Pontos de extremidade de interface VPC da AWS para volumes de armazenamento gerenciados pelo Snowflake¶

Benefícios¶

A implementação de pontos de extremidade de interface VPC para acessar os volumes de armazenamento gerenciados pelo Snowflake oferece as seguintes vantagens:

• Os dados não atravessam a internet pública quando os mecanismos de consulta externos leem ou gravam no volume Iceberg gerenciado pelo Snowflake.

• Aplicativos clientes e SaaS, tais como Microsoft PowerBI, que funcionam fora do AWS VPC, podem se conectar ao Snowflake com segurança.

• Os administradores não precisam modificar as configurações do firewall para acessar os dados do volume.

• Os administradores podem implementar segurança e monitoramento consistentes de acordo com a maneira como os mecanismos de consulta se conectam ao armazenamento.

Limitações¶

A AWS não oferece suporte para pontos de extremidade da interface do VPC entre regiões para o serviço Amazon S3. Portanto, o ponto de extremidade de interface VPC deve estar na mesma região que sua conta Snowflake para fornecer conectividade de entrada ao volume de armazenamento gerenciado pelo Snowflake.

O suporte entre regiões para AWS PrivateLink não está disponível em regiões governamentais ou na República Popular da China.

Clientes que utilizam uma região SnowGov para conformidade com o Federal Information Processing Standard (FIPS) devem estar cientes de que o AWS Privatelink para Amazon S3 não oferece suporte a pontos de extremidade do FIPS.

Para obter mais informações sobre as regiões da AWS nas quais o FIPS é aplicado, consulte Regiões de nuvem compatíveis.

Para obter informações sobre como encontrar os nomes das regiões para sua conta, consulte Encontrar o nome do provedor de nuvem da região da sua conta.

Para obter mais informações sobre as limitações do AWS PrivateLink, consulte a documentação da AWS.

Pré-requisitos¶

• AWS PrivateLink para S3.

  Importante

  O AWS PrivateLink para S3 é um serviço AWS que precisa ser habilitado em seu ambiente de nuvem.

  Para obter ajuda na configuração e implementação deste serviço, entre em contato com seu administrador AWS interno.

• Atualize a lista de permissões do firewall da seguinte forma:

  • Se utilizar um firewall de saída, certifique-se de que ele permite todas as URLs exigidas pelo Snowflake. Para obter mais detalhes, consulte SnowCD (Connectivity Diagnostic Tool).

• Para clientes us-east-1 somente: Se utilizar um dos seguintes clientes Snowflake para conectar-se ao Snowflake, atualize para a versão de cliente da seguinte forma:

  • Driver JDBC: 3.13.3 (ou superior)

  • Driver ODBC: 2.23.2 (ou superior)

  • Conector Python para Snowflake: 2.5.1 (ou superior)

  • SnowSQL: 1.2.17 (ou superior)

    • Atualize o SnowSQL antes de utilizar este recurso. Para obter mais informações, consulte Instalação do SnowSQL.

    • A partir da versão 1.3.0, o SnowSQL desativa as atualizações automáticas por padrão para evitar possíveis problemas que podem afetar ambientes de produção quando ocorre uma atualização automática. Para atualizar, você deve baixar e instalar novas versões manualmente, de preferência em um ambiente que não seja de produção. A Snowflake recomenda que você deixe essa configuração desabilitada, mas você pode habilitar manualmente o comportamento de atualização automática configurando a opção SnowSQL noup option.

Procedimento¶

Complete as seguintes etapas para configurar e implementar o acesso seguro ao volume de armazenamento gerenciado pelo Snowflake através de um ponto de extremidade VPC:

1. Como administrador da AWS, crie um ponto de extremidade VPC para S3 usando o console AWS. Registre o nome VPCE DNS para uso na próxima etapa; não registre qualquer nome de zona VPCE DNS.

   O nome VPCE DNS pode ser encontrado descrevendo um ponto de extremidade de interface uma vez que o ponto de extremidade esteja criado.

   Exemplo de nome VPCE DNS: *.vpce-000000000000a12-abc00ef0.s3.us-west-2.vpce.amazonaws.com

2. Configure seu mecanismo de consulta externo para usar o nome VPCE DNS diretamente. Substitua * no nome VPCE DNS por bucket. Por exemplo, no Apache Spark:

   CopyExpand

   .config("spark.sql.catalog.<catalog_name>.s3.endpoint",
           "bucket.vpce-000000000000a12-abc00ef0.s3.us-west-2.vpce.amazonaws.com")
   

   Show lessSee more

   Scroll to top

   Dica

   Use uma conta Snowflake separada para testes e configure uma zona DNS hospedada privada em um VPC de teste para testar o recurso de forma que o teste seja isolado e não afete outras cargas de trabalho.

Pré-requisitos¶

Para usar regras de rede para restringir o acesso a um volume de armazenamento gerenciado pelo Snowflake, o administrador da conta deve habilitar o parâmetro ENFORCE_NETWORK_RULES_FOR_SNOWFLAKE_MANAGED_STORAGE_VOLUME:

USE ROLE ACCOUNTADMIN;
ALTER ACCOUNT SET ENFORCE_NETWORK_RULES_FOR_SNOWFLAKE_MANAGED_STORAGE_VOLUME = true;

Criação de uma regra de rede¶

Crie uma regra de rede com MODE = SNOWFLAKE_MANAGED_STORAGE_VOLUME e TYPE = AWSVPCEID para restringir o acesso ao volume de armazenamento gerenciado com base nos identificadores de ponto de extremidade VPC:

CREATE NETWORK RULE managed_volume_rule
  TYPE = AWSVPCEID
  VALUE_LIST = ('vpce-123abc3420c1931')
  MODE = SNOWFLAKE_MANAGED_STORAGE_VOLUME
  COMMENT = 'Allow access from Horizon and S3 VPC endpoints';

Aplicando uma política de redes¶

Crie uma política de redes que use a regra de rede e aplique-a à conta:

CREATE NETWORK POLICY managed_volume_policy
  ALLOWED_NETWORK_RULE_LIST = ('managed_volume_rule')
  COMMENT = 'Restrict Snowflake-managed storage volume access to specific VPC endpoints';

ALTER ACCOUNT SET NETWORK_POLICY = managed_volume_policy;