Contrôle du trafic réseau avec des politiques réseau¶

Workflow¶

Le flux de travail général pour l’utilisation de politiques réseau pour contrôler le trafic réseau entrant est le suivant :

1. Créez des règles réseau en fonction de leur objectif et du type d’identificateur réseau.

2. Créez une ou plusieurs politiques réseau comprenant des règles réseau qui contiennent les identificateurs à autoriser ou à bloquer.

3. Activez la politique réseau pour un compte, un utilisateur ou une intégration de sécurité. Une politique réseau ne restreint pas le trafic réseau tant qu’elle n’est pas activée.

Interaction entre les listes d’autorisations et les listes de blocages¶

Lorsque vous ajoutez une règle réseau à la liste d’autorisations d’une politique réseau, vous n’êtes pas obligé d’utiliser la liste de blocages pour bloquer explicitement les autres identificateurs du même type ; seuls les identificateurs autorisés ont un droit d’accès. Toutefois, les identificateurs d’un autre type ne sont pas automatiquement bloqués. Par exemple, si vous ajoutez une règle de réseau IPv4 avec une seule adresse IP à la liste autorisée, toutes les autres adresses IPv4 sont bloquées. Il n’est pas nécessaire d’utiliser la liste de blocages pour restreindre l’accès provenant d’autres adresses IP. Cependant, les points de terminaison VPC continuent à avoir un accès, à moins que des règles réseau supplémentaires ne soient ajoutées à la politique réseau.

Si une politique réseau a les mêmes valeurs d’adresse IP dans les paramètres ALLOWED_IP_LIST et BLOCKED_IP_LIST , Snowflake applique d’abord les valeurs du paramètre BLOCKED_IP_LIST. Ce comportement s’applique également aux paramètres ALLOWED_NETWORK_RULE_LIST et BLOCKED_NETWORK_RULE_LIST.

Sur les connexions privées, si une politique réseau comporte une règle de réseau ID VPCE (AWS) ou LinkID (Azure) dans le paramètre ALLOWED_NETWORK_RULE_LIST, les règles de réseau IP dans le paramètre BLOCKED_NETWORK_RULE_LIST sont ignorées, ce qui donne la priorité aux règles de réseau ID VPCE ou LinkID.

À titre d’exemple, une règle réseau qui utilise des identificateurs de point de terminaison privés tels que des LinkIDs Azure ou des IDs AWS VPCE pour restreindre l’accès n’a aucun effet sur les requêtes provenant du réseau public. Si vous souhaitez restreindre l’accès en fonction d’identificateurs de points de terminaison privés, puis bloquer complètement les requêtes provenant d’adresses IPv4 publiques, vous devez créer deux règles réseau distinctes, une pour la liste d’autorisations et un autre pour la liste de blocages.

Les règles réseau suivantes peuvent être combinées dans une politique réseau pour autoriser un ID VPCE tout en bloquant le trafic du réseau public.

CREATE NETWORK RULE block_public_access
  MODE = INGRESS
  TYPE = IPV4
  VALUE_LIST = ('0.0.0.0/0');

CREATE NETWORK RULE allow_vpceid_access
  MODE = INGRESS
  TYPE = AWSVPCEID
  VALUE_LIST = ('vpce-0fa383eb170331202');

CREATE NETWORK POLICY allow_vpceid_block_public_policy
  ALLOWED_NETWORK_RULE_LIST = ('allow_vpceid_access')
  BLOCKED_NETWORK_RULE_LIST=('block_public_access');

CREATE NETWORK RULE allow_access_rule
  MODE = INGRESS
  TYPE = IPV4
  VALUE_LIST = ('192.168.1.0/24');

CREATE NETWORK RULE block_access_rule
  MODE = INGRESS
  TYPE = IPV4
  VALUE_LIST = ('192.168.1.99');

CREATE NETWORK POLICY public_network_policy
  ALLOWED_NETWORK_RULE_LIST = ('allow_access_rule')
  BLOCKED_NETWORK_RULE_LIST=('block_access_rule');

Priorité de la politique réseau¶

Vous pouvez appliquer une politique réseau à un compte, à une intégration de sécurité ou à un utilisateur. Si des politiques réseau sont appliquées à plusieurs de ces éléments, la politique réseau la plus spécifique prévaut sur les politiques réseau plus générales. Le tableau suivant résume l’ordre de priorité :

Compte:

Les politiques réseau appliquées à un compte sont les politiques réseau les plus générales. Elles sont supplantées par les politiques réseau appliquées à une intégration de sécurité ou à un utilisateur.

Intégration de sécurité:

Les politiques réseau appliquées à une intégration de sécurité sont prioritaires sur les politiques réseau appliquées au compte, mais ne sont pas prises en compte par une politique réseau appliquée à un utilisateur.

Utilisateur:

Les politiques réseau appliquées à un utilisateur sont les politiques réseau les plus spécifiques. Ils remplacent à la fois les comptes et les intégrations de sécurité.

Contournement d’une politique réseau¶

Il est possible de contourner temporairement une politique réseau pendant un nombre défini de minutes en configurant la propriété d’objet utilisateur MINS_TO_BYPASS_NETWORK_POLICY, qui peut être affichée en exécutant DESCRIBE USER. Seul Snowflake peut définir la valeur de cette propriété d’objet. Veuillez contacter le support Snowflake pour définir une valeur pour cette propriété.

Meilleures pratiques¶

• Limitez la portée. Les règles de réseau sont conçues pour regrouper de petites unités d’identificateurs de réseau apparentés. Auparavant, les politiques réseau contenaient souvent une liste importante et monolithique d’adresses IP qui devaient être autorisées ou bloquées. L’introduction de règles de réseau modifie cette stratégie. Par exemple, vous pouvez diviser les identificateurs de réseau de la manière suivante :

  • Création d’une règle de réseau contenant les adresses IP des clients pour la région Amérique du Nord, et d’une règle différente pour la région Europe et Moyen-Orient.

  • Création d’une règle de réseau dont l’objectif est d’autoriser l’accès d’une population spéciale, telle que les utilisateurs à hauts privilèges et les utilisateurs de comptes de service. Cette règle de réseau peut être ajoutée à une politique réseau appliquée à des utilisateurs individuels.

  • Création d’une règle de réseau limitée à une ou plusieurs applications de données.

  Avec l’introduction des règles de réseau, Snowflake recommande de limiter également la portée des politiques réseau. Dans la mesure du possible, limitez le champ d’application d’une politique réseau à un groupe d’utilisateurs ou à une intégration de sécurité plutôt qu’à un compte entier.

• Ajoutez des commentaires. Lors de la création d’une règle de réseau, utilisez la propriété COMMENT pour garder une trace de ce que la règle est censée faire. Les commentaires sont importants, car Snowflake recommande un grand nombre de petites règles ciblées plutôt qu’un petit nombre de règles monolithiques.

  Vous pouvez utiliser la commande SHOW NETWORK RULES pour dresser la liste de toutes les règles de réseau, y compris leurs commentaires.

Identificateurs pris en charge¶

Chaque règle de réseau contient une liste d’un ou plusieurs identificateurs de réseau du même type (par exemple, une règle d’adresse IPv4 ou une règle de point de terminaison privé).

La propriété TYPE d’une règle réseau identifie le type d’identificateurs que contient la règle réseau.

Pour une liste complète des types d’identificateurs qui peuvent être restreints par des règles de réseau, consultez Identificateurs de réseau pris en charge.

Protection du service Snowflake¶

Cette section explique comment utiliser les règles de réseau pour restreindre l’accès au service Snowflake uniquement. Si vous souhaitez restreindre l’accès au service et à la zone de préparation interne d’un compte sur AWS, consultez Protection des zones de préparation internes sur AWS.

Pour restreindre l’accès au service Snowflake, définissez la propriété MODE de la règle de réseau sur INGRESS.

Vous pouvez ensuite utiliser la propriété TYPE pour spécifier les identificateurs qui doivent être autorisés ou bloqués.

Protection des zones de préparation internes sur AWS¶

Cette section explique comment utiliser les règles de réseau pour restreindre l’accès aux zones de préparation internes sur AWS, y compris comment restreindre simultanément l’accès au service Snowflake et à la zone de préparation interne. Cela comprend :

• Limitations

• Condition préalable : Activation des restrictions des zones de préparation internes

• Lignes directrices pour les zones de préparation internes

• Stratégie de protection de la zone de préparation interne uniquement

• Stratégies de protection du service et de la zone de préparation interne

USE ROLE ACCOUNTADMIN;
ALTER ACCOUNT SET ENFORCE_NETWORK_RULES_FOR_INTERNAL_STAGES = true;

Création d’une règle réseau¶

Vous devez disposer du privilège CREATE NETWORK RULE sur le schéma pour pouvoir créer une règle réseau. Par défaut, seuls les rôles ACCOUNTADMIN et SECURITYADMIN, ainsi que le propriétaire du schéma, ont ce privilège.

Le mode d’une règle réseau qui sera utilisée par une politique réseau doit être INGRESS ou INTERNAL STAGE.

Pour mieux comprendre les meilleures pratiques et stratégies de création de règles réseau, voir À propos des règles réseau.

Vous pouvez créer une règle réseau à l’aide de Snowsight ou en exécutant une commande SQL :

Snowsight:

1. Connectez-vous à Snowsight.

2. Sélectionnez Admin » Security.

3. Sélectionnez l’onglet Network Rules.

4. Sélectionnez + Network Rule.

5. Saisissez le nom de la règle réseau.

6. Sélectionnez le schéma de la règle réseau. Les règles réseau sont des objets au niveau du schéma.

7. Il est possible d’ajouter un commentaire descriptif pour la règle réseau afin de faciliter l’organisation et la gestion des règles réseau dans le schéma.

8. Dans le menu déroulant Type, sélectionnez le type d’identificateur défini dans la règle réseau. Le type Host Port n’est pas une option valide pour les règles réseau utilisées avec des politiques réseau.

9. Dans la liste déroulante Mode, sélectionnez Ingress ou Internal Stage. Le mode Egress n’est pas une option valide pour les règles réseau utilisées avec des politiques réseau.

10. Saisissez une liste d’identificateurs séparés par des virgules qui seront autorisés ou bloqués lorsque la règle réseau est ajoutée à une politique réseau. Les identificateurs de cette liste doivent tous être du type spécifié dans la liste déroulante Type.

11. Sélectionnez Create Network Rule.

SQL:

Un administrateur peut exécuter la commande CREATE NETWORK RULE pour créer une nouvelle règle de réseau, en spécifiant une liste d’identificateurs de réseau ainsi que le type de ces identifiants.

Par exemple, pour utiliser un rôle personnalisé afin de créer une règle de réseau qui peut être utilisée pour autoriser ou bloquer le trafic provenant d’une série d’adresses IP :

GRANT USAGE ON DATABASE securitydb TO ROLE network_admin;
GRANT USAGE ON SCHEMA securitydb.myrules TO ROLE network_admin;
GRANT CREATE NETWORK RULE ON SCHEMA securitydb.myrules TO ROLE network_admin;
USE ROLE network_admin;

CREATE NETWORK RULE cloud_network TYPE = IPV4 VALUE_LIST = ('47.88.25.32/27');

Copy

Modification d’une règle réseau¶

Vous pouvez modifier la règle réseau en utilisant Snowsight ou SQL.

Snowsight:

1. Connectez-vous à Snowsight.

2. Sélectionnez Admin » Security.

3. Sélectionnez l’onglet Network Rules.

4. Recherchez la règle réseau, sélectionnez le bouton …, puis Edit.

5. Modifiez la règle réseau selon vos besoins.

6. Sélectionnez Update Network Rule.

SQL:

Exécutez une instruction ALTER NETWORK RULE.

Créer une politique réseau¶

Seuls les administrateurs de sécurité (c’est-à-dire, les utilisateurs ayant le rôle SECURITYADMIN) ou ayant un rôle supérieur ou un rôle avec le privilège CREATE NETWORK POLICY peuvent créer des stratégies réseau. La propriété d’une politique réseau peut être transférée à un autre rôle.

Vous pouvez créer une politique réseau via Snowsight ou SQL :

Snowsight:

1. Connectez-vous à Snowsight.

2. Sélectionnez Admin » Security.

3. Sélectionnez l’onglet Network Policies.

4. Sélectionnez + Network Policy.

5. Saisissez le nom de la politique réseau.

6. Il est possible de saisir un commentaire descriptif.

7. Pour ajouter une règle réseau à la liste d’autorisations, sélectionnez Allowed, puis Select rule. Vous pouvez ajouter plusieurs règles réseau à la liste d’autorisations en sélectionnant de nouveau Select rule.

8. Pour ajouter une règle réseau à la liste de blocages, sélectionnez Blocked, puis Select rule. Vous pouvez ajouter plusieurs règles réseau à la liste de blocages en sélectionnant de nouveau Select rule.

9. Sélectionnez Create Network Policy.

SQL:

Exécuter une instruction CREATE NETWORK POLICY.

Identification des politiques réseau dans votre compte¶

Vous pouvez identifier les politiques réseau de votre compte via Snowsight ou SQL.

Snowsight:

1. Connectez-vous à Snowsight.

2. Sélectionnez Admin » Security.

3. Sélectionnez l’onglet Network Policies.

SQL:

Effectuez au choix :

• Appelez la fonction de table Information Schema POLICY_REFERENCES.

• Interrogez POLICY_REFERENCES ou NETWORK_POLICIES la vue Account Usage.

• Exécutez la commande SHOW PARAMETERS comme suit :

  SHOW PARAMETERS LIKE 'network_policy' IN ACCOUNT;
  

  Copy

Modifier une politique réseau¶

Vous pouvez ajouter ou supprimer des règles réseau dans la liste d’autorisations et dans la liste de blocages d’une politique réseau existante à l’aide de Snowsight ou de SQL. Si vous modifiez une politique réseau qui utilise les paramètres ALLOWED_IP_LIST et BLOCKED_IP_LIST au lieu d’une règle réseau, vous devez utiliser SQL pour modifier la politique réseau.

Snowsight:

1. Connectez-vous à Snowsight.

2. Sélectionnez Admin » Security.

3. Sélectionnez l’onglet Network Policies.

4. Recherchez la politique réseau, sélectionnez le bouton …, puis Edit.

5. Pour ajouter une règle réseau à la liste d’autorisations, sélectionnez Allowed, puis Select rule. Vous pouvez ajouter plusieurs règles réseau à la liste d’autorisations en sélectionnant de nouveau Select rule.

6. Pour ajouter une règle réseau à la liste de blocages, sélectionnez Blocked, puis Select rule. Vous pouvez ajouter plusieurs règles réseau à la liste de blocages en sélectionnant de nouveau Select rule.

7. Pour supprimer une règle réseau de la liste d’autorisations ou de la liste de blocages de la politique réseau :

   1. Sélectionnez Allowed ou Blocked.

   2. Recherchez la règle réseau dans la liste et sélectionnez X pour la supprimer.

SQL:

Utilisez la commande ALTER NETWORK POLICY pour ajouter ou supprimer des règles réseau dans une politique réseau existante.

Lors de l’ajout d’une règle réseau à la liste d’autorisations ou à la liste de blocages, vous pouvez soit remplacer toutes les règles réseau existantes de la liste, soit ajouter la nouvelle règle tout en conservant la liste existante. Les exemples suivants illustrent chacune de ces options :

• Utilisez la clause SET pour remplacer les règles réseau de la liste de blocages par une nouvelle règle réseau nommée other_network :

  ALTER NETWORK POLICY my_policy SET BLOCKED_NETWORK_RULE_LIST = ( 'other_network' );
  

  Copy

• Utilisez la clause ADD pour ajouter une seule règle réseau à la liste d’autorisations d’une politique réseau existante. Les règles de réseau précédemment ajoutées à la liste autorisée de la politique restent en vigueur.

  ALTER NETWORK POLICY my_policy ADD ALLOWED_NETWORK_RULE_LIST = ( 'new_rule' );
  

  Copy

Vous pouvez également supprimer une règle réseau d’une liste existante sans remplacer la liste toute entière. Par exemple, pour supprimer une règle réseau de la liste de blocages d’une politique réseau :

ALTER NETWORK POLICY my_policy REMOVE BLOCKED_NETWORK_RULE_LIST = ( 'other_network' );

Copy

Activation d’une politique réseau pour votre compte¶

L’activation d’une politique réseau pour un compte entraîne l’application de la politique pour tous les utilisateurs du compte.

Seuls les administrateurs de sécurité (c’est-à-dire, les utilisateurs ayant le rôle SECURITYADMIN) ou ayant un rôle supérieur ou un rôle avec le privilège ATTACH POLICY global peuvent activer une politique réseau pour un compte.

Une fois que la politique est associée à votre compte, Snowflake restreint l’accès à votre compte en fonction de la liste d’autorisations et de la liste de blocages. Tout utilisateur qui tente de se connecter à partir d’une origine réseau restreinte par les règles se voit refuser l’accès. De plus, lorsqu’une politique réseau est associée à votre compte, les utilisateurs restreints qui sont déjà connectés à Snowflake ne peuvent pas exécuter de requêtes supplémentaires.

Vous pouvez créer plusieurs politiques réseau. Toutefois, une seule politique réseau peut être associée à un compte à un moment donné. L’association d’une politique réseau à votre compte supprime automatiquement la politique réseau actuellement associée (le cas échéant).

Notez que votre adresse IP actuelle ou votre identificateur de point de terminaison actuel doit être inclus(e) dans la liste d’autorisations de la politique. Sinon, lorsque vous activez la politique, Snowflake renvoie une erreur. De plus, votre identificateur actuel ne peut pas être inclus dans la liste de blocages.

Si vous souhaitez déterminer s’il existe déjà une politique réseau au niveau du compte avant d’en activer une nouvelle, voir Détermination d’une politique réseau activée.

Vous pouvez activer une politique réseau pour votre compte via Snowsight ou SQL :

Snowsight:

1. Sélectionnez Admin » Security.

2. Sélectionnez l’onglet Network Policies.

3. Recherchez la politique réseau, sélectionnez le bouton …, puis Activate.

4. Sélectionnez Activate policy.

SQL:

Exécutez l’instruction ALTER ACCOUNT pour définir le paramètre NETWORK_POLICY pour le compte. Par exemple :

ALTER ACCOUNT SET NETWORK_POLICY = my_policy;

Copy

Activation de politiques réseau pour des utilisateurs individuels¶

Pour appliquer une politique réseau à un utilisateur spécifique de votre compte Snowflake, activez la politique réseau pour cet utilisateur. Une seule politique réseau peut être activée à la fois pour chaque utilisateur. La possibilité d’activer différentes politiques réseau pour différents utilisateurs permet un contrôle granulaire. L’association d’une politique réseau à un utilisateur supprime automatiquement la politique réseau actuellement associée (le cas échéant).

Une fois que la politique est associée à l’utilisateur, Snowflake restreint l’accès à l’utilisateur en fonction de la liste d’autorisations et de la liste de blocages. Si l’utilisateur avec une politique réseau au niveau de l’utilisateur activée tente de se connecter à partir d’un emplacement réseau restreint par les règles, l’utilisateur se voit refuser l’accès à Snowflake.

De plus, lorsqu’une politique réseau au niveau de l’utilisateur est associée à l’utilisateur et que l’utilisateur est déjà connecté à Snowflake, si l’emplacement réseau de l’utilisateur ne correspond pas aux règles de la politique réseau au niveau de l’utilisateur, Snowflake empêche l’utilisateur d’exécuter d’autres requêtes.

Si vous souhaitez déterminer s’il existe déjà une politique réseau au niveau de l’utilisateur avant d’en activer une nouvelle, voir Détermination d’une politique réseau activée.

Pour activer une politique réseau pour un seul utilisateur, exécutez la commande ALTER USER pour définir le paramètre NETWORK_POLICY pour l’utilisateur. Par exemple, exécutez :

ALTER USER joe SET NETWORK_POLICY = my_policy;

Activation de politiques réseau pour les intégrations de sécurité¶

Certaines intégrations de sécurité prennent en charge l’activation d’une politique réseau pour contrôler le trafic réseau régi par cette intégration. Ces intégrations de sécurité ont un paramètre NETWORK_POLICY qui active la politique réseau pour l’intégration. Actuellement, SCIM et Snowflake OAuth prennent en charge les politiques réseau au niveau de l’intégration.

Par exemple, vous pouvez activer une politique réseau lors de la création d’une nouvelle intégration de sécurité OAuth Snowflake. La politique réseau restreint alors l’accès aux requêtes qui tentent de s’authentifier.

CREATE SECURITY INTEGRATION oauth_kp_int
  TYPE = oauth
  ENABLED = true
  OAUTH_CLIENT = custom
  OAUTH_CLIENT_TYPE = 'CONFIDENTIAL'
  OAUTH_REDIRECT_URI = 'https://example.com'
  NETWORK_POLICY = mypolicy;

Copy

Vous pouvez exécuter l’instruction ALTER SECURITY INTEGRATION … SET NETWORK_POLICY pour activer une politique réseau pour une intégration de sécurité existante.

Détermination d’une politique réseau activée¶

Vous pouvez déterminer quelle politique réseau est activée au niveau du compte, de l’utilisateur ou de l’intégration.

Compte:

1. Sélectionnez Admin » Security.

2. Sélectionnez l’onglet Network Policies.

3. Triez la colonne Status pour afficher les politiques réseau.

   La colonne Status affiche les politiques réseau actives et inactives. Sélectionnez la valeur de colonne pour afficher plus de détails sur la politique réseau, modifier la politique et supprimer la politique réseau. Vous pouvez activer et désactiver une politique réseau définie sur votre compte.

Vous pouvez également appeler la fonction POLICY_REFERENCES et spécifier une politique réseau. Les valeurs dans les colonnes ref_entity_name et ref_entity_domain pour une ligne individuelle indiquent l’objet sur lequel la politique réseau est définie.

Création d’une politique réseau via Classic Console¶

Seuls les administrateurs de sécurité (c’est-à-dire, les utilisateurs ayant le rôle SECURITYADMIN) ou ayant un rôle supérieur ou un rôle avec le privilège CREATE NETWORK POLICY peuvent créer des stratégies réseau. La propriété d’une politique réseau peut être transférée à un autre rôle.

1. Cliquez sur Account » Policies. La page Policies apparaît.

2. Cliquez sur le bouton Create. La boîte de dialogue Create Network Policy apparaît.

3. Dans le champ Name, saisissez un nom pour la politique réseau.

4. Dans le champ Allowed IP Addresses, saisissez une ou plusieurs adresses IPv4 séparées par des virgules qui sont autorisées à accéder à ce compte Snowflake.

   Note

   Pour bloquer toutes les adresses IP, à l’exception d’un ensemble d’adresses spécifiques, il suffit de définir une liste d’adresses IP autorisées. Snowflake bloque automatiquement toutes les adresses IP non incluses dans la liste autorisée.

5. Dans le champ Blocked IP Addresses, saisissez éventuellement une ou plusieurs adresses IPv4 auxquelles l’accès à ce compte Snowflake est refusé, séparées par des virgules. Notez que ce champ n’est pas obligatoire et est utilisé principalement pour refuser des adresses spécifiques dans une plage d’adresses de la liste autorisée.

6. Saisissez d’autres informations pour la politique réseau, si nécessaire, et cliquez sur Finish.

Modification d’une politique réseau via Classic Console¶

Si vous utilisez Classic Console, procédez comme suit pour modifier une politique réseau :

1. Cliquez sur Account » Policies.

2. Cliquez sur une politique pour la sélectionner et remplissez le panneau latéral de droite.

3. Cliquez sur le bouton Edit dans le panneau de droite.

4. Modifiez les champs si nécessaire :

   • Pour supprimer une adresse IP de la liste Allowed IP Addresses ou Blocked IP Addresses, cliquez sur x à côté de l’entrée.

   • Pour ajouter une adresse IP à l’une ou l’autre liste, saisissez une ou plusieurs adresses IPv4 séparées par des virgules dans le champ approprié, puis cliquez sur le bouton Add.

5. Cliquez sur Save.

Activation d’une politique réseau via Classic Console¶

Si vous utilisez Classic Console, vous pouvez appliquer une politique réseau à tous les utilisateurs de votre compte Snowflake en activant la politique réseau pour votre compte.

1. Cliquez sur Account » Policies.

2. Cliquez sur une politique pour la sélectionner et remplissez le panneau latéral de droite.

3. Cliquez sur le bouton Activate dans le panneau de droite.