とても古い Snowflake JDBC ドライバの
v3.13.x がインストールされており、 Talend Studio 自身および ETL ジョブの双方で利用される
o Bouncy Castle が内蔵されていないバージョンの .jar ファイル !!
• Java の KeyStore の仕組みを利用する必要があり、 PKCS#8(PEM) 形式の秘密鍵
を、 PKCS#12(pfx) 形式の KeyStore ファイルとして取り込む
o OpenSSL で、秘密鍵を使って証明書署名要求を作成する
• $>openssl req -new -key rsa_key.p8 -out cert.csr
o OpenSSL で、秘密鍵を使って自己署名された証明書 ( 公開鍵 ) を作成
• $>openssl x509 -signkey rsa_key.p8 -days 365 -req -in cert.csr -out cert.cer -sha256
o OpenSSL で、証明書と秘密鍵から PKCS#12(pfx) 形式のファイルをエクスポート
• パスワードおよび、秘密鍵にエリアス ( 別名 )( 例 : talend) を指定
• $>openssl pkcs12 -export -in cert.cer -inkey rsa_key.p8 -out mykeystore.pfx -password pass:password -name
talend
o Java の keytool コマンドで、 pfx 形式のファイルを、 PKCS#12 形式の KeyStore ファイルとしてインポー
ト
• パスワードを指定
• $>keytool -importkeystore -deststorepass password -destkeystore mykeystore.p12 -srckeystore
mykeystore.pfx -srcstoretype PKCS12 -srcstorepass password
14

Talend Studio R2025-03 までの古いバージョン ( 続き )
o Java の keytool コマンドで、 KeyStore ファイル内に対象のエリアス ( 別名 )( 例 : talend) の秘密鍵があるか
確認
• $>keytool -list -v -keystore mykeystore.p12 -storetype PKCS12
15

16
• Talend Studio の設定ダイアログボックスで、 PKCS#12 形式の KeyStore ファイルを設定する
o Talend – Security – SSL – Keystore 設定 – ファイルパス , パスワード , KeyStore のタイプ (PKCS12)
• メタデータの DB 接続で Snowflake 用の設定を行う
o 認証モードは Key Pair で、 Key Alias( エリアス , 別名 )( 例 : talend) を指定

Talend Studio の
ETL ジョブで接続
Talend Studio R2025-03 までの古い
バージョン
17

18
• tSetKeystore コンポーネントを配置してプロパティを設定
o 保管は「 KeyStore を設定 ( クライアント認証 ) 」、 KeyStore タイプは「 PKCS12 」、ファイルパスとパ
スワードを設定

19
• Snowflake 用のコンポーネントを配置してプロパティを設定
o 認証モードは Key Pair で、 Key Alias( エリアス , 別名 )( 例 : “talend”) を指定

Talend Studio の ETL ジョブで使用
する JDBC ドライバを最新版に置き換
える
ドライバのバージョンに依存した問題
( ドライバ自身の不具合も含む ) が発生
する可能性もありますので、注意して
ご利用ください
20

Talend Studio の「 Modules 」ビューを利用する
• Talend Studio の ETL ジョブが使用する JDBC ドライバは、少し ( またはかなり ) 古いバージョン
の .jar ファイルが Maven リポジトリからダウンロードされて利用される
o 例 : SQLite3 の JDBC ドライバの最新版は、 2025/7/1 現在 v3.50.2.0 だが、 v3.44.1.0 が利用される
• Talend Studio の [Modules] ビューで、コンポーネントが依存する .jar ファイルを置き換え可能
o フィルタを入力して、リストを絞り込み ( 例 : snowflake)
21

Talend Studio の「 Modules 」ビューを利用する ( 続き )
• 特定の .jar ファイルに依存しているコンポーネントを何か 1 つ選択し、右端の [...] ボタンをクリッ
ク
• カスタム MVN URI を選択し、 Maven リポジトリの URI を入力して、 [OK] ボタンをクリック
o 例 : mvn:net.snowflake/snowflake-jdbc/3.24.2/jar
22

• ETL ジョブを開いて、対象のコンポーネントのプロパティを確認すると ...
• [ インストール ...] ボタンをクリックして、 Maven リポジトリからダウンロードしてインストール
o ダウンロードしたバージョンの .jar ファイルは、 Talend Studio 配下の Maven リポジトリ内に保存される
23

• ETL ジョブをエクスポートして、新しい .jar ファイルに置き換わり、成果物に含まれることを確認
o 例 : lib/snowflake-jdbc-3.24.2.jar
• 実際に ETL ジョブを実行して (Talend Remote Engine 等でも ) 、問題が発生しないか確認する !!
[ 注意 ]
24

Talend Studio R2025-03 ま
での古いバージョンでの代替
策
基本的にサポート外の方式なので
ユーザーの自己責任でご利用ください
25

• Talend Studio R2025-03 までの古いバージョンには、とても古い Snowflake JDBC ドライバの
v3.13.x がインストールされており、 Talend Studio 自身および ETL ジョブの双方で利用される
o Bouncy Castle が内蔵されていないバージョンの .jar ファイル !!
• Talend Studio のフォルダ配下にあるローカル Maven リポジトリ内にある古い JDBC ドライバファ
イル (.jar) をバックアップし、最新の JDBC ドライバの .jar ファイルを同名でコピーする
o ただし、 Talend Studio のアップデート時に毎回同じ作業を行う必要あり
o Talend Studio の再起動、 ETL ジョブの再生成 ( 再公開 ) 、も必要
26

PKCS#8(PEM) 形式の秘密鍵を使用
• 認証モードは「 Key Pair 」を選択し、秘密鍵とパスフレーズを入力
28

Qlik Replicate での接
続
29

PKCS#8(PEM) 形式の秘密鍵を使用
• 認証モードは「 Key Pair 」を選択し、秘密鍵とパスフレーズを入力
30

Snowflakeでキーペア認証を行う ～ Talend Studio, Qlik Cloud, Qlik Replicate ～

More Related Content

More from QlikPresalesJapan