ID do Amazon Virtual Private Cloud para estágio externo, função externa e volume externo¶

Mudança de comportamento¶

Antes da mudança:

A saída de SYSTEM$GET_SNOWFLAKE_PLATFORM_INFO não contém a propriedade snowflake-egress-vpc-ids.

Após a mudança:

A saída da função SYSTEM$GET_SNOWFLAKE_PLATFORM_INFO contém uma nova propriedade snowflake-egress-vpc-ids que inclui as propriedades filhas id, expires e purpose.

A saída da função é semelhante a:

{
  "snowflake-vpc-id": ["<existing VPC ID>"],
  "snowflake-egress-vpc-ids": [
    {
      "id": "<existing VPC ID>",
      "expires": "2025-03-01T00:00:00",
      "purpose": "generic"
    },
    {
      "id": "<new VPC ID>",
      "expires": "2025-03-01T00:00:00",
      "purpose": "generic"
    }
  ]
}

Os clientes devem examinar o campo id dentro da propriedade snowflake-egress-vpc-ids e observar os valores id marcados como "purpose":"generic". IDs generic são IDs VPC que precisarão ser listados para dar suporte à funcionalidade principal do Snowflake.

Essa alteração entrará em vigor na semana de 24 de fevereiro de 2025.

As seguintes alterações devem ser feitas para continuar a acessar os seguintes recursos do Snowflake:

Estágio e volumes externos:

Siga as instruções em Permissão para IDs do Virtual Private Cloud para especificar IDs de VPC para estágios externos ou volumes externos.

Funções externas:

Siga as instruções em Como proteger seu ponto de extremidade do Amazon API Gateway para especificar IDs de VPC para funções externas.

Linha do tempo¶

Estágio um:

A partir da semana de 24 de fevereiro de 2025, a função SYSTEM$GET_SNOWFLAKE_PLATFORM_INFO será atualizada em todas as implantações do AWS para incluir os novos IDs de VPC de entrada no elemento snowflake-egress-vpc-ids. Os clientes podem começar a atualizar suas políticas do API Gateway e S3 para permitir a inclusão desses novos IDs de VPC.

Estágio dois:

A partir da semana de 9 de junho de 2025 (anteriormente 24 de maio de 2025), o Snowflake iniciará uma transição gradual para usar o novo VPCs para estágios externos, funções externas e volumes externos. Os clientes devem garantir que suas atualizações de política do S3 e do API Gateway sejam concluídas até essa data.

Perguntas frequentes¶

USE ROLE ACCOUNTADMIN;

SELECT stage_url, stage_region, stage_owner, stage_catalog, stage_schema
  FROM SNOWFLAKE.ACCOUNT_USAGE.STAGES
  WHERE STARTSWITH(stage_url, 's3')
    AND stage_url IS NOT NULL
    AND deleted IS NULL;

USE ROLE ACCOUNTADMIN;

SELECT function_name, function_definition, function_owner, function_catalog, function_schema
  FROM SNOWFLAKE.ACCOUNT_USAGE.FUNCTIONS
  WHERE function_language = 'EXTERNAL'
    AND function_definition ILIKE '%.execute-api.%.amazonaws.com%'
    AND deleted IS NULL;

use role accountadmin;

DECLARE
res1 RESULTSET;
res2 RESULTSET;
sql_vol VARCHAR;
rpt VARIANT;
rpt_int VARIANT;
BEGIN
  rpt := object_construct();
  sql_vol := 'SELECT PROPERTY, VALUE:"NAME"::VARCHAR as NAME, VALUE:"STORAGE_ALLOWED_LOCATIONS"::VARCHAR as S3_PATH FROM (
SELECT PARSE_JSON(T."property_value") AS VALUE, T."property" as PROPERTY
FROM TABLE(RESULT_SCAN(last_query_id())) T
WHERE T."property_type" = \'String\'
AND T."property" != \'ACTIVE\'
AND VALUE:"STORAGE_PROVIDER"=\'S3\')
;';
  show external volumes;
  LET c1 CURSOR FOR SELECT * FROM TABLE(RESULT_SCAN(last_query_id()));
  OPEN c1;
  FOR record IN c1 DO
    res1 := (execute immediate 'describe external volume ' || record."name");
    res2 := (execute immediate :sql_vol);
    rpt_int := object_construct();
    let c2 CURSOR for res2;
    open c2;
    for inner_record in c2 do
        rpt_int := object_insert( rpt_int, inner_record.NAME, inner_record.S3_PATH);
    end for;

    rpt := object_insert( rpt, record."name", rpt_int );
  END FOR;
  RETURN rpt;
END;

SNOWFLAKE_VPC_ID="<VPC ID returned in snowflake-vpc-id>"

# List ARNs of IAM policies that contain the current Snowflake VPC ID.
aws iam list-policies --scope Local --query 'Policies[*].Arn' --output text | tr '\t' '\n' | while read -r policy_arn; do
  version_id=$(aws iam get-policy --policy-arn "${policy_arn}" --query 'Policy.DefaultVersionId' --output text)
  aws iam get-policy-version --policy-arn "${policy_arn}" --version-id "${version_id}" | grep -q "${SNOWFLAKE_VPC_ID}" && echo "${policy_arn}"
done

# List API IDs of API Gateways that contain resource policies with the current Snowflake VPC ID.
aws apigateway get-rest-apis --query 'items[*].id' --output text --profile | tr '\t' '\n' | while read -r api_id; do
  aws apigateway get-rest-api --rest-api-id "${api_id}" --query 'policy' --output text | grep -q "${SNOWFLAKE_VPC_ID}" && echo "${api_id}"
done