Políticas de rede¶

Precedência de política de redes¶

Uma política de redes pode ser aplicada a uma conta, uma integração de segurança ou um usuário. Se houver políticas de redes aplicadas a mais de uma delas, a política de redes mais específica substituirá as políticas de redes mais gerais. O seguinte resume a ordem de precedência:

Conta

As políticas de redes aplicadas a uma conta são as políticas de redes mais gerais. Elas são substituídas por políticas de redes aplicadas a uma integração de segurança ou usuário.

Integração de segurança

As políticas de redes aplicadas a uma integração de segurança substituem as políticas de redes aplicadas à conta, mas são substituídas por uma política de redes aplicada a um usuário.

Usuário

As políticas de redes aplicadas a um usuário são as políticas de redes mais específicas. Elas substituem contas e integrações de segurança.

Notação CIDR¶

O Snowflake suporta a especificação de intervalos de endereços IP usando a notação de Roteamento entre domínios sem classe (ou seja, CIDR). Na notação CIDR, a sub-rede opcional é expressa como um número decimal que representa o comprimento do prefixo:

ip_address[/prefix_length]

Por exemplo, 192.168.1.0/24 representa todos os endereços IP no intervalo de 192.168.1.0 a 192.168.1.255.

Exemplos de listas de endereços permitidos/bloqueados¶

O Snowflake não permite definir uma política de rede que bloqueie seu endereço IP atual. Uma mensagem de erro resulta quando se tenta criar uma política de rede que bloqueia o endereço IP atual.

Os exemplos a seguir são representativos para definir intervalos de endereços IP permitidos e bloqueados usando uma política de rede Snowflake.

Permita todos os endereços IP no intervalo de 192.168.1.0 a 192.168.1.255, exceto 192.168.1.99, que está explicitamente bloqueado. Além disso, todos os outros endereços IP estão bloqueados:

- Allowed IP Addresses: 192.168.1.0/24
- Blocked IP Addresses: 192.168.1.99

Copy

Permita que somente os endereços IP 192.168.1.0 e 192.168.1.100 acessem sua conta:

- Allowed IP Addresses: 192.168.1.0,192.168.1.100
- Blocked IP Addresses: N/A

Copy

Como ignorar uma política de rede¶

É possível ignorar temporariamente uma política de rede por um determinado número de minutos configurando a propriedade do objeto do usuário MINS_TO_BYPASS_NETWORK_POLICY, que pode ser visualizada executando DESCRIBE USER. Somente o Snowflake pode definir o valor para este objeto de propriedade. Entre em contato com o suporte Snowflake para definir um valor para essa propriedade.

Uso da replicação com políticas de redes¶

O Snowflake oferece suporte à replicação e failover/failback para políticas de redes e suas atribuições de uma conta de origem para uma conta de destino.

Para obter mais detalhes, consulte Replicação de integrações de segurança e políticas de redes em múltiplas contas.

Mudanças na funcionalidade da política de redes¶

A introdução de regras de rede altera a forma como os administradores usam as políticas de redes para controlar o tráfego de rede, incluindo:

• Quando uma política de redes usa regras de rede, a política não deve usar os parâmetros ALLOWED_IP_LIST e BLOCKED_IP_LIST para especificar endereços IP individuais. Não use as duas formas para restringir o acesso.

• Os administradores não podem usar Snowsight ou Classic Console para criar regras de rede ou adicionar regras de rede a uma política de redes.

• As regras de rede não podem ser replicadas. Isto não afeta a capacidade atual de replicar políticas de redes sem regras de rede.

Limitações¶

Nesta versão preliminar, as restrições de regras de rede não se aplicam a solicitações que acessam um estágio interno usando um URL predefinido que foi gerado pela função GET_PRESIGNED_URL.

Práticas recomendadas¶

• Limite o escopo. As regras de rede são projetadas para agrupar pequenas unidades de identificadores de rede relacionados. Anteriormente, as políticas de redes geralmente continham uma lista grande e monolítica de endereços IP que deveriam ser permitidos ou bloqueados. A introdução de regras de rede altera esta estratégia. Por exemplo, você pode dividir os identificadores de rede da seguinte forma:

  • Criação de uma regra de rede para conter endereços IP de clientes para a região da América do Norte e uma regra diferente para a região da Europa e Oriente Médio.

  • Criação de uma regra de rede cujo objetivo é permitir o acesso a uma população especial, como usuários altamente privilegiados e usuários de contas de serviço. Esta regra de rede pode ser adicionada a uma política de redes aplicada a usuários individuais.

  • Criação de uma regra de rede com escopo para um ou mais aplicativos de dados.

  Com a introdução de regras de rede, Snowflake recomenda que você também limite o escopo das políticas de redes. Sempre que possível, limite uma política de redes a um grupo de usuários ou a uma integração de segurança, em vez de uma conta inteira.

• Adicione comentários. Ao criar uma regra de rede, use a propriedade COMMENT para acompanhar o que a regra deve fazer. Os comentários são importantes porque o Snowflake incentiva um grande número de pequenas regras direcionadas em vez de regras monolíticas.

  Você pode usar o comando SHOW NETWORK RULES para listar todas as regras de rede, incluindo seus comentários.

Identificadores suportados¶

Cada regra de rede contém uma lista de um ou mais identificadores de rede do mesmo tipo (por exemplo, uma regra de endereço IPv4 ou uma regra de ponto de extremidade privado).

A propriedade TYPE de uma regra de rede identifica quais tipos de identificadores a regra de rede contém, e a propriedade VALUE_LIST especifica esses identificadores.

Para obter uma lista completa dos tipos de identificadores que podem ser restringidos usando regras de rede, consulte Identificadores de rede suportados.

Ao adicionar uma regra de rede à lista permitida de uma política de redes, você não precisa bloquear explicitamente outros identificadores do mesmo tipo; apenas os identificadores permitidos têm acesso. No entanto, identificadores de tipo diferente não são bloqueados automaticamente. Por exemplo, se você adicionar uma regra de rede IPV4 com um único endereço IP à lista de permissões, todos os outros endereços IPv4 serão bloqueados. No entanto, os pontos de extremidade VPC ainda terão acesso, a menos que regras de rede adicionais sejam usadas.

Por exemplo, uma regra de rede que utiliza identificadores de pontos de extremidade privados, como o Azure LinkIDs ou AWS VPCE IDs para restringir o acesso, não tem efeito sobre as solicitações provenientes da rede pública. Se quiser restringir o acesso com base em identificadores de ponto de extremidade privado e, em seguida, bloquear completamente as solicitações de endereços IPv4 públicos, você deverá criar duas regras de rede separadas.

As seguintes regras de rede podem ser combinadas em uma política de redes para permitir um VPCE ID ao bloquear o tráfego de rede pública.

CREATE NETWORK RULE block_public_access
  MODE = INGRESS
  TYPE = IPV4
  VALUE_LIST = ('0.0.0.0/0');

CREATE NETWORK RULE allow_vpceid_access
  MODE = INGRESS
  TYPE = AWSVPCEID
  VALUE_LIST = ('vpce-0fa383eb170331202');

CREATE NETWORK POLICY allow_vpceid_block_public_policy
  ALLOWED_NETWORK_RULE_LIST = ('allow_vpceid_access')
  BLOCKED_NETWORK_RULE_LIST=('block_public_access');

Proteção do serviço Snowflake¶

Esta seção discute como usar regras de rede para restringir o acesso apenas ao serviço Snowflake. Se você quiser restringir o acesso ao serviço e ao estágio interno de uma conta no AWS, consulte Proteção de estágios internos no AWS.

Para restringir o acesso ao serviço Snowflake, defina a propriedade MODE da regra de rede como INGRESS.

Você pode então usar a propriedade TYPE para especificar os identificadores que devem ser permitidos ou bloqueados.

Proteção de estágios internos no AWS¶

Esta seção discute como usar regras de rede para restringir o acesso a estágios internos no AWS, incluindo como restringir simultaneamente o acesso ao serviço Snowflake e ao estágio interno. Isso inclui:

• Diretrizes para estágios internos

• Ativação de restrições de estágio interno

• Estratégia para proteger apenas o estágio interno

• Estratégias para proteger o serviço e o estágio interno

Atualmente, não é possível usar uma política de redes atribuída a uma integração de segurança para restringir o acesso a um estágio interno.

USE ROLE ACCOUNTADMIN;
ALTER ACCOUNT SET ENFORCE_NETWORK_RULES_FOR_INTERNAL_STAGES = true;

Criação de uma regra de rede¶

Um administrador pode executar o comando CREATE NETWORK RULE para criar uma nova regra de rede, especificando uma lista de identificadores de rede junto com o tipo desses identificadores.

A criação de uma regra de rede não define se está permitindo ou bloqueando os identificadores de rede. Os administradores especificam essas permissões ao adicionar a regra de rede a uma política de redes.

Por exemplo, para usar uma função personalizada para criar uma regra de rede que possa ser usada para permitir ou bloquear o tráfego de um intervalo de endereços IP:

GRANT USAGE ON DATABASE securitydb TO ROLE network_admin;
GRANT USAGE ON SCHEMA securitydb.myrules TO ROLE network_admin;
GRANT CREATE NETWORK RULE ON SCHEMA securitydb.myrules TO ROLE network_admin;
USE ROLE network_admin;

CREATE NETWORK RULE cloud_network TYPE = IPV4 VALUE_LIST = ('47.88.25.32/27');

Depois de criada, a propriedade de uma regra de rede pode ser transferida para outra função.

Adição de regras de rede a uma política de redes¶

As regras de rede organizam identificadores de rede e definem o que é restrito, mas não impõem restrições. Em vez disso, as regras de rede são adicionadas às políticas de redes, que são então aplicadas a uma conta ou usuário para controlar o acesso.

Um administrador especifica se os identificadores de rede de uma regra de rede devem ser permitidos ou bloqueados adicionando a regra ao parâmetro apropriado de uma política de redes. Se você tiver criado um nome que diferencia maiúsculas de minúsculas para a regra de rede, deverá usar aspas duplas ao atribuí-lo a uma política de redes.

O parâmetro ALLOWED_NETWORK_RULE_LIST de uma política de redes define uma lista de regras de rede que contêm identificadores de rede permitidos. Depois de adicionar pelo menos uma regra de rede a esse parâmetro, não será necessário bloquear explicitamente outros identificadores do mesmo tipo; apenas os identificadores permitidos têm acesso. No entanto, identificadores de tipo diferente não são bloqueados automaticamente. Por exemplo, se você adicionar uma regra de rede IPV4 com um único endereço IP à lista de permissões, todos os outros endereços IPv4 serão bloqueados. No entanto, os pontos de extremidade VPC ainda terão acesso, a menos que regras de rede adicionais sejam usadas.

Se você quiser bloquear explicitamente identificadores de rede usando uma regra de rede, adicione a regra ao parâmetro BLOCKED_NETWORK_RULE_LIST da política de redes.

Depois de adicionar uma regra de rede a uma política de redes, você pode executar o comando DESCRIBE NETWORK POLICY para verificar.

Depois que as regras de rede forem adicionadas a um dos parâmetros da política de redes, você poderá anexar a política a uma conta ou usuário para aplicar as restrições.

Exemplos¶

Crie duas regras de rede corp_network e cloud_network e, em seguida, crie uma política de redes que permita os identificadores de rede nessas regras:

CREATE NETWORK RULE corp_network TYPE = AWSVPCEID VALUE_LIST = ('vpce-123abc3420c1931');
CREATE NETWORK RULE cloud_network TYPE = IPV4 VALUE_LIST = ('47.88.25.32/27');

CREATE NETWORK POLICY account_policy ALLOWED_NETWORK_RULE_LIST = ( 'corp_network', 'cloud_network' );

Modifique uma política de redes, substituindo regras de rede bloqueadas anteriormente por uma nova regra de rede chamada other_network:

ALTER NETWORK POLICY my_policy SET BLOCKED_NETWORK_RULE_LIST = ( 'other_network' );

Adicione uma única regra de rede à lista de permissões de uma política de redes existente. As regras de rede que foram adicionadas anteriormente à lista de permissões da política permanecem em vigor.

ALTER NETWORK POLICY my_policy ADD ALLOWED_NETWORK_RULE_LIST = ( 'new_rule' );

Remova uma regra de rede da lista de bloqueados da política de redes:

ALTER NETWORK POLICY my_policy REMOVE BLOCKED_NETWORK_RULE_LIST = ( 'other_network' );