Snowflake

Avertissement : À partir de novembre 2025, Snowflake n'autorisera plus l'authentification à un seul facteur. Pour éviter de futures interruptions de connexion, choisissez l'option d'authentification Paire de clés (non disponible si la fonctionnalité héritée Utiliser la page des connexions héritées est activée) ou OAuth.

Pour connecter Looker à Snowflake, procédez comme suit :

1. Créez un utilisateur Looker sur Snowflake et provisionnez l'accès.
2. Configurez une connexion à la base de données dans Looker.

Chiffrement du trafic réseau

Il est recommandé de chiffrer le trafic réseau entre l'application Looker et votre base de données. Pour ce faire, consultez les options détaillées sur la page Sécurisation de l'accès à la base de données de la documentation.

Créer un utilisateur Looker sur Snowflake

Nous vous recommandons d'utiliser les commandes suivantes pour créer l'utilisateur Looker. Veillez à exécuter chaque ligne individuellement ou sélectionnez l'option Toutes les requêtes dans le panneau de connexion Snowflake pour vous assurer que toutes les lignes sont exécutées (par défaut, Snowflake n'exécute que les lignes sélectionnées) :

Nous vous recommandons d'ajouter le ON FUTURE à chaque GRANT afin que les objets nouvellement créés disposent des mêmes autorisations sans qu'aucune autre action ne soit requise.

-- change role to ACCOUNTADMIN
use role ACCOUNTADMIN;

-- create role for looker
create role if not exists looker_role;
grant role looker_role to role SYSADMIN;
    -- Note that we are not making the looker_role a SYSADMIN,
    -- but rather granting users with the SYSADMIN role to modify the looker_role

-- create a user for looker
create user if not exists looker_user
password = <enter password here>;
grant role looker_role to user looker_user;
alter user looker_user
set default_role = looker_role
default_warehouse = looker_wh;

-- change role
use role SYSADMIN;

-- create a warehouse for looker (optional)
create warehouse if not exists looker_wh

-- set the size based on your dataset
warehouse_size = medium
warehouse_type = standard
auto_suspend = 1800
auto_resume = true
initially_suspended = true;
grant all privileges
on warehouse looker_wh
to role looker_role;

-- grant read only database access (repeat for all database/schemas)
grant usage on database <database> to role looker_role;
grant usage on schema <database>.<schema> to role looker_role;

-- rerun the following any time a table is added to the schema
grant select on all tables in schema <database>.<schema> to role looker_role;
-- or
grant select on future tables in schema <database>.<schema> to role looker_role;

-- create schema for looker to write back to
use database <database>;
create schema if not exists looker_scratch;
use role ACCOUNTADMIN;
grant ownership on schema looker_scratch to role SYSADMIN revoke current grants;
grant all on schema looker_scratch to role looker_role;

Créer la connexion Looker à votre base de données

Dans la section Admin de Looker, sélectionnez Connexions, puis cliquez sur Ajouter une connexion.

Saisissez les informations de connexion. La majorité des paramètres sont communs à la plupart des dialectes de base de données. Pour en savoir plus, consultez la page de documentation Connecter Looker à votre base de données. Les descriptions de paramètres suivantes contiennent des notes spécifiques à Snowflake :

Paramètres de la base de données – Hôte : saisissez le nom d'hôte Snowflake. Il se présentera comme suit : <account_name>.snowflakecomputing.com. Consultez les exemples de noms de comptes Snowflake par région pour vous assurer d'utiliser la bonne valeur pour votre déploiement.

Paramètres de la base de données – Méthode d'authentification : sélectionnez l'une des méthodes d'authentification suivantes :

• Compte de base de données ne doit être utilisé que par les clients existants qui ont besoin de temps pour passer à une méthode d'authentification multifacteur avant la date limite de novembre 2025 de Snowflake. Spécifiez le nom d'utilisateur et le mot de passe du compte utilisateur Snowflake qui sera utilisé pour se connecter à Looker.

• Paire de clés doit être utilisé par les clients qui souhaitent implémenter l'authentification par paire de clés de Snowflake pour se connecter à leur base de données. Spécifiez le compte utilisateur qui sera utilisé pour se connecter à Snowflake dans le champ Nom d'utilisateur. Importez un fichier de clés au format p8 non chiffré dans le champ Fichier de paire de clés. Les fichiers de clés chiffrés ne sont pas acceptés. La documentation de Snowflake explique comment créer un fichier de clés privées.

• OAuth doit être utilisé par les clients qui n'ont pas besoin de tables dérivées persistantes (PDT) et qui souhaitent configurer OAuth pour la connexion.

Paramètres facultatifs – Activer les PDT : les PDT ne sont pas compatibles avec les connexions Snowflake qui utilisent l'authentification OAuth. Si vous avez besoin de PDT, utilisez plutôt l'option d'authentification Paire de clés.

Paramètres facultatifs – Paramètres JDBC supplémentaires : ajoutez des paramètres JDBC supplémentaires à partir du pilote JDBC Snowflake.

• Ajoutez warehouse=<YOUR WAREHOUSE NAME>.

• De plus, par défaut, Looker définit les paramètres Snowflake suivants pour chaque session :

  • TIMESTAMP_TYPE_MAPPING=TIMESTAMP_LTZ
  • JDBC_TREAT_DECIMAL_AS_INT=FALSE
  • TIMESTAMP_INPUT_FORMAT=AUTO

  • AUTOCOMMIT=TRUE

    Vous pouvez remplacer chacun de ces paramètres en définissant une autre valeur dans le champ Paramètres JDBC supplémentaires, par exemple : &AUTOCOMMIT=FALSE.

Pour vérifier que la connexion a réussi, cliquez sur Tester. Pour obtenir des informations sur la résolution des problèmes, consultez la page de documentation Tester la connectivité de la base de données.

Pour enregistrer ces paramètres, cliquez sur Connecter.

Désigner des entrepôts Snowflake par groupe ou par utilisateur

Vous pouvez utiliser les attributs utilisateur Looker pour attribuer des entrepôts Snowflake distincts à des utilisateurs ou des groupes Looker individuels. Cela est utile, par exemple, si certains utilisateurs ont besoin de différents niveaux de puissance de calcul. Vous pouvez attribuer un entrepôt avec davantage de ressources de calcul uniquement aux utilisateurs qui en ont besoin, tout en attribuant un entrepôt avec moins de ressources aux utilisateurs qui en ont moins besoin.

Pour désigner des entrepôts par groupe ou par utilisateur, procédez comme suit :

1. Ajoutez les groupes ou les utilisateurs dans Looker.

2. Définissez un attribut utilisateur dans Looker où seront stockés les noms des entrepôts Snowflake. Vous pouvez attribuer n'importe quel nom à cet attribut, par exemple snowflake_wh.

   

3. Dans l'attribut utilisateur que vous venez de définir, attribuez les valeurs de nom d'entrepôt aux groupes ou aux utilisateurs qui auront besoin d'un accès différent à l'entrepôt.

   

4. Dans le champ Paramètres JDBC supplémentaires de la page Paramètres de connexion , ajoutez les éléments suivants en remplaçant snowflake_warehouse par le nom de l'attribut utilisateur que vous avez défini :

     warehouse={{ _user_attributes['snowflake_warehouse'] }}
   

5. Pour tester les paramètres de connexion individuels, vous pouvez utiliser la commande sudo en tant qu'utilisateur auquel vous avez attribué une valeur de nom d'entrepôt.

Gérer la fonctionnalité de suspension automatique de Snowflake

Les entrepôts Snowflake disposent d'une fonctionnalité de suspension automatique activée par défaut. Après une période spécifiée, l'entrepôt sera automatiquement suspendu. Si l'entrepôt est suspendu, toutes les requêtes génèrent une erreur. Cette erreur n'est pas visible sur les tableaux de bord (normalement, ces erreurs n'entraînent aucune donnée affichée), mais elle est visible pour tout utilisateur qui interroge la page Explorer.

Deux méthodes sont généralement utilisées pour gérer ce problème :

1. Snowflake dispose d'une fonctionnalité de reprise automatique qui reprend l'entrepôt lorsqu'il est interrogé. Toutefois, la reprise de l'entrepôt peut prendre jusqu'à cinq minutes, ce qui entraîne l'arrêt des requêtes pendant cinq minutes avant d'être renvoyées. La reprise automatique ne peut pas être configurée dans Looker. Activez cette fonctionnalité dans l'onglet Entrepôts de l'interface utilisateur Snowflake :

   

2. Si les tables dérivées persistantes (PDT) ont été activées, le paramètre par défaut de Looker consiste à vérifier la régénération des tables dérivées toutes les cinq minutes. Cette vérification permet de maintenir les entrepôts Snowflake actifs. Toutefois, vous pouvez demander à Snowflake de suspendre les entrepôts en dehors des heures de travail afin de réduire les coûts. Pour ce faire, modifiez la planification de la régénération des PDT, comme décrit dans la documentation sur la planification de la maintenance.

Compatibilité avec les PDT

Les PDT ne sont pas compatibles avec les connexions Snowflake qui utilisent OAuth.

Pour la compatibilité avec les tables dérivées persistantes, créez un compte utilisateur Snowflake pour les PDT qui dispose d'un accès en écriture à votre base de données et au schéma temporaire que Looker utilisera pour créer des PDT. Sur la page Paramètres de connexion de Looker, dans l'onglet Paramètres facultatifs de la section Paramètres des tables dérivées persistantes (PDT), activez le bouton Activer les PDT. Ensuite, dans le champ Base de données temporaire, saisissez le nom du schéma temporaire que Looker utilisera pour créer des PDT.

Pour les connexions Snowflake, Looker définit la valeur du paramètre AUTOCOMMIT de Snowflake sur TRUE, qui est la valeur par défaut de Snowflake. AUTOCOMMIT est nécessaire pour les commandes SQL exécutées par Looker afin de gérer son système d'inscription des tables PDT.

Configurer OAuth pour les connexions Snowflake

Looker est compatible avec OAuth pour les connexions Snowflake. Ainsi, chaque utilisateur Looker s'authentifie auprès de la base de données avec son propre compte utilisateur OAuth.

OAuth permet aux administrateurs de base de données d'effectuer les tâches suivantes :

• faire un audit des utilisateurs Looker qui exécutent des requêtes par rapport à la base de données ;
• mettre en place des contrôles d'accès basés sur les rôles en utilisant les autorisations au niveau de la base de données ;
• utiliser des jetons OAuth pour tous les processus et actions qui accèdent à la base de données, au lieu d'intégrer des identifiants et des mots de passe de base de données à plusieurs endroits ;
• révoquer l'autorisation d'un utilisateur donné directement via la base de données.

Avec les connexions Snowflake qui utilisent OAuth, les utilisateurs doivent se reconnecter régulièrement lorsque leurs jetons OAuth expirent. L'âge maximal des jetons OAuth Snowflake est défini par Snowflake lui-même.

Notez les points suivants pour les connexions OAuth au niveau de la base de données :

• Les tables dérivées persistantes (PDT) ne sont pas compatibles avec les connexions Snowflake qui utilisent OAuth.
• Si un utilisateur laisse expirer son jeton OAuth, toutes les planifications ou alertes Looker qu'il possède seront affectées. Pour éviter cela, Looker envoie un e-mail de notification au propriétaire de chaque planification et de chaque alerte 14 jours, 7 jours et 1 jour avant l'expiration du jeton. L'utilisateur peut accéder à sa page utilisateur Looker pour autoriser à nouveau Looker à accéder à la base de données et éviter toute interruption de ses planifications et alertes. Pour en savoir plus, consultez la page de documentation Personnaliser les paramètres du compte utilisateur.
• Étant donné que les connexions à la base de données qui utilisent OAuth fonctionnent "par utilisateur", la mise en cache des politiques fonctionne de la même manière, et pas seulement par requête. Ainsi, Looker utilise les résultats mis en cache uniquement si le même utilisateur a exécuté la même requête au cours de la période de mise en cache. Pour en savoir plus sur la mise en cache, consultez la page de documentation Mise en cache des requêtes.
• Lorsque vous utilisez OAuth, vous ne pouvez pas passer à d'autres rôles dans le compte utilisateur Snowflake. Comme décrit dans la documentation Snowflake, Snowflake utilise le rôle par défaut du compte utilisateur Snowflake, sauf si le rôle par défaut est ACCOUNTADMIN ou SECURITYADMIN. Étant donné que ces rôles sont bloqués pour OAuth, Snowflake utilise plutôt le rôle PUBLIC. Pour en savoir plus, consultez la documentation Snowflake.
• Lorsqu'un administrateur Looker utilise la commande Sudo en tant qu'utilisateur, il utilise le jeton d'accès OAuth de cet utilisateur. Si le jeton d'accès de l'utilisateur a expiré, l'administrateur ne peut pas créer de nouveau jeton pour le compte de l'utilisateur faisant l'objet de la commande Sudo. Pour en savoir plus sur l'utilisation de la commande sudo, consultez la page de documentation Utilisateurs.

Configurer une base de données Snowflake pour OAuth avec Looker

Pour créer une connexion Snowflake à Looker à l'aide d'OAuth, vous devez configurer l'intégration OAuth dans Snowflake. Cela nécessite un compte utilisateur Snowflake avec l'autorisation ACCOUNTADMIN.

1. Exécutez la commande suivante dans Snowflake, où <looker_hostname> est le nom d'hôte de votre instance Looker :

   CREATE SECURITY INTEGRATION LOOKER
     TYPE = OAUTH
     ENABLED = TRUE
     OAUTH_CLIENT = LOOKER
     OAUTH_REDIRECT_URI = 'https://<looker_hostname>/external_oauth/redirect';
   

2. Obtenez l'ID client et le code secret OAuth en exécutant la commande suivante :

   SELECT SYSTEM$SHOW_OAUTH_CLIENT_SECRETS('LOOKER');
   

   La réponse contiendra un OAUTH_CLIENT_ID et un OAUTH_CLIENT_SECRET dont vous aurez besoin plus tard dans cette procédure.

3. Dans Looker, créez une connexion à votre entrepôt Snowflake, comme décrit dans la section Créer la connexion Looker à votre base de données de cette page. Lorsque vous créez la connexion, sélectionnez l'option OAuth dans le champ Authentification. Lorsque vous sélectionnez l'option OAuth, Looker affiche les champs ID client OAuth et Code secret du client OAuth.

4. Collez les valeurs OAUTH_CLIENT_ID et OAUTH_CLIENT_SECRET que vous avez obtenues de votre base de données plus tôt dans cette procédure.

5. Poursuivez le reste de la procédure pour Connecter Looker à votre base de données.

Tester la connexion OAuth

Une fois que vous avez configuré la connexion Looker à votre base de données, vous pouvez tester la connexion elle-même en procédant de l'une des manières suivantes :

• Sélectionnez le bouton Tester en bas de la page Paramètres de connexion, comme décrit sur la page de documentation Connecter Looker à votre base de données.
• Sélectionnez le bouton Tester dans la liste de la connexion sur la page d'administration Connexions, comme décrit sur la page de documentation Connexions.

Vous pouvez également tester la connexion et la déployer sur un modèle en procédant comme suit :

1. Dans Looker, passez en mode Développement.
2. Accédez aux fichiers de projet d'un projet Looker qui utilise votre connexion Snowflake.
3. Ouvrez un fichier de modèle et remplacez la valeur connection du modèle par le nom de la nouvelle connexion Snowflake, puis enregistrez le fichier de modèle.
4. Ouvrez l'un des tableaux de bord ou l'une des explorations du modèle et exécutez une requête. Lorsque vous essayez d'exécuter une requête, Looker vous invite à vous connecter à Snowflake.
5. Suivez les invites de connexion pour Snowflake et saisissez vos identifiants Snowflake.

Une fois que vous vous êtes connecté à Snowflake, Looker vous renvoie à votre requête. Si votre requête s'exécute correctement, vous pouvez valider la nouvelle valeur de connexion et déployer vos modifications en production.

Se connecter à Snowflake pour exécuter des requêtes

Une fois que la connexion Snowflake est configurée pour OAuth, les utilisateurs sont invités à se connecter à Snowflake avant d'exécuter des requêtes. Cela inclut les requêtes provenant d'explorations, de tableaux de bord, de présentations et de SQL Runner.

Les utilisateurs peuvent également se connecter à Snowflake à partir de la section Identifiants de connexion OAuth de leur page Compte.

Pour vous connecter à votre compte Snowflake à l'aide de Looker, procédez comme suit :

1. Cliquez sur le menu utilisateur Looker.
2. Sélectionnez Compte.
3. Sur la page Compte, accédez à la section Identifiants de connexion OAuth, puis sélectionnez le bouton Se connecter pour la base de données Snowflake appropriée.

La sélection de Se connecter affiche une boîte de dialogue de connexion Snowflake. Saisissez vos identifiants Snowflake et sélectionnez Se connecter, puis sélectionnez Autoriser pour accorder à Looker l’accès à votre compte Snowflake.

Une fois que vous vous êtes connecté à Snowflake via Looker, vous pouvez vous déconnecter et autoriser à nouveau vos identifiants à tout moment via la page de votre Compte, comme décrit sur la page de documentation Personnaliser votre compte utilisateur.

Compatibilité avec les fonctionnalités

Pour que Looker prenne en charge certaines fonctionnalités, votre dialecte de base de données doit également les prendre en charge.

Snowflake est compatible avec les fonctionnalités suivantes à partir de Looker 25.20 :

Fonctionnalité	Compatibilité
Looker (Google Cloud Core)
Agrégations symétriques
Tables dérivées
Tables dérivées SQL persistantes
Tables dérivées natives persistantes
Vues stables
Arrêt des requêtes
Tableaux croisés dynamiques basés sur SQL
Fuseaux horaires
SSL
Sous-totaux
Paramètres JDBC supplémentaires
Sensibilité à la casse
Type de lieu
Type de liste
Centile
Centile distinct
Afficher les processus dans l'exécuteur SQL
Décrire la table dans l'exécuteur SQL
Afficher les index dans l'exécuteur SQL
Sélectionner 10 dans l'exécuteur SQL
Compter dans l'exécuteur SQL
Expliquer SQL
Identifiants OAuth 2.0
Commentaires contextuels
Regroupement de connexions
Résumés HLL
Reconnaissance d'agrégats
Augmentation de tables PDT
Millisecondes
Microsecondes
Vues matérialisées
Mesures de variation par période
Nombre approximatif d'éléments distincts

Étapes suivantes

Après avoir connecté votre base de données à Looker, configurez les options de connexion pour vos utilisateurs.