ユーザー管理¶

パスワードポリシーとパスワードのベストプラクティス¶

Snowflakeは、パスワードとパスワードポリシーに関する次のベストプラクティスを推奨しています。

カスタムパスワードポリシーを作成して適用する

アカウントまたはユーザーにパスワードポリシーが設定されると、パスワードポリシーオブジェクトが適用されます。

これらのプロパティを、内部セキュリティのニーズに合った値に設定します。詳細については、このトピックの ステップ4: パスワードポリシーを作成する をご参照ください。

• PASSWORD_HISTORY は、ユーザーがパスワードを頻繁に再利用できないようにし、ユーザーのパスワードを特定するブルートフォース攻撃を防ぐのに役立ちます。

• PASSWORD_MIN_AGE_DAYS を使用して、ユーザーに新しいパスワードの使用を要求します。0という値は推奨されません。ユーザーがパスワードを変更するとパスワード履歴が使い果たされ、元のパスワード値がすぐに再利用される可能性があるためです。

ユーザーがSnowflakeへの初回または次回のログイン時にパスワードポリシーを満たすようにパスワードを変更することをリクエストするには、 ALTER USER コマンドを使用してユーザーの MUST_CHANGE_PASSWORD プロパティを TRUE に設定します。

詳細については、 ステップ6: パスワードの変更をリクエストする （このトピック内）をご参照ください。

強力なパスワードをリクエストする

アカウントレベルのパスワードポリシーを定義して、強力なパスワードをリクエストします。

強力なパスワードは、少なくとも8文字で構成され、大文字と小文字、特殊文字（例: ! や *）、および数字の組み合わせが含まれます。

MFA

セキュリティを強化するには 多要素認証（MFA） を使用します。

SCIM の使用

ユーザーが SCIM API リクエストでSnowflakeにアクセスするためのパスワードを設定できます。SCIM 管理者とユーザー管理者は、IDプロバイダーで、 または Snowflakeのパスワードポリシーを使用して、Snowflakeにアクセスするためのユーザーパスワードを管理することを選択する必要があります。

現在、 SCIM でSnowflakeにプロビジョニングされたユーザーには、 デフォルトのSnowflakeパスワードポリシー を満たすパスワードが必要です。このパスワードポリシー機能を使用することを選択した場合は、この要件を回避できます。

デフォルトのパスワードポリシー要件を回避するには、 パスワードポリシーの使用 セクション（このトピック内）の手順に従います。

パスワードのモニター

パスワードをモニターするには、

• Snowflake Account Usage USERS ビューにクエリを実行して、特定のユーザーに対して HAS_PASSWORD 列の値が TRUE を返すかどうかを判断します。

• Snowflake Account Usage LOGIN_HISTORY ビューにクエリを実行し、 FIRST_AUTHENTICATION_FACTOR 列を評価します。ユーザーがSnowflakeにアクセスするためにパスワードを必要としない場合は、 ALTER USER コマンドを実行して password プロパティを NULL に設定します。

Snowflakeが提供するパスワードポリシー¶

パスワードには、空白文字や感嘆符（!）、パーセント記号（%）、アスタリスク（*）などの特殊文字（英数字以外の文字）を含め、256文字までの大文字と小文字が区別される文字列を使用できます。

ユーザーを最初に作成する ときに、以下で説明する最小要件を満たさないユーザーに対して弱いパスワードを設定することができます（例： 'test12345'）。この機能により、管理者は作成プロセス中に、ユーザーの汎用パスワードを使用するオプションを利用できるようになります。このパスウェイを選択した場合は、 MUST_CHANGE_PASSWORD プロパティを TRUE に設定して、ユーザーが最初のログインを含むSnowflakeへの次回のログイン時に、パスワードを変更するように要求することを 強く お勧めします。

さらに、Snowflakeでは、初期パスワードなしでのユーザー作成を許可し、新しいユーザーがシステムにログインできないようにするビジネスプロセスをサポートします。これが発生した場合、ユーザーの PASSWORD プロパティ値は NULL です。ただし、一般的な規則としてSnowflakeでは、ユーザーが初期パスワードと合わせて作成されることを想定しています。

既存のパスワードをリセット （例: 'test12345' を 'q@-*DaC2yjZoq3Re4JYX' に変更）するコンテキストの場合、Snowflakeは、 ALTER USER コマンドとウェブインターフェイスを使用する際に、最小要件として次のパスワードポリシーを適用します。

• 少なくとも8文字の長さが必要です。

• 少なくとも数字1つを含める必要があります。

• 少なくとも1つの大文字と1つの小文字を含める必要があります。

Snowflakeはできるだけ強力なパスワードを作成するために、次のガイドラインを 強く 推奨しています。

• Snowflake用に一意のパスワードを作成します（つまり、他のシステムまたはアカウントからのパスワードを再利用しない）。

• 8文字以上を使用してください。

• 複数のランダムな大文字、小文字混合の文字、数字、および空白を含む特殊文字を含めます。

• 推測しやすい一般的なパスワード、名前、数字、または日付は使用しません。

最後に、ユーザーログインの最高レベルのセキュリティを構成するには、ユーザーを MFA に登録する ことをお勧めします。

アカウントとユーザーのカスタムパスワードポリシー¶

カスタムパスワードポリシーは、Snowflakeへの認証のためにパスワードを作成およびリセットするときに満たす必要がある要件を指定する、スキーマレベルのオブジェクトです。これには、パスワードを正常に入力するための試行回数や、パスワードを再試行できるまでの分数が含まれます。（つまり、「ロックアウト」時間）。

パスワードのパスワードポリシー要件には、ユーザーとクライアントがSnowflakeへの認証セキュリティ要件を満たすための、大文字または小文字、特殊文字、数字、およびパスワードの長さが含まれます。強力なパスワードをリクエストするパスワードポリシーは、セキュリティのガイドラインと規制を満たすために役立ちます。

Snowflakeは、Snowflakeアカウントおよび個別ユーザーのパスワードポリシーの設定をサポートしています。Snowflakeアカウントまたはユーザーに対して一度に設定できるパスワードポリシーは1つだけです。Snowflakeアカウントにパスワードポリシーが存在し、同じSnowflakeアカウントのユーザーに別のパスワードポリシーが設定されている場合は、ユーザーレベルのパスワードポリシーがアカウントレベルのパスワードポリシーよりも優先されます。

パスワードポリシーは、Snowflakeアカウントに設定された新しいパスワードに適用されます。既存のパスワードを持つユーザーがパスワードポリシーの要件を満たしていることを確認するには、 ステップ6: パスワードの変更をリクエストする （このトピック内）に示すように、Snowflakeへの次回のログイン時にパスワードを変更するようユーザーにリクエストします。

パスワードポリシーの使用¶

次のステップは、Snowflakeでパスワードポリシーを定義および設定するための代表的なガイドです。

これらのステップは、 policy_admin という名前のカスタムロールがパスワードポリシーを所有し（つまり、パスワードポリシーに対する OWNERSHIP 権限を持っている）、アカウントまたはユーザーにパスワードポリシーを設定する責任がある（つまり、 ステップ2 に示すように APPLY PASSWORD POLICY グローバル権限を持っている）ことを前提としています。

USE ROLE SECURITYADMIN;

GRANT USAGE ON DATABASE security TO ROLE policy_admin;

GRANT USAGE ON SCHEMA security.policies TO ROLE policy_admin;

GRANT CREATE PASSWORD POLICY ON SCHEMA security.policies TO ROLE policy_admin;

GRANT APPLY PASSWORD POLICY ON ACCOUNT TO ROLE policy_admin;

USE ROLE SECURITYADMIN;
GRANT ROLE policy_admin TO USER jsmith;

パスワードポリシーの管理¶

Snowflakeは、パスワードポリシーを管理するために、次の権限と DDL のセットを提供します。

Snowflakeは、パスワードポリシーオブジェクトを管理するために次の DDL コマンドを提供します。

• CREATE PASSWORD POLICY

• ALTER PASSWORD POLICY

• DROP PASSWORD POLICY

• SHOW PASSWORD POLICIES

• DESCRIBE PASSWORD POLICY

スキーマ内のオブジェクトに対して操作を実行するには、親データベースとスキーマに対する USAGE 権限が必要です。

DDL コマンド、操作、および権限の概要¶

次のテーブルは、パスワードポリシー DDL 操作と必要な権限の関係をまとめたものです。

スキーマ内のオブジェクトに対して操作を実行するには、親データベースとスキーマに対する USAGE 権限が必要です。

Snowsightの使用¶

1. Snowsight にサインインします。

2. Admin » Users & Roles を選択します。

3. + User を選択します。

4. User Name フィールドに、ユーザーの一意の識別子を入力します。ログイン名を指定しない限り、ユーザーはこの識別子を使用してSnowflakeにサインインします。

5. オプションで、 Email フィールドにユーザーのメールアドレスを指定します。

6. Password および Confirm Password フィールドに、ユーザーのパスワードを入力します。

7. オプションで、ユーザーを作成した理由を説明するコメントを追加します。

8. Force user to change password on first time login チェックボックスを選択したままにしておくと、ユーザーがサインインする際にパスワードを強制的に変更します。

9. オプションで、 Advanced User Options を選択して、ユーザーに関する追加情報を指定します。

   • Snowflakeへのサインイン時に、 User Name の代わりに使用する Login Name。

   • サインイン後に表示される Display Name。

   • ユーザープロファイルを完結する First Name および Last Name。

   • Default Role、 Default Warehouse、および Default Namespace。

10. Create User を選択します。

従来のコンソールの使用¶

1. Account » Users を選択します。

2. Create を選択します。

3. User Name フィールドに、ユーザーの一意の識別子を入力します。

   注釈

   ユーザー名は、Snowflakeのユーザーの一意の識別子です。ユーザーのログイン名（つまり、Snowflakeにログインするときにユーザーが入力する名前）では ありません 。Snowflakeでは、必要に応じて、ユーザーが異なるユーザー名とログイン名を持つことができます。次の画面でユーザーのログイン名を指定します。

4. Password および Confirm Password フィールドに、ユーザーのパスワードを入力します。

5. Force Password Change チェックボックスを選択したままにして、ユーザーに次回のログイン時にパスワードの変更を強制します。それ以外の場合は、チェックボックスをオフにします。

6. Next を選択します。 Advanced 画面が開きます。

7. オプションで、ユーザーの Login Name、 Display Name、および個人情報を入力します。

   注釈

   ユーザーはSnowflakeにログインするためにログイン名が必要です。ログイン名を明示的に指定しない場合、Snowflakeはログイン名としてユーザー名を使用します。

8. Next を選択します。 Preferences 画面が開きます。

9. オプションで、ユーザーのデフォルトを入力します。

   • 仮想ウェアハウス

   • 名前空間の形式: db_name または db_name.schema_name

   • ロール

10. Finish を選択します。Snowflakeは成功メッセージを表示します。

SQLの使用¶

CREATE USER コマンドを使用してユーザーを作成します。

Pythonの使用¶

ユーザーを作成するには、 UserCollection.create Python API を使用します。

Snowsightの使用¶

1. Snowsight にサインインします。

2. Admin » Users & Roles を選択します。

3. パスワードを変更するユーザーを探し、 » Reset Password を選択します。

4. ユーザーの新しいパスワードを入力し、パスワードを確認します。

5. Update を選択します。

従来のコンソールの使用¶

1. Account » Users を選択します。

2. ユーザー行をクリックして選択し、 Reset Password を選択します。 Reset Password ダイアログが開きます。

3. ユーザーの新しいパスワードを入力し、パスワードを確認します。

4. Force Password Change チェックボックスを選択したままにして、ユーザーに次回のログイン時にパスワードの変更を強制します。それ以外の場合は、チェックボックスをオフにします。

5. Finish を選択します。

SQLの使用¶

ALTER USER コマンドを使用して、ユーザーのパスワードを入力します。例：

ALTER USER janesmith SET PASSWORD = 'H8MZRqa8gEe/kvHzvJ+Giq94DuCYoQXmfbb$Xnt' MUST_CHANGE_PASSWORD = TRUE;

Copy

または、 ALTER USER ... RESET PASSWORD 構文を使用して、 URL を生成し、ユーザーと共有します。URL は、ユーザーが新しいパスワードを入力できるウェブページを開きます。例：

ALTER USER janesmith RESET PASSWORD;

Copy

注釈

• 生成された URL は1回の使用に対してのみ有効であり、4時間後に有効期限が切れます。

• ALTER USER ... RESET PASSWORD ステートメントを実行しても、現在のパスワードは無効になりません。ユーザーは、新しいパスワードが設定されるまで、古いパスワードを引き続き使用できます。

Pythonの使用¶

Snowflake Python APIs の UserResource.create_or_alter メソッドは、現在、既存ユーザーの password の変更に対応していません。この方法でパスワードをセットできるのは、新規ユーザーを作成するときだけです。

Snowsightの使用¶

1. Snowsight にサインインします。

2. Admin » Users & Roles を選択します。

3. 無効にするユーザーを探し、 » Disable User を選択します。

4. 開いた確認ダイアログで、 Disable を選択します。

ユーザーを有効にするには、同じステップに従いますが、 Enable User ボタンをクリックします。

従来のコンソールの使用¶

1. Account » Users をクリックします。

2. ユーザー行をクリックして選択し、 Disable User ボタンをクリックします。確認ダイアログが開きます。

3. Yes をクリックして、ユーザーを無効にします。

ユーザーを有効にするには、同じステップに従いますが、 Enable User ボタンをクリックします。

SQLの使用¶

ALTER USER コマンドを使用して、ユーザーを無効または有効にします。例：

• ユーザーを無効にします。

  ALTER USER janesmith SET DISABLED = TRUE;
  

  Copy

• ユーザーを有効にします。

  ALTER USER janesmith SET DISABLED = FALSE;
  

  Copy

Pythonの使用¶

ユーザーを無効または有効にするには、 UserResource.create_or_alter Python API を使用します。例:

• ユーザーを無効にします。

  user_parameters = root.users["janesmith"].fetch()
  user_parameters.disabled = True
  root.users["janesmith"].create_or_alter(user_parameters)
  

  Copy

• ユーザーを有効にします。

  user_parameters = root.users["janesmith"].fetch()
  user_parameters.disabled = False
  root.users["janesmith"].create_or_alter(user_parameters)
  

  Copy

SQLの使用¶

DESCRIBE USER または SHOW USERS コマンドを使用して、1人以上のユーザーに関する情報を表示します。

例:

DESC USER janeksmith;

Pythonの使用¶

ユーザーの情報を取得するには、 UserResource.fetch Python API を使用します。

例:

my_user = root.users["janesmith"].fetch()
print(my_user.to_dict())

アカウントのユーザーをリストするには、 UserCollection.iter Python API を使用します。

例:

users = root.users.iter(like="jane%")
for user in users:
  print(user.name)

Snowsightの使用¶

1. Snowsight にサインインします。

2. Admin » Users & Roles を選択します。

3. 詳細を表示したいユーザーを探します。

   ユーザーログイン名、ステータス、最終ログイン時間、所有ロール、多要素認証 (MFA) の設定の有無を確認できます。ユーザーのコメントがある場合は、 にカーソルを合わせると表示されます。

4. オプションでユーザーを選択すると、既定の設定、ユーザーに付与された権限を持つロール、ユーザーに付与されたロールなどの詳細が表示されます。

Snowsightの使用¶

1. Snowsight にサインインします。

2. Admin » Users & Roles を選択します。

3. 無効にするユーザーを探し、 » Drop を選択します。

4. 開いた確認ダイアログで、 Drop User を選択します。

従来のコンソールの使用¶

1. Account » Users を選択します。

2. ユーザー行をクリックして選択し、 Drop を選択します。確認ダイアログが開きます。

3. Yes を選択してユーザーをドロップします。

SQLの使用¶

DROP USER コマンドを使用してユーザーをドロップします。

DROP USER janesmith;

Pythonの使用¶

ユーザーをドロップするには、 UserResource.drop Python API を使用します。

root.users["janesmith"].drop()