Règles de réseau¶

Identificateurs de réseau pris en charge¶

Les administrateurs doivent pouvoir restreindre l’accès en fonction de l’identificateur de réseau associé à l’origine ou à la destination d’une demande. Les règles de réseau permettent aux administrateurs d’autoriser ou de bloquer les identificateurs de réseau suivants :

Demandes entrantes

• Adresses IPv4

• IDs VPCE de points de terminaison AWS VPC . Les IDs de VPC ne sont pas pris en charge.

• LinkIDs de points de terminaison privés Azure. Exécutez la fonction SYSTEM$GET_PRIVATELINK_AUTHORIZED_ENDPOINTS pour récupérer le LinkID associé à un compte.

Demandes sortantes

Domaines, y compris une plage de ports optionnelle

Chaque règle de réseau contient une liste d’un ou plusieurs identificateurs de réseau du même type. La propriété TYPE de la règle de réseau indique le type d’identificateurs inclus dans la règle. Par exemple, si la propriété TYPE est IPV4, la liste des valeurs de la règle de réseau doit contenir des adresses IPv4 valides ou des plages d’adresses en notation CIDR.

Requêtes entrantes et sortantes¶

Le mode d’une règle de réseau indique si la fonctionnalité Snowflake qui utilise la règle restreint les demandes entrantes ou sortantes.

Création d’une règle de réseau¶

Un administrateur exécute la commande CREATE NETWORK RULE pour créer une nouvelle règle de réseau, en spécifiant une liste d’identificateurs de réseau ainsi que le type de ces identificateurs.

L’administrateur utilise le paramètre MODE pour indiquer si la règle de réseau est utilisée pour restreindre les demandes entrantes ou sortantes. Si l’administrateur n’inclut pas le paramètre MODE , la valeur par défaut est INGRESS, ce qui signifie que la règle de réseau est utilisée par des politiques réseau pour restreindre le trafic réseau entrant vers le service Snowflake.

La création d’une règle de réseau ne définit pas si elle autorise ou bloque les identificateurs de réseau. Les administrateurs spécifient ces restrictions lors de la configuration de la fonction Snowflake qui utilise la règle de réseau.

Exemple : règle de réseau pour la politique réseau

Le code de l’exemple suivant utilise un rôle personnalisé pour créer une règle de réseau qui peut être utilisée pour autoriser ou bloquer le trafic d’une plage d’adresses IP vers le service Snowflake :

CREATE ROLE network_admin;
GRANT USAGE ON DATABASE securitydb TO ROLE network_admin;
GRANT USAGE ON SCHEMA securitydb.myrules TO ROLE network_admin;
GRANT CREATE NETWORK RULE ON SCHEMA securitydb.myrules TO ROLE network_admin;
USE ROLE network_admin;

CREATE NETWORK RULE cloud_network
  MODE = INGRESS
  TYPE = IPV4
  VALUE_LIST = ('47.88.25.32/27');

Modification d’une règle de réseau¶

Le propriétaire d’une règle de réseau peut exécuter la commande ALTER NETWORK RULE pour remplacer les identificateurs de réseau et le commentaire de la règle. Vous ne pouvez pas ajouter ou supprimer des identificateurs de réseau individuels à la règle de réseau ; les identificateurs existants sont perdus lors de l’ajout de nouvelles valeurs.

Le TYPE et le MODE de la règle de réseau ne peuvent pas être modifiés.

Par exemple, le propriétaire d’une règle de réseau peut les modifier de manière à ce qu’ils puissent être utilisés pour autoriser ou bloquer le trafic provenant d’une nouvelle plage d’adresses IPv4 :

ALTER NETWORK RULE cloud_network SET VALUE_LIST = ('47.88.25.32/27');

Le propriétaire de la règle de réseau peut également supprimer tous les identificateurs de réseau de la règle :

ALTER NETWORK RULE cloud_network UNSET VALUE_LIST;

Réplication des règles de réseau¶

Les règles de réseau sont des objets de niveau schéma et sont répliquées avec la base de données dans laquelle elles sont contenues.

Pour obtenir des informations sur la réplication des politiques réseau qui utilisent des règles de réseau, consultez Réplication des politiques réseau.

Privilèges et commandes¶