ネットワークルール¶

サポートされているネットワーク識別子¶

管理者は、リクエストの発信元または宛先に関連付けられたネットワーク識別子に基づいてアクセスを制限できる必要があります。ネットワークルールにより、管理者は次のネットワーク識別子を許可またはブロックできます。

受信リクエスト:

• IPv4 アドレス。Snowflakeは、 クラスレスドメイン間ルーティング（CIDR）表記 を使用した IP アドレスの範囲をサポートしています。たとえば、 192.168.1.0/24 は、 192.168.1.0 〜 192.168.1.255 の範囲内のすべての IPv4 アドレスを表します。

• AWS VPC エンドポイント の VPCE IDs。VPC IDs はサポートされていません。

• Azure Privateエンドポイント の LinkIDs。SYSTEM$GET_PRIVATELINK_AUTHORIZED_ENDPOINTS 関数を実行して、アカウントに関連付けられた LinkID を取得します。

送信リクエスト:

ポート範囲を含むドメイン。

ほとんどの場合、有効なポート範囲は1～65535です。ポートを指定しない場合、デフォルトは443です。外部ネットワークの場所が動的ポートをサポートしている場合は、可能なポートをすべて指定する必要があります。

すべてのポートへのアクセスを許可するには、ポートを0と定義します。例えば、 example.com:0 です。

各ネットワークルールには、同じタイプの1つ以上のネットワーク識別子のリストが含まれます。ネットワークルールの TYPE プロパティは、ルールに含まれる識別子のタイプを示します。たとえば、 TYPE プロパティが IPV4 の場合、ネットワークルールの値リストには、有効な IPv4 アドレスまたは CIDR 表記のアドレス範囲が含まれている必要があります。

受信リクエストと送信リクエスト¶

ネットワークルールのモードは、そのルールを使用するSnowflake機能が、受信リクエストと送信リクエストのどちらを制限するかを示します。

ネットワークルールの作成¶

ネットワークルールを作成するには、スキーマの CREATE NETWORK RULE 権限が必要です。デフォルトでは、 ACCOUNTADMIN と SECURITYADMIN のロールとスキーマ所有者のみがこの権限を持ちます。

ネットワークルールを作成するには、 Snowsight を使用するか、 SQL コマンドを実行します。

Snowsight:

1. Snowsight にサインインします。

2. ナビゲーションメニューで、 Governance & security » Network policies を選択してから、 Network Rules タブを選択します。

3. + Network Rule を選択します。

4. ネットワークルールの名前を入力します。

5. ネットワークルールのスキーマを選択します。ネットワークルールはスキーマレベルのオブジェクトです。

6. 必要に応じて、ネットワークルールに説明的なコメントを追加して、スキーマ内のネットワークルールの整理と管理に役立てます。

7. Type ドロップダウンで、ネットワークルールで定義されている 識別子のタイプ を選択します。

8. Mode ドロップダウンで、ネットワークルールのモードを選択します。INGRESS と INTERNAL STAGE モードは、ネットワークルールがネットワークポリシーと共に使用され、受信リクエストを制限することを示し、 EGRESS モードは、ネットワークルールが外部アクセス統合と共に使用され、送信リクエストを制限することを示します。

9. ネットワークルールがネットワークポリシーに追加されたときに、許可またはブロックされる識別子をカンマ区切りで入力します。このリストの識別子はすべて、 Type ドロップダウンで指定されたタイプである必要があります。

10. Create Network Rule を選択します。

SQL:

管理者は CREATE NETWORK RULE コマンドを実行して新しいネットワークルールを作成し、ネットワーク識別子のリストとその識別子のタイプを指定できます。

たとえば、カスタムロールを使用して、 IP アドレスの範囲からのトラフィックを許可またはブロックするために使用できるネットワークルールを作成します。

GRANT USAGE ON DATABASE securitydb TO ROLE network_admin;
GRANT USAGE ON SCHEMA securitydb.myrules TO ROLE network_admin;
GRANT CREATE NETWORK RULE ON SCHEMA securitydb.myrules TO ROLE network_admin;
USE ROLE network_admin;

CREATE NETWORK RULE cloud_network TYPE = IPV4 MODE = INGRESS VALUE_LIST = ('47.88.25.32/27');

Copy

アカウント内のネットワークルールの識別¶

Snowsight または SQL を使用して、アカウント内のネットワークルールを識別できます。

Snowsight:

1. Snowsight にサインインします。

2. ナビゲーションメニューで、 Governance & security » Network policies を選択してから、 Network Rules タブを選択します。

SQL:

NETWORK_RULE_REFERENCES Information Schemaテーブル関数を呼び出すか、 NETWORK_RULES または NETWORK_RULE_REFERENCES Account Usageビューをクエリします。

ネットワークルールの変更¶

既存のネットワークルールの識別子とコメントは変更できますが、タイプ、モード、名前、スキーマは変更できません。

Snowsight または SQL を使用して既存のネットワークルールから識別子とコメントを追加または削除するには、次のいずれかを実行します。

Snowsight:

1. Snowsight にサインインします。

2. ナビゲーションメニューで、 Governance & security » Network policies を選択してから、 Network Rules タブを選択します。

3. ネットワークルールを見つけ、 ... ボタン、 Edit の順に選択します。

4. カンマ区切りの識別子のリストまたはコメントを変更します。

5. Update Network Rule を選択します。

SQL:

ALTER NETWORK RULE ステートメントを実行します。

ネットワークルールの複製¶

ネットワークルールはスキーマレベルのオブジェクトであり、それが含まれるデータベースと一緒に複製されます。

ネットワークルールを使用するネットワークポリシーの複製については、 ネットワークポリシーの複製 を参照してください。

Snowflakeが管理するネットワークルール¶

Snowflakeには、Snowflakeが管理する以下のネットワークルールが自薦定義されています：

SNOWFLAKE.EXTERNAL_ACCESS.PYPI_RULE

EGRESS ネットワークルールは、Snowflakeから PyPi への接続を提供するために、外部アクセス統合と共に使用されます。Container RuntimeのNotebooksユーザーが pip install コマンドを使用して pip パッケージをインストールできるようにする場合に、このネットワークルールを使用します。

このネットワークルールの使用例については、 Snowpark Containerにパッケージをインストールするために PyPi にアクセスする を参照してください。

このネットワークルールにアクセスできるのは、 ACCOUNTADMIN ロールのみです。

権限とコマンド¶