서비스 네트워킹¶

수신 연결 시간 제한¶

수신 엔드포인트의 시간 제한은 90초입니다. 90초 동안 수신 엔드포인트에 대한 연결에서 활동이 없으면 Snowflake는 연결을 종료합니다. 애플리케이션에 더 긴 연결 필요한 경우 폴링 또는 WebSockets를 사용합니다.

수신 웹 브라우저 인증 로그아웃¶

서비스로 실행되는 웹 앱을 구축하는 경우 사용자가 /sfc-endpoint/logout 으로 이동하여 앱에서 로그아웃할 수 있도록 하는 옵션이 있습니다.

로그아웃 후 사용자는 서비스의 공용 엔드포인트에 액세스하기 위해 Snowflake에 재인증해야 합니다.

수신 및 웹 앱 보안¶

공용 엔드포인트 지원(네트워크 수신)을 사용하여 웹 호스팅용 Snowpark Container Services 서비스를 만들 수 있습니다. 보안을 강화하기 위해 Snowflake는 프록시 서비스를 사용하여 클라이언트에서 서비스로 수신되는 요청과 서비스에서 클라이언트로 발신되는 응답을 모니터링합니다. 이 섹션에서는 프록시가 수행하는 작업과 Snowpark Container Services에 배포된 서비스에 미치는 영향을 설명합니다.

예:

• 요청이 금지된 HTTP 메서드를 사용하는 경우 프록시는 수신되는 HTTP 요청을 전달하지 않습니다.

• 응답의 Content-Type 헤더가 응답에 실행 파일이 포함되어 있음을 나타내는 경우 프록시는 클라이언트에 403 응답을 보냅니다.

또한 프록시는 컨테이너 및 데이터 보안을 염두에 두고 새 헤더를 삽입하고 요청과 응답에서 기존 헤더를 변경할 수도 있습니다.

예를 들어 요청을 받으면 서비스는 응답으로 HTML, JavaScript, CSS 및 웹 페이지의 기타 콘텐츠를 클라이언트 브라우저에 보낼 수 있습니다. 브라우저의 웹 페이지는 서비스의 일부이며 사용자 인터페이스 역할을 합니다. 보안상의 이유로, 서비스에 제한 사항(예: 다른 사이트에 네트워크로 연결하는 데 대한 제한)이 있는 경우 서비스의 웹 페이지에도 동일한 제한 사항을 적용할 수도 있습니다.

기본적으로 서비스는 인터넷에 액세스할 수 있는 권한이 제한되어 있습니다. 또한 브라우저는 대부분의 경우 클라이언트 앱이 인터넷에 액세스하고 데이터를 공유할 수 없도록 제한해야 합니다. 서비스가 example.com (네트워크 송신 구성하기 참조)에 액세스할 수 있도록 EAI(External Access Integration)를 설정한 경우 서비스의 웹 페이지도 브라우저를 통해 example.com 에 액세스할 수도 있어야 합니다.

Snowflake 프록시는 응답에 Content-Security-Policy (CSP) 헤더를 추가하여 서비스와 웹 페이지에 동일한 네트워크 제한을 적용합니다. 기본적으로, 프록시는 일반적인 보안 위협으로부터 보호하기 위해 응답에 기준선 CSP를 추가합니다. 브라우저 보안은 기능과 보안의 균형을 맞추기 위해 최선의 노력으로 제공되며, 이 기준이 사용 사례에 적합한지 확인하는 것은 공동의 책임입니다. 또한 서비스가 EAI를 사용하도록 구성된 경우 프록시는 웹 페이지에 대해 EAI에서 CSP까지 동일한 네트워크 규칙을 적용합니다. 이 CSP를 사용하면 브라우저의 웹 페이지에서 서비스가 액세스할 수 있는 것과 동일한 사이트에 액세스할 수 있습니다.

Snowflake는 서비스 사양에서 구성하는 CORS 지원을 제공합니다.

Snowflake 프록시는 서비스 사양에 정의된 CORS 설정을 반환합니다. 프록시는 서비스에서 반환한 CORS 헤더를 모두 제거합니다.

다음 CORS 헤더는 기본적으로 설정되어 있습니다.

• Access-Control-Expose-Headers 헤더는 엔드포인트에 대한 서비스 사양에 구성된 헤더 외에 항상 다음 헤더 이름을 보고합니다.

  • X-Frame-Options

  • Cross-Origin-Opener-Policy

  • Cross-Origin-Resource-Policy

  • X-Content-Type-Options

  • Cross-Origin-Embedder-Policy

  • Content-Security-Policy-Report-Only

  • Content-Security-Policy

• Access-Control-Max-Age 는 2시간으로 설정되어 있습니다.

• Access-Control-Allow-Credentials 가 true로 설정되어 있습니다.

또한 Snowflake는 Vary 헤더를 Origin 값으로 설정하여 Origin 의 값에 따라 Access-Control-Allow-Origin 의 값이 다를 수 있음을 브라우저에 알립니다.

CORS 요청을 만들려면 Authorization 헤더가 필요합니다. 이 헤더(Authorization: "Snowflake Token=\"${patToken}\"")에 프로그래밍 방식 액세스 토큰(PAT)을 지정합니다. 프로그래밍 방식 액세스 토큰을 생성하는 방법에 대한 자세한 내용은 인증을 위해 프로그래밍 방식의 액세스 토큰 사용 섹션을 참조하세요.

다음 섹션에서는 Snowflake 프록시가 서비스에 대한 수신되는 요청을 처리하고 서비스에서 클라이언트로 발신되는 응답을 수정하는 방법을 설명합니다.

수신 및 CORS 고려 사항¶

기본적으로 브라우저는 한 서버에서 호스팅되는 웹 앱이 다른 호스트 이름을 가진 다른 서버로 요청을 보내는 것을 차단합니다. 예를 들어, Snowpark Container Services 내에 배포된 백엔드 서비스와 상호 작용해야 하는 웹 앱을 Snowpark Container Services 외부에서 호스팅하는 경우 이 제한이 적용됩니다.

CORS (교차 출처 리소스 공유)를 사용하면 Snowpark Container Services 서비스가 브라우저에 해당 환경 외부에서 호스팅되는 웹 앱의 요청을 허용하도록 지시할 수 있습니다. 각 공용 엔드포인트가 CORS 사전 비행 요청과 표준 요청에 모두 응답하는 방식을 지정하도록 구성할 수 있습니다.

Snowflake 프록시는 항상 다음 응답 헤더를 재정의합니다.

• Access-Control-Allow-Origin

• Access-Control-Allow-Methods

• Access-Control-Allow-Headers

• Access-Control-Expose-Headers

• Access-Control-Max-Age

• Access-Control-Allow-Credentials

다음 중 하나에 해당하는 경우 Snowflake 프록시는 응답에 이러한 CORS 헤더를 포함하지 않습니다.

• CORS 가서비스 엔드포인트에 대해 구성되어 있지 않음. 즉, 서비스 사양에 corsSettings 가 없음.

• CORS 가 서비스 엔드포인트에 대해 구성되어 있지만 요청의 Origin 헤더가 서비스 사양에 지정된 Access-Control-Allow-Origin 필드와 일치하지 않음.

서비스 사양에서 각 공개 엔드포인트에 대해 CORS 설정을 구성할 수 있습니다. 요청의 origin 헤더가 사양의 엔드포인트에 지정된 Access-Control-Allow-Origin 필드와 일치하는 경우 프록시는 사양에 정의된 CORS 헤더를 응답에 포함하며 다음과 같이 조정합니다.

• Access-Control-Allow-Origin: 요청에서 Origin 헤더를 반환합니다.

• Access-Control-Expose-Headers: 구성한 허용 헤더 목록을 항상 노출되는 X-Frame-Options, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy, X-Content-Type-Options, Cross-Origin-Embedder-Policy, Content-Security-Policy-Report-Only, Content-Security-Policy 헤더와 병합합니다.

• Access-Control-Max-Age: 2시간으로 설정됩니다.

• Access-Control-Allow-Credentials: True로 설정됩니다.

수신 및 SSO 고려 사항¶

인터넷에서 공용 엔드포인트에 액세스할 때 사용자 이름/비밀번호 인증은 작동하지만 SSO 페이지가 빈 페이지로 표시되거나 “OAuth client integration with the given client ID is not found.” 오류가 발생할 수 있습니다.

이는 페더레이션 인증을 사용하도록 Snowflake 구성하기 에 설명된 대로 최신 보안 통합 버전 대신 이전 스타일의 연합 인증(SSO)을 사용하는 경우 발생합니다. 확인하려면 다음을 수행합니다.

1. 다음 쿼리를 실행합니다.

   SHOW PARAMETERS LIKE 'SAML_IDENTITY_PROVIDER' IN ACCOUNT;
   

   Copy

   이 매개 변수가 설정되어 있다면 어느 시점에서 이전 스타일의 연합 인증을 사용 중이었다는 뜻입니다.

2. 앞의 매개 변수가 설정된 경우 다음 쿼리를 실행하여 SAML 보안 통합이 있는지 확인합니다.

   SHOW INTEGRATIONS
     ->> SELECT * FROM $1 WHERE "type" = 'SAML2';
   

   Copy

   SAML2 유형의 통합 인증이 없는 경우 이전 스타일의 연합 인증을 사용하고 있는 것입니다.

이 경우 해결 방법은 기존 방식의 연합 인증에서 새로운 통합 방식의 연합 인증으로 마이그레이션하는 것입니다. 자세한 내용은 SAML2 보안 통합으로 마이그레이션하기 섹션을 참조하십시오.

비공개 연결을 사용한 네트워크 송신¶

공용 인터넷을 통해 네트워크 송신을 라우팅하는 대신 비공개 연결 엔드포인트 를 통해 서비스 송신 트래픽을 전송하도록 선택할 수 있습니다.

먼저 Snowflake 계정에서 비공개 연결 엔드포인트를 만들어야 합니다. 그런 다음 나가는 트래픽이 비공개 연결 을 사용하도록 허용하는 네트워크 규칙을 구성합니다. 외부 액세스 통합(EAI)을 설정하는 프로세스는 이전 섹션에서 설명한 것과 동일합니다.

예를 들어 비공개 연결을 통해 서비스의 아웃바운드 인터넷 액세스를 Amazon S3 버킷으로 사용 설정하려면 다음과 같이 하십시오.

1. 자체 유지 관리되는 엔드포인트 서비스(Amazon S3)에 대해 비공개 링크 연결을 사용 설정합니다. 단계별 지침은 AWS Private Link for Amazon S3 섹션을 참조하십시오.

2. SYSTEM$PROVISION_PRIVATELINK_ENDPOINT 시스템 함수를 호출하여 Snowflake VNet 에서 비공개 연결 엔드포인트를 프로비저닝하십시오. 이를 통해 Snowflake는 비공개 연결을 사용하여 외부 서비스(이 예에서는 Amazon S3)에 연결할 수 있습니다.

   USE ROLE ACCOUNTADMIN;
   
   SELECT SYSTEM$PROVISION_PRIVATELINK_ENDPOINT(
     'com.amazonaws.us-west-2.s3',
     '*.s3.us-west-2.amazonaws.com'
   );
   

   Copy

3. 클라우드 공급자 계정에서 엔드포인트를 승인합니다. 이 예에서는 Amazon AWS 의 경우 AWS 설명서의 연결 요청 수락 또는 거부 섹션을 참조하십시오. 또한 Azure에서 엔드포인트를 승인하려면 Azure 설명서 를 참조하십시오.

4. CREATE NETWORK RULE 명령을 사용하여 액세스를 허용할 외부 대상을 지정하는 송신 네트워크 규칙을 만들 수 있습니다.

   CREATE OR REPLACE NETWORK RULE private_link_network_rule
     MODE = EGRESS
     TYPE = PRIVATE_HOST_PORT
     VALUE_LIST = ('<bucket-name>.s3.us-west-2.amazonaws.com');
   

   Copy

   TYPE 매개 변수 값은 PRIVATE_HOST_PORT 로 설정됩니다. 네트워크 규칙에 따라 발신 네트워크 트래픽이 비공개 연결 을 사용할 수 있음을 나타냅니다.

5. EAI 를 생성하고 이를 사용하여 서비스를 만드는 나머지 단계는 이전 섹션에서 설명한 것과 동일합니다(네트워크 송신 구성하기 참조).

비공개 연결 엔드포인트 작업에 대한 자세한 내용은 다음을 참조하십시오.

• 비공개 연결 엔드포인트(AWS)를 관리하십시오.

• 비공개 연결 엔드포인트 관리: Azure

• 비공개 연결 엔드포인트(Google Cloud)를 관리하십시오.