Netzwerkregeln¶

Unterstützte Netzwerk-IDs¶

Administratoren müssen in der Lage sein, den Zugriff anhand der Netzwerk-ID zu beschränken, die mit dem Ursprung oder dem Ziel einer Anforderung verbunden ist. Mithilfe der Netzwerkregeln können Administratoren die folgenden Netzwerk-IDs zulassen oder blockieren:

Eingehende Anforderungen

• IPv4-Adressen

• VPCE-IDs von AWS VPC-Endpunkten. VPC-IDs werden nicht unterstützt.

• LinkIDs von privaten Azure-Endpunkten. Führen Sie die Funktion SYSTEM$GET_PRIVATELINK_AUTHORIZED_ENDPOINTS aus, um die mit einem Konto verbundene LinkID abzurufen.

Ausgehende Anforderungen

Domänen, einschließlich eines optionalen Portbereichs

Jede Netzwerkregel enthält eine Liste von einer oder mehreren Netzwerk-IDs desselben Typs. Die Eigenschaft TYPE der Netzwerkregel gibt den Typ der Identifikatoren an, die in der Regel enthalten sind. Wenn die Eigenschaft TYPE beispielsweise IPV4 ist, muss die Werteliste der Netzwerkregel gültige IPv4-Adressen oder -Adressbereiche in CIDR-Notation enthalten.

Eingehende vs. ausgehende Anforderungen¶

Der Modus einer Netzwerkregel gibt an, ob das Snowflake-Feature, das die Regel verwendet, eingehende oder ausgehende Anforderungen einschränkt.

Erstellen einer Netzwerkregel¶

Ein Administrator führt den Befehl CREATE NETWORK RULE aus, um eine neue Netzwerkregel zu erstellen, und gibt dabei eine Liste von Netzwerk-IDs und dazu den Typ dieser IDs an.

Der Administrator verwendet den Parameter MODE um anzugeben, ob die Netzwerkregel zur Beschränkung eingehender oder ausgehender Anforderungen verwendet wird. Wenn der Administrator den Parameter MODE nicht angibt, wird dieser standardmäßig auf INGRESS gesetzt, was bedeutet, dass die Netzwerkregel von den Netzwerkrichtlinien verwendet wird, um den eingehenden Netzwerkdatenverkehr auf den Snowflake-Dienst zu beschränken.

Beim Erstellen einer Netzwerkregel wird nicht festgelegt, ob diese die Netzwerk-ID zulässt oder blockiert. Administratoren legen diese Einschränkungen bei der Konfiguration des Snowflake-Features fest, das die Netzwerkregel verwendet.

Beispiel: Netzwerkregel für Netzwerkrichtlinie

Der Code im folgenden Beispiel verwendet eine kundenspezifische Rolle, um eine Netzwerkregel zu erstellen, die verwendet werden kann, um Datenverkehr von einem bestimmten Bereich von IP-Adressen zum Snowflake-Dienst zuzulassen oder zu blockieren:

CREATE ROLE network_admin;
GRANT USAGE ON DATABASE securitydb TO ROLE network_admin;
GRANT USAGE ON SCHEMA securitydb.myrules TO ROLE network_admin;
GRANT CREATE NETWORK RULE ON SCHEMA securitydb.myrules TO ROLE network_admin;
USE ROLE network_admin;

CREATE NETWORK RULE cloud_network
  MODE = INGRESS
  TYPE = IPV4
  VALUE_LIST = ('47.88.25.32/27');

Ändern einer Netzwerkregel¶

Der Eigentümer einer Netzwerkregel kann den Befehl ALTER NETWORK RULE ausführen, um die Netzwerk-IDs und den Kommentar der Regel zu ersetzen. Sie können keine einzelnen Netzwerk-IDs zur Netzwerkregel hinzufügen oder entfernen. Vorhandene IDs gehen beim Hinzufügen neuer Werte verloren.

Die Werte von TYPE und MODE der Netzwerkregel können nicht geändert werden.

Beispielsweise kann der Eigentümer einer Netzwerkregel diese so ändern, dass sie zum Zulassen oder Blockieren von Datenverkehr aus einem neuen Bereich von IPv4-Adressen verwendet werden kann:

ALTER NETWORK RULE cloud_network SET VALUE_LIST = ('47.88.25.32/27');

Der Eigentümer der Netzwerkregel kann auch alle Netzwerk-IDs aus der Regel entfernen:

ALTER NETWORK RULE cloud_network UNSET VALUE_LIST;

Replikation von Netzwerkregeln¶

Netzwerkregeln sind Objekte auf Schemaebene und werden mit der Datenbank, in der sie enthalten sind, repliziert.

Weitere Informationen zur Replikation von Netzwerkrichtlinien, die Netzwerkregeln verwenden, finden Sie unter Replizieren von Netzwerkrichtlinien.

Berechtigungen und Befehle¶