Best Practices für die Sicherheit von Cortex Code CLI¶

Anmeldeinformationen¶

[Empfohlen] Verwenden Sie nach Möglichkeit eine browserbasierte Authentifizierung.

Die Standard-Authentifizierungsmethode für Cortex Code CLI ist eine browserbasierte Authentifizierung. Verwenden Sie authenticator = "externalbrowser" in Ihrer connections.toml-Datei, um diese Option manuell einzustellen.

Verwenden Sie programmgesteuerte Zugriffstoken (PATs), wenn Sie versuchen, den Zugriff auf eine bestimmte Rolle zu beschränken.

Generieren Sie dedizierte PATs in Snowsight (siehe Verwenden von programmatische Zugriffstoken für die Authentifizierung). Stellen Sie den Ablauf auf ≤ 90 Tage ein, verwenden Sie beschreibende Namen, und rotieren Sie regelmäßig.

Schützen von Konfigurationsdateien

Verwenden Sie den Modus 600 für Konfigurationsdateien und 700 für Verzeichnisse, um den Zugriff auf nur Ihren Benutzenden zu beschränken.

CopyExpand

chmod 600 ~/.snowflake/connections.toml
chmod 700 ~/.snowflake/cortex

Show lessSee more

Scroll to top

Niemals Anmeldeinformationen committen

Fügen Sie sensible Konfigurationsdateien zu .gitignore hinzu.

CopyExpand

echo "~/.snowflake/connections.toml" >> ~/.gitignore

Show lessSee more

Scroll to top

Verwenden Sie Umgebungsvariablen, um Anmeldeinformationen und Token zu speichern, und binden Sie diese mit der ${VARIABLE_NAME}-Syntax in Ihre Konfigurationsdateien ein.

Rollen und Zugriff¶

Verwenden Sie für die jeweilige Umgebung geeignete Rollen.

Verwenden Sie z. B. eine Nur-Lese-Rolle in der Produktion und eine umfangreichere Rolle in der Entwicklung.

CopyExpand

[dev]
role = "DEVELOPER"

[prod_readonly]
role = "ANALYST"

Show lessSee more

Scroll to top

Verwenden Sie niemals ACCOUNTADMIN für Routineoperationen. Gewähren Sie die geringsten Berechtigungen.

Konversationsverlauf¶

Conversations are stored in ~/.snowflake/cortex/conversations/. Use cortex --private when starting Cortex Code to disable session saving for sensitive work. Alternatively, use the /clear command to clear the current session before exiting Cortex Code CLI.

Verwenden Sie Modus 700, um den Zugriff auf den Konversationsverlauf auf nur Ihren Benutzenden zu beschränken.

chmod 700 ~/.snowflake/cortex/conversations

MCP-Sicherheit¶

Installieren Sie nur vertrauenswürdige MCP-Server.

Überprüfen Sie die Quelle und Integrität der MCP-Server, bevor Sie sie hinzufügen. Verwenden Sie die folgenden Befehle, um eine Liste der Server zu erhalten und alle nicht vertrauenswürdigen Server zu entfernen:

CopyExpand

cortex mcp list
cortex mcp remove <server>

Show lessSee more

Scroll to top

Führen Sie niemals eine Hartcodierung von MCP-Anmeldeinformationen aus.

Verwenden Sie Umgebungsvariablen. Legen Sie zunächst Folgendes in Ihrer Shell fest:

CopyExpand

export GITHUB_TOKEN="your_token"

Show lessSee more

Scroll to top

Dann referenzieren Sie sie in Ihrer MCP-Konfiguration:

CopyExpand

{
   "mcpServers": {
      "github": {
         "env": { "GITHUB_TOKEN": "${GITHUB_TOKEN}" }
      }
   }
}

Show lessSee more

Scroll to top

Produktionssicherheit¶

Planungsmodus aktivieren

Verwenden Sie den /plan-Befehl, um beabsichtigte Aktionen vor der Ausführung zu überprüfen.

CopyExpand

/plan
Drop and recreate the ANALYTICS schema

Show lessSee more

Scroll to top

Wenn Ihr persönliches Zugriffstoken kompromittiert wird¶

Widerrufen Sie das PAT sofort in Snowsight! Generieren Sie dann ein neues Token, und verwenden Sie es stattdessen. Denken Sie daran, dass Sie das Token nicht in Konfigurationsdateien verwenden. Verwenden Sie stattdessen Umgebungsvariablen.

Review the query history to identify any suspicious activity using the QUERY_HISTORY view in the SNOWFLAKE.ACCOUNT_USAGE schema:

SELECT *
  FROM SNOWFLAKE.ACCOUNT_USAGE.QUERY_HISTORY
  WHERE USER_NAME = '<username>'
  ORDER BY START_TIME DESC;

Verwaltete Einstellungen (Enterprise-Richtlinie)¶

In einigen Organisationen stellen Administratoren verwaltete Einstellungen bereit, die Richtlinien für Cortex Code-CLI durchsetzen. Verwaltete Einstellungen können die Konfiguration auf Benutzerebene einschränken oder überschreiben (einschließlich Berechtigungsabfragen und Umgehungsverhalten).

Weitere Informationen dazu finden Sie unter Verwaltete Einstellungen (Organisationsrichtlinie).

Berechtigungen¶

Cortex Code hat drei Betriebsmodi:

Drücken Sie Shift-Tab in Cortex Code CLI, um zwischen diesen Modi zu wechseln.

{
   "hooks": {
      "PreToolUse": [
         {
         "matcher": "Bash",
         "hooks": [
            {
               "type": "command",
               "command": "bash .claude/hooks/auto-approve.sh"
            }
         ]
         }
      ]
   }
}

{
   "hookSpecificOutput": {
      "hookEventName": "PreToolUse",
      "permissionDecision": "allow",
      "permissionDecisionReason": "Approved by policy"
   }
}

{
   "/path/to/project": {
      "Bash": {
         "npm test": "allow",
         "make build": "allow"
      },
      "Write": {
         "*": "allow"
      }
   }
}

Sicherheitscheckliste¶

• Verwenden Sie PATs mit einem Ablauf von höchstens 90 Tagen

• Setzen Sie die Dateiberechtigungen auf 600/700

• Übertragen Sie niemals Anmeldeinformationen an Git

• Verwenden Sie Rollen mit den geringsten Berechtigungen

• Verwenden Sie niemals ACCOUNTADMIN für Routinearbeiten

• Aktivieren Sie den Planungsmodus für die Produktion und reservieren Sie den Umgehungsmodus für vertrauenswürdige Umgebungen

• Installieren Sie nur vertrauenswürdige MCP-Server.

• Speichern Sie Anmeldeinformationen in Umgebungsvariablen

• Verwenden Sie Hooks, um Richtlinien durch die Automatisierung von kundenspezifischen Sicherheitsprüfungen durchzusetzen

• Überprüfen Sie die Berechtigungen regelmäßig