Politiques réseau¶

Priorité de la politique réseau¶

Une politique réseau peut être appliquée à un compte, à une intégration de sécurité ou à un utilisateur. Si des politiques réseau sont appliquées à plusieurs de ces éléments, la politique réseau la plus spécifique prévaut sur les politiques réseau plus générales. Le tableau suivant résume l’ordre de priorité :

Compte

Les politiques réseau appliquées à un compte sont les politiques réseau les plus générales. Elles sont supplantées par les politiques réseau appliquées à une intégration de sécurité ou à un utilisateur.

Intégration de sécurité

Les politiques réseau appliquées à une intégration de sécurité sont prioritaires sur les politiques réseau appliquées au compte, mais ne sont pas prises en compte par une politique réseau appliquée à un utilisateur.

Utilisateur

Les politiques réseau appliquées à un utilisateur sont les politiques réseau les plus spécifiques. Ils remplacent à la fois les comptes et les intégrations de sécurité.

Notation CIDR¶

Snowflake prend en charge la spécification de plages d’adresses IP en utilisant la notation Classless Inter-Domain Routing (i.e. CIDR). Dans la notation CIDR, le sous-réseau optionnel est exprimé par un nombre décimal qui représente la longueur du préfixe :

ip_address[/prefix_length]

Par exemple, 192.168.1.0/24 représente toutes les adresses IP dans la plage de 192.168.1.0 à 192.168.1.255.

Exemples de listes d’adresses autorisées/bloquées¶

Snowflake ne permet pas de définir une politique réseau qui bloque votre adresse IP actuelle. Un message d’erreur apparaît lorsque l’on tente de créer une politique réseau qui bloque l’adresse IP actuelle.

Voici des exemples représentatifs pour définir les plages d’adresses IP autorisées et bloquées en utilisant une politique réseau Snowflake.

Autoriser toutes les adresses IP comprises entre 192.168.1.0 et 192.168.1.255, sauf 192.168.1.99, qui est explicitement bloquée. De plus, toutes les autres adresses IP sont bloquées :

- Allowed IP Addresses: 192.168.1.0/24
- Blocked IP Addresses: 192.168.1.99

Copy

Autoriser seulement les adresses IP 192.168.1.0 et 192.168.1.100 à accéder à votre compte :

- Allowed IP Addresses: 192.168.1.0,192.168.1.100
- Blocked IP Addresses: N/A

Copy

Contourner une politique réseau¶

Il est possible de contourner temporairement une politique réseau pendant un nombre défini de minutes en configurant la propriété d’objet utilisateur MINS_TO_BYPASS_NETWORK_POLICY, qui peut être affichée en exécutant DESCRIBE USER. Seul Snowflake peut définir la valeur de cette propriété d’objet. Veuillez contacter le support Snowflake pour définir une valeur pour cette propriété.

Utilisation de la réplication avec les politiques réseau¶

Snowflake prend en charge la réplication et le basculement/la restauration des politiques de réseau et de leurs affectations d’un compte source à un compte cible.

Pour plus de détails, reportez-vous à Réplication des intégrations de sécurité et des politiques de réseau à travers plusieurs comptes.

Modifications de la fonctionnalité de politique réseau¶

L’introduction de règles de réseau modifie la façon dont les administrateurs utilisent les politiques réseau pour contrôler le trafic réseau, notamment :

• Lorsqu’une politique réseau utilise des règles de réseau, elle ne doit pas utiliser les paramètres ALLOWED_IP_LIST et BLOCKED_IP_LIST pour spécifier des adresses IP individuelles. N’utilisez pas les deux méthodes pour restreindre l’accès.

• Les administrateurs ne peuvent pas utiliser Snowsight ou Classic Console pour créer des règles de réseau ou ajouter des règles de réseau à une politique réseau.

• Les règles de réseau ne peuvent pas être répliquées. Cela n’affecte pas la capacité actuelle à répliquer les politiques réseau sans règles réseau.

Limites¶

Dans cet aperçu, les restrictions des règles réseau ne s’appliquent pas aux demandes accédant à une zone de préparation interne à l’aide d’une URL présignée générée par la fonction GET_PRESIGNED_URL.

Meilleures pratiques¶

• Limitez la portée. Les règles de réseau sont conçues pour regrouper de petites unités d’identificateurs de réseau apparentés. Auparavant, les politiques réseau contenaient souvent une liste importante et monolithique d’adresses IP qui devaient être autorisées ou bloquées. L’introduction de règles de réseau modifie cette stratégie. Par exemple, vous pouvez diviser les identificateurs de réseau de la manière suivante :

  • Création d’une règle de réseau contenant les adresses IP des clients pour la région Amérique du Nord, et d’une règle différente pour la région Europe et Moyen-Orient.

  • Création d’une règle de réseau dont l’objectif est d’autoriser l’accès d’une population spéciale, telle que les utilisateurs à hauts privilèges et les utilisateurs de comptes de service. Cette règle de réseau peut être ajoutée à une politique réseau appliquée à des utilisateurs individuels.

  • Création d’une règle de réseau limitée à une ou plusieurs applications de données.

  Avec l’introduction des règles de réseau, Snowflake recommande de limiter également la portée des politiques réseau. Dans la mesure du possible, limitez le champ d’application d’une politique réseau à un groupe d’utilisateurs ou à une intégration de sécurité plutôt qu’à un compte entier.

• Ajoutez des commentaires. Lors de la création d’une règle de réseau, utilisez la propriété COMMENT pour garder une trace de ce que la règle est censée faire. Les commentaires sont importants, car Snowflake recommande un grand nombre de petites règles ciblées plutôt qu’un petit nombre de règles monolithiques.

  Vous pouvez utiliser la commande SHOW NETWORK RULES pour dresser la liste de toutes les règles de réseau, y compris leurs commentaires.

Identificateurs pris en charge¶

Chaque règle de réseau contient une liste d’un ou plusieurs identificateurs de réseau du même type (par exemple, une règle d’adresse IPv4 ou une règle de point de terminaison privé).

La propriété TYPE d’une règle de réseau identifie le type d’identificateurs que la règle de réseau contient, et la propriété VALUE_LIST spécifie ces identificateurs.

Pour une liste complète des types d’identificateurs qui peuvent être restreints par des règles de réseau, consultez Identificateurs de réseau pris en charge.

Lorsque vous ajoutez une règle réseau à la liste d’autorisation d’une politique réseau, vous n’êtes pas obligé de bloquer explicitement les autres identificateurs du même type ; seuls les identificateurs autorisés y ont accès. Toutefois, les identificateurs d’un autre type ne sont pas automatiquement bloqués. Par exemple, si vous ajoutez une règle de réseau IPV4 avec une seule adresse IP à la liste autorisée, toutes les autres adresses IPv4 sont bloquées. Cependant, les points de terminaison VPC ont toujours un accès, à moins que des règles de réseau supplémentaires ne soient utilisées.

À titre d’exemple, une règle réseau qui utilise des identificateurs de point de terminaison privés tels que des LinkIDs Azure ou des IDs AWS VPCE pour restreindre l’accès n’a aucun effet sur les requêtes provenant du réseau public. Si vous souhaitez restreindre l’accès en fonction d’identificateurs de points de terminaison privés, puis bloquer complètement les requêtes provenant d’adresses IPv4 publiques, vous devez créer deux règles réseau distinctes.

Les règles réseau suivantes peuvent être combinées dans une politique réseau pour autoriser un ID VPCE tout en bloquant le trafic du réseau public.

CREATE NETWORK RULE block_public_access
  MODE = INGRESS
  TYPE = IPV4
  VALUE_LIST = ('0.0.0.0/0');

CREATE NETWORK RULE allow_vpceid_access
  MODE = INGRESS
  TYPE = AWSVPCEID
  VALUE_LIST = ('vpce-0fa383eb170331202');

CREATE NETWORK POLICY allow_vpceid_block_public_policy
  ALLOWED_NETWORK_RULE_LIST = ('allow_vpceid_access')
  BLOCKED_NETWORK_RULE_LIST=('block_public_access');

Protection du service Snowflake¶

Cette section explique comment utiliser les règles de réseau pour restreindre l’accès au service Snowflake uniquement. Si vous souhaitez restreindre l’accès au service et à la zone de préparation interne d’un compte sur AWS, consultez Protection des zones de préparation internes sur AWS.

Pour restreindre l’accès au service Snowflake, définissez la propriété MODE de la règle de réseau sur INGRESS.

Vous pouvez ensuite utiliser la propriété TYPE pour spécifier les identificateurs qui doivent être autorisés ou bloqués.

Protection des zones de préparation internes sur AWS¶

Cette section explique comment utiliser les règles de réseau pour restreindre l’accès aux zones de préparation internes sur AWS, y compris comment restreindre simultanément l’accès au service Snowflake et à la zone de préparation interne. Cela comprend :

• Lignes directrices pour les zones de préparation internes

• Activation des restrictions de zones de préparation internes

• Stratégie de protection de la zone de préparation interne uniquement

• Stratégies de protection du service et de la zone de préparation interne

Actuellement, il n’est pas possible d’utiliser une politique réseau affectée à une intégration de sécurité pour restreindre l’accès à une zone de préparation interne.

USE ROLE ACCOUNTADMIN;
ALTER ACCOUNT SET ENFORCE_NETWORK_RULES_FOR_INTERNAL_STAGES = true;

Création d’une règle de réseau¶

Un administrateur peut exécuter la commande CREATE NETWORK RULE pour créer une nouvelle règle de réseau, en spécifiant une liste d’identificateurs de réseau ainsi que le type de ces identifiants.

La création d’une règle de réseau ne définit pas si elle autorise ou bloque les identificateurs de réseau. Les administrateurs spécifient ces autorisations lorsqu’ils ajoutent la règle de réseau à une politique réseau.

Par exemple, pour utiliser un rôle personnalisé afin de créer une règle de réseau qui peut être utilisée pour autoriser ou bloquer le trafic provenant d’une série d’adresses IP :

GRANT USAGE ON DATABASE securitydb TO ROLE network_admin;
GRANT USAGE ON SCHEMA securitydb.myrules TO ROLE network_admin;
GRANT CREATE NETWORK RULE ON SCHEMA securitydb.myrules TO ROLE network_admin;
USE ROLE network_admin;

CREATE NETWORK RULE cloud_network TYPE = IPV4 VALUE_LIST = ('47.88.25.32/27');

Une fois créée, la propriété d’une règle de réseau peut être transférée à un autre rôle.

Ajout de règles de réseau à une politique réseau¶

Les règles de réseau organisent les identificateurs de réseau et définissent ce qui est restreint, mais elles n’appliquent pas les restrictions. Les règles de réseau sont plutôt ajoutées aux politiques réseau, qui sont ensuite appliquées à un compte ou à un utilisateur pour en contrôler l’accès.

Un administrateur spécifie si les identificateurs de réseau d’une règle de réseau doivent être autorisés ou bloqués en ajoutant la règle au paramètre approprié d’une politique réseau. Si vous avez créé un nom sensible à la casse pour la règle de réseau, vous devez utiliser des guillemets doubles lorsque vous l’affectez à une politique réseau.

Le paramètre ALLOWED_NETWORK_RULE_LIST d’une politique réseau définit une liste de règles de réseau qui contiennent des identificateurs de réseau autorisés. Une fois que vous avez ajouté au moins une règle de réseau à ce paramètre, vous ne devez pas bloquer explicitement d’autres identificateurs du même type ; seuls les identificateurs autorisés y ont accès. Toutefois, les identificateurs d’un autre type ne sont pas automatiquement bloqués. Par exemple, si vous ajoutez une règle de réseau IPV4 avec une seule adresse IP à la liste autorisée, toutes les autres adresses IPv4 sont bloquées. Cependant, les points de terminaison VPC ont toujours un accès, à moins que des règles de réseau supplémentaires ne soient utilisées.

Si vous souhaitez bloquer explicitement les identificateurs de réseau à l’aide d’une règle de réseau, ajoutez cette règle au paramètre BLOCKED_NETWORK_RULE_LIST de la politique réseau.

Une fois que vous avez ajouté une règle de réseau à une politique réseau, vous pouvez exécuter la commande DESCRIBE NETWORK POLICY pour la vérifier.

Une fois que les règles de réseau ont été ajoutées à l’un des paramètres de la politique réseau, vous pouvez associer la politique à un compte ou à un utilisateur pour appliquer les restrictions.

Exemples¶

Créez deux règles de réseau corp_network et cloud_network, puis créez une politique réseau qui autorise les identificateurs de réseau dans ces règles :

CREATE NETWORK RULE corp_network TYPE = AWSVPCEID VALUE_LIST = ('vpce-123abc3420c1931');
CREATE NETWORK RULE cloud_network TYPE = IPV4 VALUE_LIST = ('47.88.25.32/27');

CREATE NETWORK POLICY account_policy ALLOWED_NETWORK_RULE_LIST = ( 'corp_network', 'cloud_network' );

Modifiez une politique réseau, en remplaçant les règles de réseau précédemment bloquées par une nouvelle règle de réseau nommée other_network :

ALTER NETWORK POLICY my_policy SET BLOCKED_NETWORK_RULE_LIST = ( 'other_network' );

Ajoutez une seule règle de réseau à la liste des règles autorisées d’une politique réseau existante. Les règles de réseau précédemment ajoutées à la liste autorisée de la politique restent en vigueur.

ALTER NETWORK POLICY my_policy ADD ALLOWED_NETWORK_RULE_LIST = ( 'new_rule' );

Supprimer une règle réseau de la liste des règles bloquées d’une politique réseau :

ALTER NETWORK POLICY my_policy REMOVE BLOCKED_NETWORK_RULE_LIST = ( 'other_network' );