Netzwerkrichtlinien¶

Übersicht¶

Standardmäßig erlaubt Snowflake Benutzern, sich von jeder Computer- oder Geräte-IP-Adresse aus mit dem Service zu verbinden. Ein Sicherheitsadministrator (oder höher) kann eine Netzwerkrichtlinie erstellen, um den Zugriff auf eine einzelne IP-Adresse oder eine Liste von Adressen zu erlauben oder zu verweigern. Derzeit unterstützen Netzwerkrichtlinien nur IPv4-Adressen (Internet Protocol Version 4).

Ein Administrator mit den erforderlichen Berechtigungen kann eine beliebige Anzahl von Netzwerkrichtlinien erstellen. Eine Netzwerkrichtlinie wird erst aktiviert, wenn sie auf der Ebene des Kontos oder des einzelnen Benutzers aktiviert wird. Um eine Netzwerkrichtlinie zu aktivieren, ändern Sie die Konto- oder Benutzereigenschaften und wenden die Netzwerkrichtlinie auf dem Objekt an. Auf das Konto oder auf einen bestimmten Benutzer kann jeweils immer nur eine einzige Netzwerkrichtlinie angewendet werden.

Eine Netzwerkrichtlinie kann auch auf einige Typen von Sicherheitsintegrationen angewendet werden.

Erstellen von Netzwerkrichtlinien¶

Sie können eine Netzwerkrichtlinie über Snowsight, die klassische Weboberfläche oder mit SQL erstellen:

Snowsight

1. Klicken Sie auf Admin » Security » Network Policies.

2. Klicken Sie in der rechten oberen Ecke der Seite auf die Schaltfläche + Network Policy. Das Dialogfenster New network policy wird geöffnet.

3. Geben Sie die folgenden Eigenschaften an:

   Eigenschaft	Beschreibung
   Policy Name	Bezeichner für die Netzwerkrichtlinie. Dieser muss für Ihr Konto eindeutig sein. Der Bezeichner muss mit einem alphabetischen Zeichen beginnen und darf keine Leer- oder Sonderzeichen enthalten, es sei denn, die gesamte Bezeichnerzeichenfolge wird in doppelte Anführungszeichen gesetzt (z. B. "My object"). Bei Bezeichnern, die in doppelte Anführungszeichen eingeschlossen sind, ist auch die Groß-/Kleinschreibung zu beachten. Weitere Details dazu finden Sie unter Anforderungen an Bezeichner.
   Allowed IP Addresses	Durch Kommas getrennte Liste von IPv4-Adressen, denen der Zugriff auf Ihr Snowflake-Konto gestattet ist. Diese Liste wird als Zulassungsliste bezeichnet. Snowflake blockiert automatisch alle IP-Adressen, die nicht in der Zulassungsliste enthalten sind. Jede IP-Adresse kann mithilfe der CIDR-Notation (Classless Inter-Domain Routing) einen Bereich von Adressen abdecken. Weitere Informationen dazu finden Sie unter CIDR-Notation (unter diesem Thema). Beispiele finden Sie unter Beispiele für Listen von zulässigen/blockierten Adressen (unter diesem Thema).
   Blocked IP Addresses	Durch Kommas getrennte Liste von IPv4-Adressen, denen der Zugriff auf Ihr Snowflake-Konto verweigert wird. Diese Liste wird als Sperrliste bezeichnet. Legen Sie diesen Parameter nur fest, wenn Sie den Zugriff auf einen Bereich von IP-Adressen in Allowed IP Addresses erlauben, aber den Zugriff auf eine oder mehrere IP-Adressen innerhalb des Bereichs verweigern möchten. Jede IP-Adresse kann mithilfe der CIDR-Notation (Classless Inter-Domain Routing) einen Bereich von Adressen abdecken. Weitere Informationen dazu finden Sie unter CIDR-Notation (unter diesem Thema). Beispiele finden Sie unter Beispiele für Listen von zulässigen/blockierten Adressen (unter diesem Thema).
   Kommentar	Gibt einen Kommentar für die Netzwerkrichtlinie an.

4. Klicken Sie auf die Schaltfläche Create network policy.

Classic Console

1. Klicken Sie auf Account » Policies. Die Seite Policies wird angezeigt.

2. Klicken Sie auf die Schaltfläche Create. Das Dialogfenster Create Network Policy wird geöffnet.

3. Geben Sie im Feld Name einen Namen für die Netzwerkrichtlinie ein.

4. Geben Sie im Feld Allowed IP Addresses eine oder mehrere IPv4-Adressen getrennt durch Komma ein, die eine Zugriffsberechtigung auf dieses Snowflake-Konto haben.

   Bemerkung

   Um alle IP-Adressen, außer einen Satz spezifizierter Adressen zu blockieren, müssen Sie nur eine Liste zulässiger IP-Adressen definieren. Snowflake blockiert automatisch alle IP-Adressen, die nicht in der Zulassungsliste enthalten sind.

5. Geben Sie im Feld Blocked IP Addresses eine oder mehrere durch Kommas getrennte IPv4-Adressen ein, die keine Zugriffsberechtigung auf dieses Snowflake-Konto haben. Beachten Sie, dass dieses Feld nicht erforderlich ist und in erster Linie dazu verwendet wird, bestimmte Adressen eines Adressbereichs in der Liste zulässiger Adressen zu sperren.

   Vorsicht

   • Wenn eine Netzwerkrichtlinie Werte sowohl in der Liste zulässiger als auch blockierter IP-Adressen enthält, wendet Snowflake zuerst die Liste der blockierten IP-Adressen an.

   • Fügen Sie 0.0.0.0/0 nicht zur Liste blockierter IP-Adressen hinzu. 0.0.0.0/0 wird interpretiert als „alle IPv4-Adressen auf dem lokalen Computer“. Da Snowflake diese Liste zuerst auflöst, würde dies Ihren eigenen Zugriff blockieren. Beachten Sie auch, dass es nicht notwendig ist, diese IP-Adresse in die Liste zulässiger IP-Adressen aufzunehmen.

6. Geben Sie bei Bedarf weitere Informationen zu der Netzwerkrichtlinie ein, und klicken Sie auf Finish.

SQL

Führen Sie eine CREATE NETWORK POLICY-Anweisung aus.

Anzeigen von Netzwerkrichtlinien¶

Informationen zu den Netzwerkrichtlinien können über Snowsight, die klassische Weboberfläche oder mit SQL angezeigt werden:

Snowsight

Select Admin » Security » Network Policies » <Richtlinienname>.

Classic Console

Klicken Sie auf Account » Policies » <Richtlinienname>.

SQL

Führen Sie eine der folgenden Anweisungen aus:

• SHOW NETWORK POLICIES

• DESCRIBE NETWORK POLICY

Aktivieren einer Netzwerkrichtlinie für Ihr Konto¶

Um eine Netzwerkrichtlinie für alle Benutzer in Ihrem Snowflake-Konto durchzusetzen, aktivieren Sie die Netzwerkrichtlinie für Ihr Konto.

Sobald die Richtlinie mit Ihrem Konto verknüpft ist, beschränkt Snowflake den Zugriff auf Ihr Konto auf Basis der Liste zulässiger IP-Adressen und der Liste blockierter IP-Adressen. Jedem Benutzer, der versucht, sich von einer durch die Regeln eingeschränkten IP-Adresse aus anzumelden, wird der Zugriff verweigert. Wenn Ihrem Konto eine Netzwerkrichtlinie zugeordnet ist, werden außerdem alle eingeschränkten Benutzer, die bereits bei Snowflake angemeldet sind, daran gehindert, weitere Abfragen auszuführen.

Ein Sicherheitsadministrator (oder höher) kann mehrere Netzwerkrichtlinien erstellen, jedoch kann jeweils nur eine Netzwerkrichtlinie einem Konto zugeordnet werden. Wenn Sie Ihrem Konto eine Netzwerkrichtlinie zuordnen, wird die aktuell zugeordnete Netzwerkrichtlinie (falls vorhanden) automatisch entfernt.

Beachten Sie, dass Ihre aktuelle IP-Adresse in der Liste der erlaubten IP-Adressen in der Richtlinie enthalten sein muss. Andernfalls gibt Snowflake bei Aktivierung der Richtlinie einen Fehler zurück. Außerdem darf Ihre aktuelle IP-Adresse nicht in der Liste der blockierten IP-Adressen enthalten sein.

Sie können Ihrem Konto eine Netzwerkrichtlinie zuordnen, indem Sie entweder Snowsight, die klassische Weboberfläche oder SQLverwenden:

Snowsight

1. Klicken Sie auf Admin » Security » Network Policies.

2. Klicken Sie rechts neben dem Namen der Richtlinie, die aktiviert werden soll, auf die Schaltfläche Activate Policy.

Classic Console

1. Klicken Sie auf Account » Policies.

2. Klicken Sie auf eine Richtlinie, um sie auszuwählen, und füllen Sie den Bereich auf der rechten Seite aus.

3. Klicken Sie im rechten Fensterbereich auf die Schaltfläche Activate.

SQL

Führen Sie eine ALTER ACCOUNT-Anweisung aus, die die Netzwerkrichtlinie mithilfe des Kontoparameters NETWORK_POLICY festlegt.

Aktivieren von Netzwerkrichtlinien für einzelne Benutzer¶

Um eine Netzwerkrichtlinie für einen bestimmten Benutzer in Ihrem Snowflake-Konto durchzusetzen, aktivieren Sie die Netzwerkrichtlinie für den Benutzer. Für jeden Benutzer kann jeweils nur eine einzige Netzwerkrichtlinie aktiviert werden. Für eine präzisere Benutzersteuerung können jedoch verschiedene Netzwerkrichtlinien für verschiedene Benutzer aktiviert werden. Wenn Sie einem Benutzer eine Netzwerkrichtlinie zuordnen, wird die aktuell zugeordnete Netzwerkrichtlinie (falls vorhanden) automatisch entfernt.

Sobald die Richtlinie dem Benutzer zugeordnet ist, beschränkt Snowflake den Zugriff des Benutzers auf Basis der Liste zulässiger IP-Adressen und der Liste blockierter IP-Adressen. Wenn der Benutzer mit einer aktivierten Netzwerkrichtlinie auf Benutzerebene versucht, sich von einer durch die Regeln eingeschränkten IP-Adresse aus anzumelden, wird dem Benutzer der Zugriff auf Snowflake verweigert.

Wenn dem Benutzer eine Netzwerkrichtlinie auf Benutzerebene zugeordnet ist und der Benutzer bereits bei Snowflake angemeldet ist, aber die IP-Adresse des Benutzers nicht den Netzwerkrichtlinienregeln auf Benutzerebene entspricht, verhindert Snowflake die Ausführung weiterer Abfragen durch den Benutzer.

Um eine Netzwerkrichtlinie für einen einzelnen Benutzer zu aktivieren, legen Sie mit ALTER USER den Parameter NETWORK_POLICY für den Benutzer fest.

Ändern von Netzwerkrichtlinien¶

Netzwerkrichtlinien können über Snowsight, die klassische Weboberfläche oder mit SQL geändert werden, insbesondere um der Liste der zulässigen und blockierten IP-Adressen weitere Adressen hinzuzufügen oder Adressen daraus zu entfernen.

Beschreibungen zu den Eigenschaften von Netzwerkrichtlinien finden Sie unter Erstellen von Netzwerkrichtlinien (unter diesem Thema).

Snowsight

1. Klicken Sie auf Admin » Security » Network Policies.

2. Klicken Sie in der Zeile einer Netzwerkrichtlinie unter Edit Policy auf die Aktionsschaltfläche (…). Das Dialogfenster Edit Policy wird geöffnet.

3. Bearbeiten Sie die gewünschten Eigenschaften.

4. Klicken Sie auf die Schaltfläche Save changes.

Classic Console

1. Klicken Sie auf Account » Policies.

2. Klicken Sie auf eine Richtlinie, um sie auszuwählen, und füllen Sie den Bereich auf der rechten Seite aus.

3. Klicken Sie im rechten Fensterbereich auf die Schaltfläche Edit.

4. Ändern Sie die Felder nach Bedarf:

   • Um eine IP-Adresse aus der Liste der Allowed IP Addresses oder der Blocked IP Addresses zu entfernen, klicken Sie neben dem Eintrag auf das x.

   • Um eine IP-Adresse zu einer der beiden Listen hinzuzufügen, geben Sie eine oder mehrere durch Kommas getrennte IPv4-Adressen in das entsprechende Feld ein, und klicken Sie auf die Schaltfläche Add.

5. Klicken Sie auf Save.

SQL

Führen Sie eine ALTER NETWORK POLICY-Anweisung aus.

Identifizieren einer Netzwerkrichtlinie, die auf Konto- oder Benutzerebene aktiviert wurde¶

Um festzustellen, ob eine Netzwerkrichtlinie für Ihr Konto oder für einen bestimmten Benutzer festgelegt ist, führen Sie den Befehl SHOW PARAMETERS aus.

Konto

SHOW PARAMETERS LIKE 'network_policy' IN ACCOUNT;

Copy

Benutzer

SHOW PARAMETERS LIKE 'network_policy' IN USER <username>;

Copy

Beispiel:

SHOW PARAMETERS LIKE 'network_policy' IN USER jsmith;

Copy

Verwenden von Netzwerkregeln¶

Während Einschränkungen für die bei Snowflake eingehenden Anforderungen letztendlich auf ein Konto oder einen Benutzer mit einer Netzwerkrichtlinie angewendet werden, kann der Administrator diese Einschränkungen mit Netzwerkregeln organisieren, bei denen es sich um Objekte auf Schemaebene handelt.

Jede Netzwerkregel fasst die IDs eines bestimmten Typs von Anforderungsursprung zusammen. Eine Netzwerkregel könnte beispielsweise alle IPv4-Adressen enthalten, denen der Zugriff auf Snowflake gestattet werden soll, während eine andere alle privaten Endpunkte zusammenfasst, die blockiert werden sollen.

Eine Netzwerkregel gibt jedoch nicht an, ob sie den Anforderungsursprung zulässt oder blockiert. Sie fasst einfach nur ähnliche Ursprünge zu einer logischen Einheit zusammen. Administratoren geben beim Erstellen oder Ändern einer Netzwerkrichtlinie an, ob diese Einheit zugelassen oder blockiert werden soll.

Der allgemeine Workflow ist wie folgt:

1. Erstellen Sie eine Netzwerkregel für einen bestimmten Typ von Netzwerk-ID und einen bestimmten Zweck.

2. Fügen Sie diese Netzwerkregel zur Liste der Zulassungsregeln oder zur Liste der Blockierregeln einer Netzwerkrichtlinie hinzu.

3. Wenden Sie die Netzwerkrichtlinie auf ein Konto, einen Benutzer oder eine Sicherheitsintegration an.

CREATE NETWORK RULE block_public_access
  MODE = INGRESS
  TYPE = IPV4
  VALUE_LIST = ('0.0.0.0/0');

CREATE NETWORK RULE allow_vpceid_access
  MODE = INGRESS
  TYPE = AWSVPCEID
  VALUE_LIST = ('vpce-0fa383eb170331202');

CREATE NETWORK POLICY allow_vpceid_block_public_policy
  ALLOWED_NETWORK_RULE_LIST = ('allow_vpceid_access')
  BLOCKED_NETWORK_RULE_LIST=('block_public_access');

USE ROLE ACCOUNTADMIN;
ALTER ACCOUNT SET ENFORCE_NETWORK_RULES_FOR_INTERNAL_STAGES = true;

GRANT USAGE ON DATABASE securitydb TO ROLE network_admin;
GRANT USAGE ON SCHEMA securitydb.myrules TO ROLE network_admin;
GRANT CREATE NETWORK RULE ON SCHEMA securitydb.myrules TO ROLE network_admin;
USE ROLE network_admin;

CREATE NETWORK RULE cloud_network TYPE = IPV4 VALUE_LIST = ('47.88.25.32/27');

CREATE NETWORK RULE corp_network TYPE = AWSVPCEID VALUE_LIST = ('vpce-123abc3420c1931');
CREATE NETWORK RULE cloud_network TYPE = IPV4 VALUE_LIST = ('47.88.25.32/27');

CREATE NETWORK POLICY account_policy ALLOWED_NETWORK_RULE_LIST = ( 'corp_network', 'cloud_network' );

ALTER NETWORK POLICY my_policy SET BLOCKED_NETWORK_RULE_LIST = ( 'other_network' );

ALTER NETWORK POLICY my_policy ADD ALLOWED_NETWORK_RULE_LIST = ( 'new_rule' );

ALTER NETWORK POLICY my_policy REMOVE BLOCKED_NETWORK_RULE_LIST = ( 'other_network' );