Notas da versão do ODBC 2.x do Amazon Athena

• Validação do certificado SSL habilitada por padrão: o driver agora impõe a verificação do certificado SSL ao se conectar aos provedores de identidade. Se você usar um provedor de identidade local sem um certificado SSL válido, deverá definir explicitamente o SSL_Insecure=1 em sua cadeia de conexão. Para obter mais informações, consulte SSL inseguro (IdP).

• TLS 1.2 mínimo obrigatório: o driver não aceita mais conexões TLS 1.0 ou TLS 1.1 para provedores de identidade. Todas as conexões IdP agora exigem TLS 1.2 ou posterior.

• Fluxo de autenticação BrowserSSOOIDC atualizado: o plug-in BrowserSSOOIDC agora usa Código de Autorização com PKCE em vez de Autorização de Código de Dispositivo. Um novo parâmetro opcional listen_port (padrão 7890) está disponível para o servidor de retorno de chamada OAuth 2.0. Talvez seja necessário incluir essa porta na lista de permissões em sua rede. O escopo padrão foi alterado para sso:account:access. Para obter mais informações, consulte Browser SSO OIDC.

• BrowserSSOOIDC: ocorreu a migração do fluxo do Código do Dispositivo para o Código de Autorização com o PKCE para melhorar a segurança.

• BrowserAzureAD: PKCE (chave de prova para troca de código) foi adicionada ao fluxo de autorização do OAuth 2.0 para evitar ataques de interceptação de código de autorização.

• BrowserSAML: a proteção RelayState CSRF foi adicionada para evitar ataques de injeção de token SAML.

• Cache de credenciais: a partir da v2.1.0.0, as credenciais em cache são armazenadas como JSON de texto simples no diretório user-profile/.athena-odbc/ com permissões de arquivo restritas ao usuário proprietário, de acordo com a forma como a AWS CLI protege as credenciais armazenadas localmente.

• Perfil do IAM: suporte incluído para EcsContainer e para fontes de credenciais de Environment, além do Ec2InstanceMetadata existentes.

• Analisador de cadeia de conexão: foi implementado tratamento de escape }} adequado de ODBC.

• Consultas de catálogo: escape do identificador SQL adicionado para nomes de esquemas e padrões de tabela.

• Correspondência de padrões ODBC: a correspondência baseada em regex foi substituída pelo combinador curinga ODBC LIKE direto.

• Análise de XML: o limite de profundidade de recursão (100 níveis) e limite de tamanho (1 MB) para tokens SAML foram adicionados.

• Autenticação ADFS: o limite de tamanho de resposta (200 KB) para respostas do servidor ADFS foi adicionado.

• A neutralização imprópria de elementos especiais em componentes de autenticação foi corrigida, que poderia permitir a execução de código ou o redirecionamento do fluxo de autenticação por meio de parâmetros de conexão criados. Afeta os plug-ins BrowserSSOOIDC, BrowserAzureAD e BrowserSAML.

• A neutralização imprópria de elementos especiais em componentes de processamento de consultas foi corrigida, o que podia permitir negação de serviço ou injeção de SQL por meio de metadados de tabela criados.

• A validação incorreta do certificado ao se conectar aos provedores de identidade foi corrigida.

• A falta de controles de segurança de autenticação em fluxos de autenticação baseados em navegador foi corrigida, incluindo PKCE para OAuth, proteção CSRF para SAML, cache seguro de credenciais e vinculação exclusiva de portas de retorno de chamada.

• O consumo descontrolado de recursos em componentes de análise foi controlado, o que podia permitir a negação de serviço por meio de padrões de entrada criados, respostas ilimitadas do servidor ou cargas úteis XML profundamente aninhadas.

• Um problema em que SQLColumns e SQLTables não retornavam resultados ao usar UseSingleCatalogAndSchema=1 com catálogos federados entre contas no modo de importação do Power BI foi corrigido.

• Plug-in de autenticação de propagação de identidade confiável via navegador: foi adicionado um novo plug-in de autenticação para ser compatível com a autenticação OpenID Connect (OIDC) baseada em navegador com propagação de identidade confiável. Esse plug-in fornece uma experiência de autenticação otimizada ao lidar com o fluxo completo do OAuth 2.0 por meio de seu navegador padrão, buscando automaticamente o JSON Web Token (JWT) e integrando-se à propagação de identidade confiável. O plug-in foi projetado especificamente para ambientes de área de trabalho de usuário único. Para obter informações sobre como habilitar e usar a propagação de identidade confiável, consulte O que é propagação de identidade confiável?.

• Framework de registro em log aprimorado: o mecanismo de registro em log do driver foi melhorado significativamente ao seguinte:

  • Inclusão de níveis de logs mais granulares além das opções básicas 0/1

  • Remoção das instruções redundantes de logs

  • Otimização do framework de registro em log para incluir informações diagnósticas relevantes

  • Resolução de problemas de performance que estavam causando atrasos operacionais

  • Redução da geração excessiva de arquivos de logs quando o registro em log está habilitado

• Otimização do buscador de resultados: correção de um problema em que as limitações dos parâmetros de tamanho de busca eram aplicadas incorretamente aos buscadores de resultados de streaming e sem streaming. Agora, a limitação é aplicada corretamente somente aos buscadores de resultados sem streaming.

O driver ODBC v2.0.5.1 do Amazon Athena contém as seguintes correções em plug-ins de autenticação baseados em navegador.

• Validação implementada para verificação de URL e esquema de login.

• Mecanismo aprimorado de inicialização de navegador no Linux para utilizar as APIs do sistema, resultando em maior estabilidade e segurança.

• Plugin de autenticação do provedor de identidade confiável (TIP) JWT: foi adicionado um novo plugin de autenticação para oferecer suporte à integração do provedor de identidade confiável (TIP) JWT com drivers ODBC. Esse tipo de autenticação permite usar um JSON Web Token (JWT) obtido de um provedor de identidades externo como parâmetro de conexão para autenticação no Athena. Com o TIP, o contexto de identidade é adicionado a um perfil do IAM para identificar o usuário que está solicitando acesso aos recursos da AWS. Para obter informações sobre como habilitar e usar o TIP, consulte O que é propagação de identidade confiável?.

• Suporte a endpoints SSO Admin personalizados: foi adicionado suporte a endpoints SSO Admin personalizados no driver JDBC. Esse aprimoramento permite a você especificar seus próprios endpoints para serviços de SSO ao executar o JDBC por trás de VPCs.

• Atualização da versão do AWS SDK: atualizamos a versão do AWS SDK usada no driver para 2.32.16 e atualizamos as dependências do projeto para a versão 2.0.5.0.

• Buscador de resultados: agora, o driver seleciona automaticamente o método para fazer o download dos resultados de consultas. Isso dispensa a necessidade de configurar manualmente o buscador na maioria das situações. Para obter mais informações, consulte Buscador de resultados.

• Atualização da biblioteca curl para a versão 8.12.1.

• Configuração de proxy corrigida para o perfil do IAM ao se conectar ao STS. A correção permite que o perfil do IAM seja usado para uma autenticação bem-sucedida.

• Leia todas as opções de configuração adicionais para o perfil do IAM com plug-ins de autenticação. Isso inclui UseProxyForIdP, SSL_Insecure, LakeformationEnabled e LoginToRP para resolver configurações incorretas dos plug-ins afetados.

• Função round corrigida, permitindo que ela receba um segundo parâmetro opcional. Ela processa com sucesso consultas contendo a sintaxe de escape.

• Tamanho de coluna corrigido para os tipos de dados TIME WITH TIME ZONE e TIMESTAMP WITH TIME ZONE. Valores com tipo de dados timestamp e timezone não serão truncados.

• Adição de compatibilidade com MFA para o plug-in de autenticação Okta nas plataformas Linux e Mac.

• Agora, a biblioteca athena-odbc.dll e o instalador AmazonAthenaODBC-2.x.x.x.msi para Windows estão assinados.

• Atualização do arquivo cacert.pem de certificado CA que é instalado com o driver.

• Melhora no tempo necessário para listar tabelas nos catálogos Lambda. Para catálogos do tipo LAMBDA, agora o driver ODBC pode enviar uma consulta SHOW TABLES para obter uma lista das tabelas disponíveis. Para obter mais informações, consulte Usar consulta para listar tabelas.

• Introdução do parâmetro de conexão UseWCharForStringTypes para relatar tipos de dados de string usando SQL_WCHAR e SQL_WVARCHAR. Para obter mais informações, consulte Usar WCHAR para tipos de strings.

• Correção de um aviso sobre corrupção do registro que ocorria quando a ferramenta Get-OdbcDsn do PowerShell era usada.

• Atualização da lógica de análise para processar comentários no início das strings de consulta.

• Agora, os tipos de dados de data e de carimbo de data/hora permitem zero no campo do ano.

• Adição de dois parâmetros de conexão, StringColumnLength e ComplexTypeColumnLength, que você pode usar para alterar o comprimento padrão da coluna para tipos de dados de string e complexos. Para obter mais informações, consulte Comprimento da coluna de string e Comprimento de coluna de tipo complexo.

• Adição de compatibilidade com os sistemas operacionais Linux e macOS (Intel e ARM). Para obter mais informações, consulte Linux e macOS.

• Atualização de AWS-SDK-CPP para a versão de tag 1.11.245.

• Atualização da biblioteca curl para a versão 8.6.0.

• Solução de um problema que causava o relato de valores incorretos nos metadados do conjunto de resultados para tipos de dados semelhantes a strings na coluna de precisão.

• Aprimoramento da segurança de thread do driver ODBC para todas as interfaces.

• Quando o registro em log estiver habilitado, os valores de data e de hora passarão a ser registrados com precisão de milissegundos.

• Durante a autenticação com o plug-in Browser SSO OIDC, o terminal será aberto para exibir o código do dispositivo ao usuário.

• Resolução de um problema de liberação de memória que ocorria ao analisar resultados da API de transmissão.

• Solicitações para as interfaces SQLTablePrivileges(), SQLSpecialColumns(), SQLProcedureColumns() e SQLProcedures() retornarão conjuntos de resultados vazios.

• O atributo de cache de arquivos foi adicionado aos plug-ins de autenticação baseados no navegador Azure AD, no Browser SSO OIDC e no Okta.

  As ferramentas de BI, como o Power BI e plug-ins baseados em navegador, usam várias janelas de navegador. O novo parâmetro de conexão de cache de arquivos permite que credenciais temporárias sejam armazenadas em cache e reutilizadas entre vários processos abertos por aplicações de BI.

• Agora, as aplicações podem consultar informações sobre o conjunto de resultados depois que uma instrução é preparada.

• Os tempos limite padrão de conexão e solicitação foram aumentados para uso com redes de clientes mais lentas. Para obter mais informações, consulte Tempo limite da conexão e Tempo limite da solicitação.

• As substituições de endpoint foram adicionadas para SSO e SSO OIDC. Para obter mais informações, consulte Substituições de endpoints.

• Foi adicionado um parâmetro de conexão para passar um argumento de URI para uma solicitação de autenticação ao Ping. Você pode usar esse parâmetro para ignorar a limitação de perfil único do Lake Formation. Para obter mais informações, consulte Parâmetro de URI do Ping.

• Corrigido um problema de estouro de números inteiros que ocorria ao usar o mecanismo de vinculação baseado em linha.

• O tempo limite foi removido da lista de parâmetros de conexão exigidos para o plug-in de autenticação do Browser SSO OIDC.

• Foram adicionadas as interfaces que faltavam para SQLStatistics(), SQLPrimaryKeys(), SQLForeignKeys() e SQLColumnPrivileges(), e a capacidade de retornar conjuntos de resultados vazios mediante solicitação.

• Foi adicionado o registro de URI ao plug-in de autenticação Okta.

• Foi adicionado o parâmetro de função preferencial ao plug-in externo do provedor de credenciais.

• Adicionando tratamento para o prefixo do perfil no nome do perfil de arquivo de configuração AWS.

• Corrigido um problema Região da AWS de uso que ocorreu ao trabalhar com Lake Formation e clientes AWS STS.

• Restaurou as chaves de partição ausentes na lista de colunas da tabela.

• Adicionou o tipo de autenticação BrowserSSOOIDC que faltava para o perfil AWS.