ネットワークポリシー¶

概要¶

デフォルトでは、Snowflakeはユーザーが任意のコンピューターまたはデバイス IP アドレスからサービスに接続できるようにします。セキュリティ管理者（またはそれ以上）は、単一のIPアドレスまたはアドレスのリストへのアクセスを許可または拒否するネットワークポリシーを作成できます。ネットワークポリシーは現在、インターネットプロトコルバージョン4（つまり、 IPv4）アドレスのみをサポートしています。

十分な権限を持つ管理者は、任意の数のネットワークポリシーを作成できます。ネットワークポリシーは、アカウントまたは個々のユーザーレベルで アクティブ化 されるまで有効になりません。ネットワークポリシーをアクティブ化するには、アカウントまたはユーザーのプロパティを変更し、ネットワークポリシーをオブジェクトに適用します。アカウントまたは特定のユーザーに一度に適用できるネットワークポリシーは1つだけです。

ネットワークポリシーは、一部のタイプのセキュリティ統合にも適用できます。

ネットワークポリシーの作成¶

Snowsight、 Classic Console、または SQL を使用して、ネットワークポリシーを作成できます。

Snowsight

1. Admin » Security » Network Policies をクリックします。

2. ページの右上隅にある + Network Policy ボタンをクリックします。 New network policy ダイアログが開きます。

3. 次のプロパティを指定します。

   プロパティ	説明
   ポリシー名	ネットワークポリシーの識別子。アカウントに対して一意である必要があります。 識別子はアルファベットで始まる必要があり、識別子の文字列全体が二重引用符で囲まれている場合を除き、スペースや特殊文字を含めることはできません（例: "My object"）。 二重引用符で囲まれた識別子も大文字と小文字が区別されます。 詳細については、 識別子の要件 をご参照ください。
   許可された IP アドレス	Snowflakeアカウントへのアクセスが許可された、1つ以上の IPv4 アドレスのコンマ区切りリスト。これは 許可リスト と呼ばれます。Snowflakeは、許可リストに含まれていないすべての IP アドレスを自動的にブロックします。 各 IP アドレス は、クラスレスドメイン間ルーティング（CIDR）表記を使用してアドレス範囲をカバーできます。 詳細については、 CIDR 表記 （このトピック内）をご参照ください。 例については、 許可/ブロックされたアドレスリストの例 （このトピック内）をご参照ください。
   ブロックされた IP アドレス	Snowflakeアカウントへのアクセスが拒否された、1つ以上の IPv4 アドレスのコンマ区切りリスト。これはブロックリストと呼ばれます。 このパラメーターは、 Allowed IP Addresses リストにある IP アドレスの範囲へのアクセスを許可し、その範囲内の1つ以上の IP アドレスへのアクセスを拒否する場合にのみ設定します。 各 IP アドレス は、クラスレスドメイン間ルーティング（CIDR）表記を使用してアドレス範囲をカバーできます。 詳細については、 CIDR 表記 （このトピック内）をご参照ください。 例については、 許可/ブロックされたアドレスリストの例 （このトピック内）をご参照ください。
   コメント	ネットワークポリシーのコメントを指定します。

4. Create network policy ボタンをクリックします。

Classic Console

1. Account » Policies をクリックします。 Policies ページが表示されます。

2. Create ボタンをクリックします。 Create Network Policy ダイアログが表示されます。

3. Name フィールドに、ネットワークポリシーの名前を入力します。

4. Allowed IP Addresses フィールドに、このSnowflakeアカウントへのアクセスを許可する1つ以上の IPv4 アドレスをコンマで区切って入力します。

   注釈

   特定のアドレスセット 以外 のすべての IP アドレスをブロックするには、許可された IP アドレスリストのみを定義する必要があります。Snowflakeは、許可リストに含まれていないすべての IP アドレスを自動的にブロックします。

5. Blocked IP Addresses フィールドに、オプションで、このSnowflakeアカウントへのアクセスを拒否される1つ以上の IPv4 アドレスをコンマで区切って入力します。このフィールドは必須ではなく、許可リストのアドレス範囲内にある特定のアドレスを拒否するために主に使用します。

   ご用心

   • ネットワークポリシーに許可されたIPアドレスとブロックされた IP アドレスリストの両方の値が含まれている場合、Snowflakeは最初に ブロックされた IP アドレスリストを適用します。

   • ブロックされた IP アドレスリストには、 0.0.0.0/0 を追加 しない でください。 0.0.0.0/0 は、「ローカルマシン上のすべての IPv4 アドレス」と解釈されます。Snowflakeはこのリストを最初に解決するため、これによりユーザー自身のアクセスがブロックされます。また、許可された IP アドレスリストにこの IP アドレスを含める必要はありません。

6. 必要に応じて、ネットワークポリシーの他の情報を入力し、 Finish をクリックします。

SQL

CREATE NETWORK POLICY ステートメントを実行します。

ネットワークポリシーの表示¶

Snowsight、 Classic Console、または SQL を使用して、ネットワークポリシーに関する情報を表示します。

Snowsight

Select Admin » Security » Network Policies » <ポリシー名>。

Classic Console

Account » Policies » <ポリシー名> をクリックします

SQL

次のステートメントのいずれかを実行します。

• SHOW NETWORK POLICIES

• DESCRIBE NETWORK POLICY

アカウントのネットワークポリシーのアクティブ化¶

Snowflakeアカウントのすべてのユーザーにネットワークポリシーを適用するには、アカウントのネットワークポリシーをアクティブにします。

ポリシーがアカウントに関連付けられると、Snowflakeは許可された IP アドレスリストとブロックされた IP アドレスリストに基づいて、アカウントへのアクセスを制限します。ルールによって制限されている IP アドレスからログインしようとするユーザーは、アクセスを拒否されます。さらに、ネットワークポリシーがアカウントに関連付けられている場合、既にSnowflakeにログインしている制限されたユーザーは、それ以上のクエリを実行できません。

セキュリティ管理者（またはそれ以上）は、複数のネットワークポリシーを作成できます。ただし、一度に1つのネットワークポリシーのみをアカウントに関連付けることができます。ネットワークポリシーをアカウントに関連付けると、現在関連付けられているネットワークポリシー（存在する場合）は自動的に削除されます。

現在の IP アドレスは、ポリシーの許可された IP アドレスリストに含まれている必要があることに注意してください。それ以外の場合は、ポリシーをアクティブ化するとSnowflakeがエラーを返します。また、現在の IP アドレスをブロックする IP アドレスリストに含めることはできません。

Snowsight、 Classic Console、または SQL を使用して、ネットワークポリシーをアカウントに関連付けることができます。

Snowsight

1. Admin » Security » Network Policies をクリックします。

2. 有効化するポリシー名の右側にある Activate Policy ボタンをクリックします。

Classic Console

1. Account » Policies をクリックします。

2. ポリシーをクリックして選択し、右側のサイドパネルに入力します。

3. 右側のパネルの Activate ボタンをクリックします。

SQL

NETWORK_POLICY アカウントパラメーターを使用して、ネットワークポリシーを設定する ALTER ACCOUNT ステートメントを実行します。

個々のユーザーに対するネットワークポリシーのアクティブ化¶

Snowflakeアカウントの特定のユーザーにネットワークポリシーを適用するには、そのユーザーのネットワークポリシーをアクティブにします。一度にアクティブにできるネットワークポリシーは、ユーザーごとに1つだけです。ただし、きめ細かい制御のために、ユーザーごとに異なるネットワークポリシーをアクティブ化できます。ネットワークポリシーをユーザーに関連付けると、現在関連付けられているネットワークポリシー（存在する場合）は自動的に削除されます。

ポリシーがユーザーに関連付けられると、Snowflakeは許可された IP アドレスリストとブロックされた IP アドレスリストに基づいて、ユーザーへのアクセスを制限します。有効化されたユーザーレベルのネットワークポリシーを持つユーザーが、ルールによって制限されている IP アドレスからログインしようとすると、そのユーザーはSnowflakeへのアクセスを拒否されます。

さらに、ユーザーレベルのネットワークポリシーがユーザーに関連付けられていて、ユーザーがすでにSnowflakeにログインしている場合、ユーザーの IP アドレスがユーザーレベルのネットワークポリシールールに一致しないと、Snowflakeはユーザーがそれ以上クエリを実行できないようにします。

個々のユーザーのネットワークポリシーをアクティブにするには、 ALTER USER を使用して、ユーザーの NETWORK_POLICY パラメーターを設定します。

ネットワークポリシーの変更¶

ネットワークポリシーは、 Snowsight、 Classic Console、 または SQL を使用して変更できます。具体的には、許可およびブロックされたアドレスのリストから IP アドレスを追加または削除します。

ネットワークポリシープロパティの説明については、 ネットワークポリシーの作成 （このトピック内）をご参照ください。

Snowsight

1. Admin » Security » Network Policies をクリックします。

2. ネットワークポリシー » Edit Policy の行のアクション（...）ボタンをクリックします。 Edit Policy ダイアログが開きます。

3. 任意のプロパティを編集します。

4. Save changes ボタンをクリックします。

Classic Console

1. Account » Policies をクリックします。

2. ポリシーをクリックして選択し、右側のサイドパネルに入力します。

3. 右側のパネルの Edit ボタンをクリックします。

4. 必要に応じてフィールドを変更します。

   • Allowed IP Addresses または Blocked IP Addresses リストから IP アドレスを削除するには、エントリの横にある x をクリックします。

   • いずれかのリストに IP アドレスを追加するには、適切なフィールドに1つ以上のコンマ区切りの IPv4 アドレスを入力し、 Add ボタンをクリックします。

5. Save をクリックします。

SQL

ALTER NETWORK POLICY ステートメントを実行します。

アカウントまたはユーザーレベルでアクティブ化されたネットワークポリシーの特定¶

ネットワークポリシーが使用するアカウントまたは特定のユーザーに設定されているかどうかを確認するには、 SHOW PARAMETERS コマンドを実行します。

アカウント

SHOW PARAMETERS LIKE 'network_policy' IN ACCOUNT;

Copy

ユーザー

SHOW PARAMETERS LIKE 'network_policy' IN USER <username>;

Copy

例:

SHOW PARAMETERS LIKE 'network_policy' IN USER jsmith;

Copy

ネットワークルールの操作¶

Snowflakeへの受信リクエストの制限は、最終的にネットワークポリシーでアカウントまたはユーザーに適用されますが、管理者はスキーマレベルのオブジェクトである ネットワークルール を使用して、これらの制限を整理できます。

各ネットワークルールは、特定のタイプのリクエスト元の識別子をグループ化します。たとえば、あるネットワークルールには、Snowflakeへのアクセスを許可するすべての IPv4 アドレスを含めることができ、別のネットワークルールには、ブロックするすべてのプライベートエンドポイントをグループ化できます。

しかしながら、ネットワークルールは、リクエストの発信元を許可するかブロックするかを指定しません。ネットワークルールは、単に関連するオリジンを論理的な単位に整理したものです。管理者が、ネットワークポリシーを作成または変更するときに、そのユニットを許可するかブロックするかを指定します。

一般的なワークフローは次のようになります。

1. 特定のタイプのネットワーク識別子と目的用に、ネットワークルールを作成します。

2. そのネットワークルールを、ネットワークポリシーの許可ルールリストまたはブロックルールリストに追加します。

3. ネットワークポリシーを、アカウント、ユーザー、またはセキュリティ統合に適用します。

CREATE NETWORK RULE block_public_access
  MODE = INGRESS
  TYPE = IPV4
  VALUE_LIST = ('0.0.0.0/0');

CREATE NETWORK RULE allow_vpceid_access
  MODE = INGRESS
  TYPE = AWSVPCEID
  VALUE_LIST = ('vpce-0fa383eb170331202');

CREATE NETWORK POLICY allow_vpceid_block_public_policy
  ALLOWED_NETWORK_RULE_LIST = ('allow_vpceid_access')
  BLOCKED_NETWORK_RULE_LIST=('block_public_access');

USE ROLE ACCOUNTADMIN;
ALTER ACCOUNT SET ENFORCE_NETWORK_RULES_FOR_INTERNAL_STAGES = true;

GRANT USAGE ON DATABASE securitydb TO ROLE network_admin;
GRANT USAGE ON SCHEMA securitydb.myrules TO ROLE network_admin;
GRANT CREATE NETWORK RULE ON SCHEMA securitydb.myrules TO ROLE network_admin;
USE ROLE network_admin;

CREATE NETWORK RULE cloud_network TYPE = IPV4 VALUE_LIST = ('47.88.25.32/27');

CREATE NETWORK RULE corp_network TYPE = AWSVPCEID VALUE_LIST = ('vpce-123abc3420c1931');
CREATE NETWORK RULE cloud_network TYPE = IPV4 VALUE_LIST = ('47.88.25.32/27');

CREATE NETWORK POLICY account_policy ALLOWED_NETWORK_RULE_LIST = ( 'corp_network', 'cloud_network' );

ALTER NETWORK POLICY my_policy SET BLOCKED_NETWORK_RULE_LIST = ( 'other_network' );

ALTER NETWORK POLICY my_policy ADD ALLOWED_NETWORK_RULE_LIST = ( 'new_rule' );

ALTER NETWORK POLICY my_policy REMOVE BLOCKED_NETWORK_RULE_LIST = ( 'other_network' );