ネットワークルール¶

サポートされているネットワーク識別子¶

管理者は、リクエストの発信元または宛先に関連付けられたネットワーク識別子に基づいてアクセスを制限できる必要があります。ネットワークルールにより、管理者は次のネットワーク識別子を許可またはブロックできます。

受信リクエスト:

• IPv4 アドレス。Snowflakeは、 クラスレスドメイン間ルーティング（CIDR）表記 を使用した IP アドレスの範囲をサポートしています。たとえば、 192.168.1.0/24 は、 192.168.1.0 〜 192.168.1.255 の範囲内のすべての IPv4 アドレスを表します。

• AWS VPC エンドポイント の VPCE IDs。VPC IDs はサポートされていません。

• Azure Privateエンドポイント の LinkIDs。SYSTEM$GET_PRIVATELINK_AUTHORIZED_ENDPOINTS 関数を実行して、アカウントに関連付けられた LinkID を取得します。

送信リクエスト:

ポート範囲を含むドメイン。

ほとんどの場合、有効なポート範囲は1～65535です。ポートを指定しない場合、デフォルトは443です。外部ネットワークの場所が動的ポートをサポートしている場合は、可能なポートをすべて指定する必要があります。

すべてのポートへのアクセスを許可するには、ポートを0と定義します。例えば、 example.com:0 です。

各ネットワークルールには、同じタイプの1つ以上のネットワーク識別子のリストが含まれます。ネットワークルールの TYPE プロパティは、ルールに含まれる識別子のタイプを示します。たとえば、 TYPE プロパティが IPV4 の場合、ネットワークルールの値リストには、有効な IPv4 アドレスまたは CIDR 表記のアドレス範囲が含まれている必要があります。

受信リクエストと送信リクエスト¶

ネットワークルールのモードは、そのルールを使用するSnowflake機能が、受信リクエストと送信リクエストのどちらを制限するかを示します。

ネットワークルールの作成¶

ネットワークルールを作成するには、スキーマの CREATE NETWORK RULE 権限が必要です。デフォルトでは、 ACCOUNTADMIN と SECURITYADMIN のロールとスキーマ所有者のみがこの権限を持ちます。

ネットワークルールを作成するには、 Snowsight を使用するか、 SQL コマンドを実行します。

Snowsight:

1. Snowsight にサインインします。

2. ナビゲーションメニューで、 Governance & security » Network policies を選択してから、 Network Rules タブを選択します。

3. + Network Rule を選択します。

4. ネットワークルールの名前を入力します。

5. ネットワークルールのスキーマを選択します。ネットワークルールはスキーマレベルのオブジェクトです。

6. 必要に応じて、ネットワークルールに説明的なコメントを追加して、スキーマ内のネットワークルールの整理と管理に役立てます。

7. Type ドロップダウンで、ネットワークルールで定義されている 識別子のタイプ を選択します。

8. Mode ドロップダウンで、ネットワークルールのモードを選択します。INGRESS と INTERNAL STAGE モードは、ネットワークルールがネットワークポリシーと共に使用され、受信リクエストを制限することを示し、 EGRESS モードは、ネットワークルールが外部アクセス統合と共に使用され、送信リクエストを制限することを示します。

9. ネットワークルールがネットワークポリシーに追加されたときに、許可またはブロックされる識別子をカンマ区切りで入力します。このリストの識別子はすべて、 Type ドロップダウンで指定されたタイプである必要があります。

10. Create Network Rule を選択します。

SQL:

管理者は CREATE NETWORK RULE コマンドを実行して新しいネットワークルールを作成し、ネットワーク識別子のリストとその識別子のタイプを指定できます。

たとえば、カスタムロールを使用して、 IP アドレスの範囲からのトラフィックを許可またはブロックするために使用できるネットワークルールを作成します。

GRANT USAGE ON DATABASE securitydb TO ROLE network_admin;
GRANT USAGE ON SCHEMA securitydb.myrules TO ROLE network_admin;
GRANT CREATE NETWORK RULE ON SCHEMA securitydb.myrules TO ROLE network_admin;
USE ROLE network_admin;

CREATE NETWORK RULE cloud_network TYPE = IPV4 MODE = INGRESS VALUE_LIST = ('47.88.25.32/27');

Copy

アカウント内のネットワークルールの識別¶

Snowsight または SQL を使用して、アカウント内のネットワークルールを識別できます。

Snowsight:

1. Snowsight にサインインします。

2. ナビゲーションメニューで、 Governance & security » Network policies を選択してから、 Network Rules タブを選択します。

SQL:

NETWORK_RULE_REFERENCES Information Schemaテーブル関数を呼び出すか、 NETWORK_RULES または NETWORK_RULE_REFERENCES Account Usageビューをクエリします。

ネットワークルールの変更¶

既存のネットワークルールの識別子とコメントは変更できますが、タイプ、モード、名前、スキーマは変更できません。

Snowsight または SQL を使用して既存のネットワークルールから識別子とコメントを追加または削除するには、次のいずれかを実行します。

Snowsight:

1. Snowsight にサインインします。

2. ナビゲーションメニューで、 Governance & security » Network policies を選択してから、 Network Rules タブを選択します。

3. ネットワークルールを見つけ、 ... ボタン、 Edit の順に選択します。

4. カンマ区切りの識別子のリストまたはコメントを変更します。

5. Update Network Rule を選択します。

SQL:

ALTER NETWORK RULE ステートメントを実行します。

ネットワークルールの複製¶

ネットワークルールはスキーマレベルのオブジェクトであり、それが含まれるデータベースと一緒に複製されます。

ネットワークルールを使用するネットワークポリシーの複製については、 ネットワークポリシーの複製 を参照してください。

権限とコマンド¶

Snowflakeが管理するネットワークルール¶

Snowflakeは、一連の*組み込み*ネットワークルールを含む SNOWFLAKE.NETWORK_SECURITY スキーマを提供します。組み込みネットワークルールは、Snowflakeが管理するネットワークルールの1つの型です。Snowflake は、Snowflakeが管理する新しいネットワークルールで NETWORK_SECURITY スキーマを更新できます。組み込みのネットワークルールは、安全で一貫性があり、高速でメンテナンスの少ないネットワークセキュリティ管理方法を提供します。

Snowflakeが管理するネットワークルールは、使いやすいSnowflakeのネットワークポリシーおよびルール管理機能と連携しています。Snowflakeのお客様は、新規または既存の ネットワークポリシー にSnowflakeが管理するルールを追加できます。Snowflakeは、アカウント管理者による定期的なメンテナンスを必要とせずに、組み込みのネットワークルールを継続的に更新します。ネットワークポリシーへのネットワークルールの追加については、 ネットワークポリシーの変更 を参照してください。

組み込みのネットワークルールは、頻繁に使用されるサードパーティのパートナーアプリケーションがSnowflakeとの接続に使用する、許可された IP アドレスのセットを定義します。Snowflakeはこれらのルールを自動的に更新し、サードパーティプロバイダーがegress IP アドレスに加えた変更をキャプチャします。たとえば、Snowflakeは、Microsoft Power BI アプリケーションがSnowflakeとの接続に使用する IP アドレスを定義するルールを管理します。Microsoftがこれらのアドレスを更新すると、Snowflakeのルールは自動的に更新され、この変更が反映されます。

次の表は、Snowflakeが組み込みネットワークルールと各パートナーアプリケーションの現在のegress IP アドレスに関する情報を維持している現在のパートナーアプリケーションを示しています。

SHOW NETWORK RULES IN SNOWFLAKE.NETWORK_SECURITY;

SELECT *
  FROM SNOWFLAKE.ACCOUNT_USAGE.NETWORK_RULES
  WHERE DATABASE = 'SNOWFLAKE' AND SCHEMA = 'NETWORK_SECURITY';

CREATE OR REPLACE NETWORK POLICY example_network_policy ALLOWED_NETWORK_RULE_LIST = (
  'SNOWFLAKE.NETWORK_SECURITY.DBT_APAC_AWS',
  'SNOWFLAKE.NETWORK_SECURITY.DBT_EMEA_AWS'
);

ALTER NETWORK POLICY example_network_policy ADD ALLOWED_NETWORK_RULE_LIST = (
  'SNOWFLAKE.NETWORK_SECURITY.DBT_APAC_AWS'
);