Bonnes pratiques de sécurité pour la CLI Cortex Code¶

Identifiants de connexion¶

Utilisez l’authentification par navigateur lorsque cela est possible.

La méthode d’authentification par défaut pour la CLI Cortex Code est une authentification basée sur un navigateur. Utilisez authenticator = "externalbrowser" dans votre fichier connections.toml pour définir cette option manuellement.

Utilisez des jetons d’accès programmatiques (PATs) lorsque vous essayez de limiter l’accès à un rôle spécifique.

Générez les PATs dédiés dans Snowsight (voir Utilisation de jetons d’accès programmatique pour l’authentification). Fixez l’expiration ≤ 90 jours, utilisez des noms descriptifs et effectuez des rotations régulières.

Protéger les fichiers de configuration

Utilisez le mode 600 pour les fichiers de configuration et 700 pour les répertoires afin de restreindre l’accès à votre utilisateur uniquement.

chmod 600 ~/.snowflake/connections.toml
chmod 700 ~/.snowflake/cortex

Copy

Ne jamais enregistrer les identifiants de connexion

Ajoutez des fichiers de configuration sensibles à .gitignore.

echo "~/.snowflake/connections.toml" >> ~/.gitignore

Copy

Utilisez les variables d’environnement pour contenir les identifiants de connexion et les jetons, et intégrez-les dans vos fichiers de configuration en utilisant la syntaxe ${VARIABLE_NAME}.

Rôles et accès¶

Utiliser les rôles appropriés par environnement

Par exemple, utilisez un rôle en lecture seule pour la production et un rôle plus étendu pour le développement.

[dev]
role = "DEVELOPER"

[prod_readonly]
role = "ANALYST"

Copy

N’utilisez jamais ACCOUNTADMIN pour les opérations de routine. Accordez le moins de privilèges.

Historique de la conversation¶

Les conversations sont stockées dans ~/.snowflake/cortex/conversations/. Utilisez cortex --private lors du démarrage de Cortex Code pour désactiver l’enregistrement de session pour les travaux sensibles. Vous pouvez également utiliser la commande /clear pour effacer la session en cours avant de quitter la CLI Cortex Code.

Utilisez le mode 700 pour limiter l’accès à l’historique des conversations à votre utilisateur uniquement.

chmod 700 ~/.snowflake/cortex/conversations

Sécurité MCP¶

Installez uniquement des serveurs MCP de confiance

Vérifiez la source et l’intégrité des serveurs MCP avant de les ajouter. Utilisez les commandes suivantes pour obtenir une liste de serveurs et supprimer tous ceux qui ne sont pas fiables :

cortex mcp list
cortex mcp remove <server>

Copy

Ne jamais coder en dur les identifiants MCP

Utilisez les variables d’environnement. Tout d’abord, définissez dans votre shell :

export GITHUB_TOKEN="your_token"

Copy

Puis faites-en la référence dans votre configuration MCP :

{
   "mcpServers": {
      "github": {
         "env": { "GITHUB_TOKEN": "${GITHUB_TOKEN}" }
      }
   }
}

Copy

Sécurité de la production¶

Activer le mode planification

Utilisez la commande /plan pour vérifier les actions prévues avant leur exécution.

/plan
Drop and recreate the ANALYTICS schema

Copy

Si votre jeton d’accès personnel est compromis¶

Révoquez le PAT dans Snowsight immédiatement ! Générez ensuite un nouveau jeton et commencez à l’utiliser à la place. N’oubliez pas, n’utilisez pas le jeton dans les fichiers de configuration ; utilisez plutôt des variables d’environnement.

Examinez l’historique des requêtes pour identifier toute activité suspecte.

SHOW QUERIES IN ACCOUNT

Paramètres gérés (politique d’entreprise)¶

Dans certaines organisations, les administrateurs déploient des paramètres gérés qui appliquent la politique pour Cortex Code CLI. Les paramètres gérés peuvent contraindre ou remplacer la configuration au niveau de l’utilisateur (y compris les invites d’autorisation et le comportement de contournement).

Pour plus d’informations, voir Paramètres gérés (politique de l’organisation).

Autorisations¶

Cortex Code a trois modes de fonctionnement :

Appuyez sur Shift-Tab dans la CLI Cortex Code pour parcourir ces modes.

{
   "hooks": {
      "PreToolUse": [
         {
         "matcher": "Bash",
         "hooks": [
            {
               "type": "command",
               "command": "bash .claude/hooks/auto-approve.sh"
            }
         ]
         }
      ]
   }
}

{
   "hookSpecificOutput": {
      "hookEventName": "PreToolUse",
      "permissionDecision": "allow",
      "permissionDecisionReason": "Approved by policy"
   }
}

{
   "/path/to/project": {
      "Bash": {
         "npm test": "allow",
         "make build": "allow"
      },
      "Write": {
         "*": "allow"
      }
   }
}

Liste de contrôle de sécurité¶

• Utiliser des PATs dont la durée de validité ne dépasse pas 90 jours.

• Définir les autorisations de fichier sur 600/700

• Ne jamais valider les identifiants de connexion dans Git

• Utiliser des rôles à privilèges minimaux

• Ne jamais utiliser ACCOUNTADMIN pour les tâches de routine

• Activer le mode de planification pour la production et le mode de contournement de réserve pour les environnements de confiance

• Installez uniquement des serveurs MCP de confiance

• Stocker les identifiants de connexion dans des variables d’environnement

• Utiliser des hooks pour appliquer des politiques en automatisant les contrôles de sécurité personnalisés

• Autorisations d’audit périodique