Cortex Code CLI의 보안 모범 사례¶

자격 증명¶

[권장] 가능하면 브라우저 기반 인증을 사용합니다.

Cortex Code CLI의 기본 인증 방법은 브라우저 기반 인증입니다. connections.toml 파일에서 ``authenticator = “externalbrowser”``를 사용하여 이 옵션을 수동으로 설정합니다.

특정 역할에 대한 액세스 범위 지정을 시도할 때 프로그래밍 방식 액세스 토큰(PATs)을 사용합니다.

Snowsight에서 전용 PATs를 생성합니다(인증을 위해 프로그래밍 방식의 액세스 토큰 사용 참조). 만료 날짜를 90일 이하로 설정하고 설명이 포함된 이름을 사용하며 정기적으로 순환합니다.

구성 파일 보호

구성 파일에는 모드 ``600``을 사용하고 디렉터리에는 모드 ``700``을 사용하여 해당 사용자만 접근할 수 있도록 제한합니다.

CopyExpand

chmod 600 ~/.snowflake/connections.toml
chmod 700 ~/.snowflake/cortex

Show lessSee more

Scroll to top

자격 증명을 커밋하지 않음

``.gitignore``에 민감한 구성 파일을 추가합니다.

CopyExpand

echo "~/.snowflake/connections.toml" >> ~/.gitignore

Show lessSee more

Scroll to top

환경 변수를 사용하여 자격 증명과 토큰을 보유하고 ${VARIABLE_NAME} 구문을 사용하여 구성 파일에 통합합니다.

역할 및 액세스¶

환경별로 적절한 역할 사용

예를 들어 프로덕션에서는 읽기 전용 역할을 사용하고 개발에서는 더 광범위한 역할을 사용합니다.

CopyExpand

[dev]
role = "DEVELOPER"

[prod_readonly]
role = "ANALYST"

Show lessSee more

Scroll to top

일상적인 작업의 경우 ``ACCOUNTADMIN``을 사용하지 마세요. 최소 권한을 부여합니다.

대화 기록¶

Conversations are stored in ~/.snowflake/cortex/conversations/. Use cortex --private when starting Cortex Code to disable session saving for sensitive work. Alternatively, use the /clear command to clear the current session before exiting Cortex Code CLI.

모드 700을 사용하여 해당 사용자만 대화 기록에 액세스하도록 제한합니다.

chmod 700 ~/.snowflake/cortex/conversations

MCP 보안¶

신뢰할 수 있는 MCP 서버만 설치

서버를 추가하기 전에 MCP 서버의 소스 및 무결성을 확인합니다. 다음 명령을 사용하여 서버 목록을 가져오고 신뢰할 수 없는 서버를 제거합니다.

CopyExpand

cortex mcp list
cortex mcp remove <server>

Show lessSee more

Scroll to top

MCP 자격 증명을 하드코딩하지 않음

환경 변수를 사용합니다. 먼저, 셸에서 설정합니다.

CopyExpand

export GITHUB_TOKEN="your_token"

Show lessSee more

Scroll to top

그런 다음 이를 MCP 구성에서 참조합니다.

CopyExpand

{
   "mcpServers": {
      "github": {
         "env": { "GITHUB_TOKEN": "${GITHUB_TOKEN}" }
      }
   }
}

Show lessSee more

Scroll to top

프로덕션 안전¶

계획 모드 활성화

/plan 명령을 사용하여 실행 전에 의도한 작업을 검토합니다.

CopyExpand

/plan
Drop and recreate the ANALYTICS schema

Show lessSee more

Scroll to top

개인 액세스 토큰이 도용된 경우¶

Snowsight에서 PAT를 즉시 취소하세요! 그런 다음 새 토큰을 생성하여 대신 사용합니다. 구성 파일에 토큰을 사용하지 마세요 대신 환경 변수를 사용합니다.

Review the query history to identify any suspicious activity using the QUERY_HISTORY view in the SNOWFLAKE.ACCOUNT_USAGE schema:

SELECT *
  FROM SNOWFLAKE.ACCOUNT_USAGE.QUERY_HISTORY
  WHERE USER_NAME = '<username>'
  ORDER BY START_TIME DESC;

관리형 설정(엔터프라이즈 정책)¶

일부 조직에서는 관리자가 Cortex Code CLI에 대한 정책을 적용하는 관리형 설정을 배포합니다. 관리형 설정은 사용자 수준 구성(권한 프롬프트 및 우회 동작 포함)을 제한하거나 재정의할 수 있습니다.

자세한 내용은 관리형 설정(조직 정책) 섹션을 참조하십시오.

권한¶

Cortex Code에는 세 가지 작동 모드가 있습니다.

Cortex Code CLI에서 ``Shift-Tab``을 눌러 해당 모든 간에 순환합니다.

{
   "hooks": {
      "PreToolUse": [
         {
         "matcher": "Bash",
         "hooks": [
            {
               "type": "command",
               "command": "bash .claude/hooks/auto-approve.sh"
            }
         ]
         }
      ]
   }
}

{
   "hookSpecificOutput": {
      "hookEventName": "PreToolUse",
      "permissionDecision": "allow",
      "permissionDecisionReason": "Approved by policy"
   }
}

{
   "/path/to/project": {
      "Bash": {
         "npm test": "allow",
         "make build": "allow"
      },
      "Write": {
         "*": "allow"
      }
   }
}

보안 체크리스트¶

• PATs를 최대 90일 만료로 사용

• 파일 권한을 600/700으로 설정

• 자격 증명을 git에 커밋하지 않음

• 최소 권한 역할 사용

• 일상적인 작업에 ACCOUNTADMIN을 사용하지 않음

• 프로덕션을 위한 계획 모드와 신뢰할 수 있는 환경을 위한 예약 우회 모드 활성화

• 신뢰할 수 있는 MCP 서버만 설치

• 환경 변수에 자격 증명 저장

• 후크를 통해 사용자 지정 보안 검사를 자동화하여 정책 적용

• 주기적으로 권한 감사