Politiques réseau¶

Vue d’ensemble¶

Par défaut, Snowflake permet aux utilisateurs de se connecter au service à partir de n’importe quelle adresse IP d’ordinateur ou d’appareil. Un administrateur de sécurité (ou une personne de niveau supérieur) peut créer une politique réseau pour autoriser ou refuser l’accès à une seule adresse IP ou à une liste d’adresses. Les politiques réseau ne prennent actuellement en charge que les adresses Internet Protocol version 4 (c’est-à-dire IPv4).

Un administrateur disposant des autorisations suffisantes peut créer un nombre illimité de politiques réseau. Une politique réseau n’est pas active tant qu’elle n’est pas activée au niveau du compte ou de l’utilisateur individuel. Pour activer une politique réseau, modifiez les propriétés du compte ou de l’utilisateur et affectez la politique réseau à l’objet. Une seule politique réseau peut être affectée au compte ou à un utilisateur spécifique à la fois.

Création de politiques réseau¶

Vous pouvez créer une politique réseau en utilisant Snowsight, l”Classic Console, ou SQL :

Snowsight

1. Cliquez sur Admin » Security » Network Policies.

2. Cliquez sur le bouton + Network Policy dans le coin supérieur droit de la page. La boîte de dialogue New network policy s’ouvre.

3. Spécifiez les propriétés suivantes :

   Propriété	Description
   Nom de la politique	Identificateur de la politique réseau ; doit être unique pour votre compte. L’identificateur doit commencer par un caractère alphabétique et ne peut pas contenir d’espaces ou de caractères spéciaux à moins que toute la chaîne d’identificateur soit délimitée par des guillemets doubles (p. ex. "My object"). Les identificateurs entre guillemets doubles sont également sensibles à la casse. Pour plus de détails, voir Exigences relatives à l’identificateur.
   Adresses IP autorisées	Liste d’une ou plusieurs adresses IPv4 séparées par des virgules et autorisées à accéder à votre compte Snowflake. C’est ce qu’on appelle la liste autorisée. Snowflake bloque automatiquement toutes les adresses IP non incluses dans la liste autorisée. Chaque adresse IP peut couvrir une plage d’adresses en utilisant la notation CIDR (Classless Inter-Domain Routing). Pour plus d’informations, voir Notation CIDR (dans cette rubrique). Pour des exemples, voir Exemples de listes d’adresses autorisées / bloquées (dans cette rubrique).
   Adresses IP bloquées	Liste d’une ou plusieurs adresses IPv4 séparées par des virgules et interdites d’accéder à votre compte Snowflake. C’est ce qu’on appelle la liste bloquée. Définissez ce paramètre uniquement lorsque vous autorisez l’accès à une plage d’adresses IP spécifiées dans la liste Allowed IP Addresses et que vous souhaitez refuser l’accès à une ou plusieurs adresses IP de la plage. Chaque adresse IP peut couvrir une plage d’adresses en utilisant la notation CIDR (Classless Inter-Domain Routing). Pour plus d’informations, voir Notation CIDR (dans cette rubrique). Pour des exemples, voir Exemples de listes d’adresses autorisées / bloquées (dans cette rubrique).
   Commentaire	Spécifie un commentaire pour la politique réseau.

4. Cliquez sur le bouton Create network policy.

Classic Console

1. Cliquez sur Account » Policies. La page Policies apparaît.

2. Cliquez sur le bouton Create. La boîte de dialogue Create Network Policy apparaît.

3. Dans le champ Name, saisissez un nom pour la politique réseau.

4. Dans le champ Allowed IP Addresses, saisissez une ou plusieurs adresses IPv4 séparées par des virgules qui sont autorisées à accéder à ce compte Snowflake.

   Note

   Pour bloquer toutes les adresses IP, à l’exception d’un ensemble d’adresses spécifiques, il suffit de définir une liste d’adresses IP autorisées. Snowflake bloque automatiquement toutes les adresses IP non incluses dans la liste autorisée.

5. Dans le champ Blocked IP Addresses, saisissez éventuellement une ou plusieurs adresses IPv4 auxquelles l’accès à ce compte Snowflake est refusé, séparées par des virgules. Notez que ce champ n’est pas obligatoire et est utilisé principalement pour refuser des adresses spécifiques dans une plage d’adresses de la liste autorisée.

   Prudence

   • Lorsqu’une politique réseau inclut des valeurs dans les listes d’adresses IP autorisées et bloquées, Snowflake applique d’abord la liste d’adresses :emph:`` IP bloquées.

   • N’ajoutez pas 0.0.0.0/0 à la liste d’adresses IP bloquées. 0.0.0.0/0 est interprété comme étant « toutes les adresses IPv4 sur la machine locale ». Étant donné que Snowflake résout cette liste en premier, cela bloquerait votre propre accès. Notez également qu’il n’est pas nécessaire d’inclure cette adresse IP dans liste d’adresses IP autorisées.

6. Saisissez d’autres informations pour la politique réseau, si nécessaire, et cliquez sur Finish.

SQL

Exécuter une instruction CREATE NETWORK POLICY.

Affichage des politiques réseau¶

Visualisez les informations relatives aux politiques réseau par le biais de Snowsight, l”Classic Console, ou en utilisant SQL :

Snowsight

Select Admin » Security » Network Policies » <nom_politique>.

Classic Console

Cliquez sur Account » Policies » <nom_politique>.

SQL

Exécutez l’une des instructions suivantes :

• SHOW NETWORK POLICIES

• DESCRIBE NETWORK POLICY

Activation d’une politique réseau pour votre compte¶

Pour appliquer une politique réseau à tous les utilisateurs de votre compte Snowflake, activez la politique réseau pour votre compte.

Une fois que la politique est associée à votre compte, Snowflake restreint l’accès à votre compte en fonction de la liste d’adresses IP autorisées et de la liste d’adresses IP bloquées. Tout utilisateur qui tente de se connecter à partir d’une adresse IP restreinte par les règles se voit refuser l’accès. De plus, lorsqu’une politique réseau est associée à votre compte, les utilisateurs restreints qui sont déjà connectés à Snowflake ne peuvent pas exécuter de requêtes supplémentaires.

Un administrateur de sécurité (ou une personne de niveau supérieur) peut créer plusieurs politiques réseau. Toutefois, une seule politique réseau peut être associée à un compte à un moment donné. L’association d’une politique réseau à votre compte supprime automatiquement la politique réseau actuellement associée (le cas échéant).

Notez que votre adresse IP actuelle doit être incluse dans la liste des adresses IP autorisées dans la politique. Sinon, lorsque vous activez la politique, Snowflake renvoie une erreur. De plus, votre adresse IP actuelle ne peut pas être incluse dans la liste des adresses IP bloquées.

Vous pouvez associer une politique réseau à votre compte en utilisant Snowsight, l”Classic Console, ou SQL :

Snowsight

1. Cliquez sur Admin » Security » Network Policies.

2. Cliquez sur le bouton Activate Policy à droite du nom de la politique que vous activez.

Classic Console

1. Cliquez sur Account » Policies.

2. Cliquez sur une politique pour la sélectionner et remplissez le panneau latéral de droite.

3. Cliquez sur le bouton Activate dans le panneau de droite.

SQL

Exécutez une instruction ALTER ACCOUNT activant la politique réseau à l’aide du paramètre de compte NETWORK_POLICY.

Activation de politiques réseau pour des utilisateurs individuels¶

Pour appliquer une politique réseau à un utilisateur spécifique de votre compte Snowflake, activez la politique réseau pour cet utilisateur. Une seule politique réseau peut être activée pour chaque utilisateur à la fois ; cependant, différentes politiques réseau peuvent être activées pour différents utilisateurs pour un contrôle granulaire. L’association d’une politique réseau à un utilisateur supprime automatiquement la politique réseau actuellement associée (le cas échéant).

Une fois que la politique est associée à l’utilisateur, Snowflake restreint l’accès à l’utilisateur en fonction de la liste d’adresses IP autorisées et de la liste d’adresses IP bloquées. Si l’utilisateur avec une politique réseau au niveau utilisateur activée tente de se connecter à partir d’une adresse IP limitée par des règles, l’utilisateur se voit refuser l’accès à Snowflake.

De plus, lorsqu’une politique réseau au niveau utilisateur est associée à l’utilisateur et que l’utilisateur est déjà connecté à Snowflake, si l’adresse IP de l’utilisateur ne correspond pas aux règles de la politique réseau au niveau utilisateur, Snowflake empêche l’utilisateur d’exécuter d’autres requêtes.

Pour activer une politique réseau pour un seul utilisateur, définissez le paramètre NETWORK_POLICY pour l’utilisateur à l’aide de ALTER USER.

Modification des politiques réseau¶

Les politiques réseau peuvent être modifiées via Snowsight, l”Classic Console, ou en utilisant SQL, spécifiquement pour ajouter ou supprimer des adresses IP de la liste des adresses autorisées et bloquées.

Pour obtenir une description des propriétés des politiques réseau, voir Création de politiques réseau (dans ce chapitre).

Snowsight

1. Cliquez sur Admin » Security » Network Policies.

2. Cliquez sur le bouton d’actions (…) dans la ligne correspondant à un politique réseau » Edit Policy. La boîte de dialogue Edit Policy s’ouvre.

3. Modifiez l’une des propriétés.

4. Cliquez sur le bouton Save changes.

Classic Console

1. Cliquez sur Account » Policies.

2. Cliquez sur une politique pour la sélectionner et remplissez le panneau latéral de droite.

3. Cliquez sur le bouton Edit dans le panneau de droite.

4. Modifiez les champs si nécessaire :

   • Pour supprimer une adresse IP de la liste Allowed IP Addresses ou Blocked IP Addresses, cliquez sur x à côté de l’entrée.

   • Pour ajouter une adresse IP à l’une ou l’autre liste, saisissez une ou plusieurs adresses IPv4 séparées par des virgules dans le champ approprié, puis cliquez sur le bouton Add.

5. Cliquez sur Save.

SQL

Exécutez une instruction ALTER NETWORK POLICY.

Identification d’une politique réseau activée au niveau du compte ou de l’utilisateur¶

Pour déterminer si une politique réseau est définie sur votre compte ou pour un utilisateur spécifique, exécutez la commande SHOW PARAMETERS.

Compte

SHOW PARAMETERS LIKE 'network_policy' IN ACCOUNT;

Copy

Utilisateur

SHOW PARAMETERS LIKE 'network_policy' IN USER <username>;

Copy

Par exemple :

SHOW PARAMETERS LIKE 'network_policy' IN USER jsmith;

Copy