Snowflake

Para conectar o Looker ao Snowflake, siga estas etapas:

1. Crie um usuário do Looker no Snowflake e provisione o acesso.
2. Configure uma conexão de banco de dados no Looker.

Criptografar o tráfego de rede

É uma prática recomendada criptografar o tráfego de rede entre o aplicativo Looker e seu banco de dados. Considere uma das opções descritas na página de documentação Como ativar o acesso seguro ao banco de dados.

Como criar um usuário do Looker no Snowflake

Recomendamos os seguintes comandos para criar o usuário do Looker. Execute cada linha individualmente ou selecione a opção Todas as consultas no painel de conexão do Snowflake para garantir que todas as linhas sejam executadas. Por padrão, o Snowflake executa apenas as linhas selecionadas.

Recomendamos adicionar a palavra-chave ON FUTURE a cada instrução GRANT para que os objetos recém-criados tenham as mesmas permissões sem precisar de mais ações.

-- change role to ACCOUNTADMIN
use role ACCOUNTADMIN;

-- create role for looker
create role if not exists looker_role;
grant role looker_role to role SYSADMIN;
    -- Note that we are not making the looker_role a SYSADMIN,
    -- but rather granting users with the SYSADMIN role to modify the looker_role

-- create a user for looker
create user if not exists looker_user
password = <enter password here>;
grant role looker_role to user looker_user;
alter user looker_user
set default_role = looker_role
default_warehouse = looker_wh;

-- change role
use role SYSADMIN;

-- create a warehouse for looker (optional)
create warehouse if not exists looker_wh

-- set the size based on your dataset
warehouse_size = medium
warehouse_type = standard
auto_suspend = 1800
auto_resume = true
initially_suspended = true;
grant all privileges
on warehouse looker_wh
to role looker_role;

-- grant read only database access (repeat for all database/schemas)
grant usage on database <database> to role looker_role;
grant usage on schema <database>.<schema> to role looker_role;

-- rerun the following any time a table is added to the schema
grant select on all tables in schema <database>.<schema> to role looker_role;
-- or
grant select on future tables in schema <database>.<schema> to role looker_role;

-- create schema for looker to write back to
use database <database>;
create schema if not exists looker_scratch;
use role ACCOUNTADMIN;
grant ownership on schema looker_scratch to role SYSADMIN revoke current grants;
grant all on schema looker_scratch to role looker_role;

Criar a conexão do Looker com seu banco de dados

Na seção Administrador do Looker, selecione Conexões e clique em Adicionar conexão.

Preencher os detalhes de conexão. A maioria das configurações é comum para a maioria dos dialetos de banco de dados. Consulte a página de documentação Conectar o Looker ao seu banco de dados para mais informações. As descrições de configurações a seguir contêm observações específicas do Snowflake:

Configurações do banco de dados – Host: insira o nome do host do Snowflake. Ele vai aparecer assim: <account_name>.snowflakecomputing.com. Confira Exemplos de nomes de contas do Snowflake por região para usar o valor certo na sua implantação.

Configurações do banco de dados - Método de autenticação: selecione um dos seguintes métodos de autenticação:

• A conta de banco de dados só deve ser usada por clientes atuais que precisam de tempo para fazer a transição para um método de autenticação multifator antes do prazo de novembro de 2025 do Snowflake. Especifique o nome de usuário e a senha da conta de usuário do Snowflake que será usada para se conectar ao Looker.

• O par de chaves deve ser usado por clientes que querem implementar a autenticação por par de chaves do Snowflake para se conectar ao banco de dados. Especifique a conta de usuário que será usada para se conectar ao Snowflake no campo Nome de usuário. Faça upload de um arquivo de chave não criptografado no formato p8 no campo Arquivo do par de chaves. Arquivos de chave criptografados não são aceitos. A documentação do Snowflake descreve como criar um arquivo de chave privada.

• O OAuth deve ser usado por clientes que não precisam de tabelas derivadas permanentes (PDTs) e querem configurar o OAuth para a conexão.

Configurações opcionais: ativar TDPs: as TDPs não são compatíveis com conexões do Snowflake que usam autenticação OAuth. Se forem necessárias PDTs, use a opção de autenticação Par de chaves.

Configurações opcionais: parâmetros JDBC adicionais: adicione outros parâmetros JDBC do driver JDBC do Snowflake.

• Adicione warehouse=<YOUR WAREHOUSE NAME>.

• Além disso, por padrão, o Looker define os seguintes parâmetros do Snowflake em cada sessão:

  • TIMESTAMP_TYPE_MAPPING=TIMESTAMP_LTZ
  • JDBC_TREAT_DECIMAL_AS_INT=FALSE
  • TIMESTAMP_INPUT_FORMAT=AUTO

  • AUTOCOMMIT=TRUE

    É possível substituir cada um desses parâmetros definindo um valor alternativo no campo Parâmetros JDBC adicionais. Por exemplo: &AUTOCOMMIT=FALSE

Para verificar se a conexão foi bem-sucedida, clique em Testar. Consulte a página de documentação Testar a conectividade do banco de dados para informações sobre solução de problemas.

Para salvar essas configurações, clique em Conectar.

Designar data warehouses do Snowflake por grupo ou usuário

É possível usar atributos do usuário do Looker para atribuir data warehouses separados do Snowflake a usuários ou grupos individuais do Looker. Isso é útil, por exemplo, se você tiver usuários que exigem diferentes níveis de capacidade de computação. Você pode atribuir um data warehouse com mais recursos de computação apenas aos usuários que precisam dele e atribuir um data warehouse com menos recursos aos usuários com menos necessidades.

Para designar armazéns por grupo ou usuário, siga estas etapas:

1. Adicione os grupos ou usuários no Looker.

2. Defina um atributo do usuário no Looker em que os nomes dos armazéns do Snowflake serão armazenados. Você pode dar qualquer nome a esse atributo, como snowflake_wh.

   

3. No atributo de usuário que você acabou de definir, atribua os valores de nome do depósito aos grupos ou usuários que precisam de acesso a diferentes depósitos.

   

4. No campo Outros parâmetros JDBC da página Configurações de conexão, adicione o seguinte, substituindo snowflake_warehouse pelo nome do atributo de usuário que você definiu:

     warehouse={{ _user_attributes['snowflake_warehouse'] }}
   

5. Para testar as configurações de conexão individual, use o comando sudo como um usuário a quem você atribuiu um valor de nome de depósito.

Gerenciar o recurso de suspensão automática do Snowflake

Os data warehouses do Snowflake têm um recurso de suspensão automática ativado por padrão. Após um período especificado, o data warehouse será suspenso automaticamente. Se o data warehouse for suspenso, todas as consultas vão gerar um erro. Esse erro não aparece nos painéis (normalmente, esses erros resultam na não exibição de dados), mas fica visível para qualquer usuário que faça consultas na página "Analisar".

Normalmente, dois métodos são usados para gerenciar isso:

1. O Snowflake tem um recurso de retomada automática que reinicia o data warehouse quando ele é consultado. No entanto, a retomada do data warehouse pode levar até cinco minutos, fazendo com que as consultas parem de responder por cinco minutos antes de serem retornadas. Não é possível configurar a retomada automática no Looker. Ative esses recursos na guia Warehouses (Armazéns) na interface do Snowflake:

   

2. Se as tabelas derivadas persistentes (PDTs) estiverem ativadas, a configuração padrão do Looker será verificar a regeneração da tabela derivada a cada 5 minutos. Essa verificação mantém os data warehouses do Snowflake ativos. No entanto, talvez você queira que o Snowflake suspenda os data warehouses durante o horário em que não está trabalhando para reduzir custos. Para isso, modifique a programação de regeneração de PDTs, conforme descrito na documentação da programação de manutenção.

Suporte a TDP

As TDPs não são compatíveis com conexões do Snowflake que usam OAuth.

Para oferecer suporte a tabelas derivadas permanentes, crie uma conta de usuário do Snowflake para PDTs com acesso de gravação ao banco de dados e ao esquema temporário que o Looker vai usar para criar PDTs. Na página Configurações de conexões do Looker, na guia Configurações opcionais, na seção Configurações da tabela derivada persistente (TDP), ative a opção Ativar TDPs. Em seguida, no campo Banco de dados temporário, insira o nome do esquema temporário que o Looker vai usar para criar PDTs.

As substituições de PDT não estão disponíveis para conexões do Snowflake que usam autenticação de par de chaves.

Para conexões do Snowflake, o Looker define o valor do parâmetro AUTOCOMMIT do Snowflake como TRUE, que é o valor padrão do Snowflake. AUTOCOMMIT é necessário para comandos SQL que o Looker executa para manter o sistema de registro de PDTs.

Como configurar o OAuth para conexões do Snowflake

O Looker é compatível com o OAuth para conexões do Snowflake. Isso significa que cada usuário do Looker se autentica no banco de dados com a própria conta de usuário do OAuth.

Com o OAuth, os administradores de banco de dados podem realizar as seguintes tarefas:

• Auditar quais usuários do Looker estão executando consultas no banco de dados
• Impor controles de acesso baseados em papéis usando permissões no nível do banco de dados
• Use tokens OAuth em todos os processos e ações que acessam o banco de dados, em vez de incorporar IDs e senhas do banco de dados em vários lugares.
• Revogar a autorização de um determinado usuário diretamente no banco de dados

Com as conexões do Snowflake que usam o OAuth, os usuários precisam fazer login novamente periodicamente quando os tokens do OAuth expiram. A idade máxima dos tokens OAuth do Snowflake é definida pelo próprio Snowflake.

Observações sobre conexões OAuth no nível do banco de dados:

• As tabelas derivadas persistentes (PDTs) não são compatíveis com conexões do Snowflake com OAuth.
• Se um usuário deixar o token do OAuth expirar, todas as programações ou alertas do Looker de propriedade dele serão afetados. Para evitar isso, o Looker envia um e-mail de notificação ao proprietário de cada programação e alerta 14 dias, 7 dias e 1 dia antes do vencimento do token. O usuário pode acessar a página de usuário do Looker para reautorizar o acesso ao banco de dados e evitar interrupções nos programações e alertas. Consulte a página de documentação Personalizar as configurações da conta de usuário para mais detalhes.
• Como as conexões de banco de dados que usam o OAuth são "por usuário", as políticas de cache também são por usuário, e não apenas por consulta. Isso significa que o Looker vai usar os resultados em cache somente se o mesmo usuário tiver executado a mesma consulta dentro do período de armazenamento em cache. Para mais informações sobre o armazenamento em cache, consulte a página de documentação Armazenar consultas em cache.
• Ao usar o OAuth, não é possível mudar para funções diferentes na conta de usuário do Snowflake. Conforme descrito na documentação do Snowflake, o Snowflake usa a função padrão da conta do usuário do Snowflake, a menos que a função padrão seja ACCOUNTADMIN ou SECURITYADMIN. Como essas funções são bloqueadas para OAuth, o Snowflake vai usar a função PUBLIC. Consulte a documentação do Snowflake para mais informações.
• Quando um administrador do Looker usa o comando sudo como outro usuário, ele usa o token de acesso OAuth desse usuário. Se o token de acesso do usuário tiver expirado, o administrador não poderá criar um novo token em nome do usuário com sudo. Consulte a página de documentação Usuários para informações sobre como usar o comando sudo.

Configurar um banco de dados do Snowflake para OAuth com o Looker

Para criar uma conexão do Snowflake com o Looker usando o OAuth, é preciso configurar a integração do OAuth no Snowflake. Isso exige uma conta de usuário do Snowflake com permissão ACCOUNTADMIN.

1. Execute o seguinte comando no Snowflake, em que <looker_hostname> é o nome do host da sua instância do Looker:

   CREATE SECURITY INTEGRATION LOOKER
     TYPE = OAUTH
     ENABLED = TRUE
     OAUTH_CLIENT = LOOKER
     OAUTH_REDIRECT_URI = 'https://<looker_hostname>/external_oauth/redirect';
   

2. Para receber o ID e a chave secreta do cliente OAuth, execute o seguinte comando:

   SELECT SYSTEM$SHOW_OAUTH_CLIENT_SECRETS('LOOKER');
   

   A resposta terá um OAUTH_CLIENT_ID e um OAUTH_CLIENT_SECRET que você vai precisar mais tarde neste procedimento.

3. No Looker, crie uma conexão com seu data warehouse do Snowflake, conforme descrito na seção Criar a conexão do Looker com seu banco de dados desta página. Ao criar a nova conexão, selecione a opção OAuth no campo Autenticação. Ao selecionar a opção OAuth, o Looker mostra os campos ID do cliente OAuth e Chave secreta do cliente OAuth.

4. Cole os valores OAUTH_CLIENT_ID e OAUTH_CLIENT_SECRET que você recebeu do banco de dados anteriormente neste procedimento.

5. Conclua o restante do procedimento para Conectar o Looker ao banco de dados.

Testar a conexão OAuth

Depois de configurar a conexão do Looker com seu banco de dados, você pode testar a conexão fazendo o seguinte:

• Selecione o botão Testar na parte de baixo da página Configurações de conexões, conforme descrito na página de documentação Conectar o Looker ao seu banco de dados.
• Selecione o botão Testar na lista de conexões da página de administração Conexões, conforme descrito na página de documentação Conexões.

Além disso, você pode testar e implantar a conexão em um modelo seguindo estas etapas:

1. No Looker, acesse o modo de desenvolvimento.
2. Navegue até os arquivos do projeto de um projeto do Looker que usa sua conexão do Snowflake.
3. Abra um arquivo de modelo e substitua o valor connection do modelo pelo nome da nova conexão do Snowflake. Depois, salve o arquivo de modelo.
4. Abra um dos painéis ou Explores do modelo e execute uma consulta. Quando você tentar executar uma consulta, o Looker vai pedir para fazer login no Snowflake.
5. Siga as instruções de login do Snowflake e insira suas credenciais.

Depois de fazer login no Snowflake, o Looker vai redirecionar você de volta para a consulta. Se a consulta for executada corretamente, confirme o novo valor de conexão e implante as mudanças na produção.

Fazer login no Snowflake para executar consultas

Depois que a conexão do Snowflake for configurada para OAuth, os usuários vão precisar fazer login no Snowflake antes de executar consultas. Isso inclui consultas de análises detalhadas, painéis, Looks e SQL Runner.

Os usuários também podem fazer login no Snowflake na seção Credenciais de conexão OAuth da página Conta.

Para fazer login na sua conta do Snowflake usando o Looker, siga estas etapas:

1. Clique no menu de usuários do Looker.
2. Selecione Conta.
3. Na página Conta, acesse a seção Credenciais de conexão OAuth e selecione o botão Fazer login para o banco de dados Snowflake adequado.

Ao selecionar Fazer login, uma caixa de diálogo de login do Snowflake vai aparecer. Insira suas credenciais do Snowflake, selecione Fazer login e clique em Permitir para dar ao Looker acesso à sua conta do Snowflake.

Depois de fazer login no Snowflake pelo Looker, você pode sair ou reautorizar suas credenciais a qualquer momento na página Conta, conforme descrito na página de documentação Personalizar sua conta de usuário.

Suporte a recursos

Para que o Looker ofereça suporte a alguns recursos, o dialeto do banco de dados também precisa ser compatível com eles.

O Snowflake é compatível com os seguintes recursos a partir do Looker 25.10:

Próximas etapas

Depois de conectar seu banco de dados ao Looker, configure as opções de login para seus usuários.