Controle do tráfego de rede com políticas de rede¶

Fluxo de trabalho¶

O fluxo de trabalho geral de uso de políticas de redes para controlar o tráfego de rede de entrada é:

1. Crie regras de rede com base na finalidade e no tipo de identificador de rede.

2. Crie uma ou mais políticas de redes que incluam as regras de rede que contêm os identificadores a serem permitidos ou bloqueados.

3. Ative a política de redes para uma conta, usuário ou integração de segurança. Uma política de redes não restringe o tráfego de rede até que seja ativada.

Interação entre listas de permissões e listas de bloqueio¶

Quando você adiciona uma regra de rede à lista de permissões de uma política de redes, não precisa usar a lista de bloqueios para bloquear explicitamente outros identificadores do mesmo tipo; somente os identificadores permitidos têm acesso. No entanto, identificadores de tipo diferente não são bloqueados automaticamente. Por exemplo, se você adicionar uma regra de rede IPv4 com um único endereço IP à lista de permissões, todos os outros endereços IPv4 serão bloqueados. Não há necessidade de usar a lista de bloqueios para restringir o acesso de outros endereços IP. No entanto, os pontos de extremidade VPC ainda terão acesso, a menos que regras de rede adicionais sejam adicionadas à política de redes.

Se uma política de redes tiver o mesmo valores de endereço IP em ambos os parâmetros ALLOWED_IP_LIST e BLOCKED_IP_LIST, o Snowflake aplica os valores no parâmetro BLOCKED_IP_LIST primeiro. Este comportamento também se aplica aos parâmetros ALLOWED_NETWORK_RULE_LIST e BLOCKED_NETWORK_RULE_LIST.

Em conexões privadas, se uma política de rede tiver uma política de redes VPCE ID (AWS) ou LinkID (Azure) no parâmetro ALLOWED_NETWORK_RULE_LIST, as regras de rede de IP nos parâmetros BLOCKED_NETWORK_RULE_LIST são ignorados, fazendo com que as regras de rede VPCE ID ou LinkID tenham precedência.

Por exemplo, uma regra de rede que utiliza identificadores de pontos de extremidade privados, como o Azure LinkIDs ou AWS VPCE IDs para restringir o acesso, não tem efeito sobre as solicitações provenientes da rede pública. Se quiser restringir o acesso com base em identificadores de ponto de extremidade privado e, em seguida, bloquear completamente as solicitações de endereços IPv4 públicos, você deverá criar duas regras de rede separadas, um para a lista de permissões e outro para a lista de bloqueio.

As seguintes regras de rede podem ser combinadas em uma política de redes para permitir um VPCE ID ao bloquear o tráfego de rede pública.

CREATE NETWORK RULE block_public_access
  MODE = INGRESS
  TYPE = IPV4
  VALUE_LIST = ('0.0.0.0/0');

CREATE NETWORK RULE allow_vpceid_access
  MODE = INGRESS
  TYPE = AWSVPCEID
  VALUE_LIST = ('vpce-0fa383eb170331202');

CREATE NETWORK POLICY allow_vpceid_block_public_policy
  ALLOWED_NETWORK_RULE_LIST = ('allow_vpceid_access')
  BLOCKED_NETWORK_RULE_LIST=('block_public_access');

CREATE NETWORK RULE allow_access_rule
  MODE = INGRESS
  TYPE = IPV4
  VALUE_LIST = ('192.168.1.0/24');

CREATE NETWORK RULE block_access_rule
  MODE = INGRESS
  TYPE = IPV4
  VALUE_LIST = ('192.168.1.99');

CREATE NETWORK POLICY public_network_policy
  ALLOWED_NETWORK_RULE_LIST = ('allow_access_rule')
  BLOCKED_NETWORK_RULE_LIST=('block_access_rule');

Precedência de política de redes¶

É possível aplicar uma política de redes a uma conta, a uma integração de segurança ou a um usuário. Se houver políticas de redes aplicadas a mais de uma delas, a política de redes mais específica substituirá as políticas de redes mais gerais. O seguinte resume a ordem de precedência:

Conta:

As políticas de redes aplicadas a uma conta são as políticas de redes mais gerais. Elas são substituídas por políticas de redes aplicadas a uma integração de segurança ou usuário.

Integração de segurança:

As políticas de redes aplicadas a uma integração de segurança substituem as políticas de redes aplicadas à conta, mas são substituídas por uma política de redes aplicada a um usuário.

Usuário:

As políticas de redes aplicadas a um usuário são as políticas de redes mais específicas. Elas substituem contas e integrações de segurança.

Como ignorar uma política de redes¶

É possível ignorar temporariamente uma política de rede por um determinado número de minutos configurando a propriedade do objeto do usuário MINS_TO_BYPASS_NETWORK_POLICY, que pode ser visualizada executando DESCRIBE USER. Somente o Snowflake pode definir o valor para este objeto de propriedade. Entre em contato com o suporte Snowflake para definir um valor para essa propriedade.

Práticas recomendadas¶

• Limite o escopo. As regras de rede são projetadas para agrupar pequenas unidades de identificadores de rede relacionados. Anteriormente, as políticas de redes geralmente continham uma lista grande e monolítica de endereços IP que deveriam ser permitidos ou bloqueados. A introdução de regras de rede altera esta estratégia. Por exemplo, você pode dividir os identificadores de rede da seguinte forma:

  • Criação de uma regra de rede para conter endereços IP de clientes para a região da América do Norte e uma regra diferente para a região da Europa e Oriente Médio.

  • Criação de uma regra de rede cujo objetivo é permitir o acesso a uma população especial, como usuários altamente privilegiados e usuários de contas de serviço. Esta regra de rede pode ser adicionada a uma política de redes aplicada a usuários individuais.

  • Criação de uma regra de rede com escopo para um ou mais aplicativos de dados.

  Com a introdução de regras de rede, Snowflake recomenda que você também limite o escopo das políticas de redes. Sempre que possível, limite uma política de redes a um grupo de usuários ou a uma integração de segurança, em vez de uma conta inteira.

• Adicione comentários. Ao criar uma regra de rede, use a propriedade COMMENT para acompanhar o que a regra deve fazer. Os comentários são importantes porque o Snowflake incentiva um grande número de pequenas regras direcionadas em vez de regras monolíticas.

  Você pode usar o comando SHOW NETWORK RULES para listar todas as regras de rede, incluindo seus comentários.

Identificadores suportados¶

Cada regra de rede contém uma lista de um ou mais identificadores de rede do mesmo tipo (por exemplo, uma regra de endereço IPv4 ou uma regra de ponto de extremidade privado).

A propriedade TYPE de uma regra de rede identifica quais tipos de identificadores a regra de rede contém.

Para obter uma lista completa dos tipos de identificadores que podem ser restringidos usando regras de rede, consulte Identificadores de rede suportados.

Proteção do serviço Snowflake¶

Esta seção discute como usar regras de rede para restringir o acesso apenas ao serviço Snowflake. Se você quiser restringir o acesso ao serviço e ao estágio interno de uma conta no AWS, consulte Proteção de estágios internos no AWS.

Para restringir o acesso ao serviço Snowflake, defina a propriedade MODE da regra de rede como INGRESS.

Você pode então usar a propriedade TYPE para especificar os identificadores que devem ser permitidos ou bloqueados.

Proteção de estágios internos no AWS¶

Esta seção discute como usar regras de rede para restringir o acesso a estágios internos no AWS, incluindo como restringir simultaneamente o acesso ao serviço Snowflake e ao estágio interno. Isso inclui:

• Limitações

• Pré-requisito: ativação de restrições de estágio interno

• Diretrizes para estágios internos

• Estratégia para proteger apenas o estágio interno

• Estratégias para proteger o serviço e o estágio interno

USE ROLE ACCOUNTADMIN;
ALTER ACCOUNT SET ENFORCE_NETWORK_RULES_FOR_INTERNAL_STAGES = true;

Criação de uma regra de rede¶

Você precisa do privilégio CREATE NETWORK RULE no esquema para criar uma regra de rede. Por padrão, somente as funções ACCOUNTADMIN e SECURITYADMIN, juntamente com o proprietário do esquema, têm esse privilégio.

O modo de uma regra de rede que será usada por uma política de redes deve ser INGRESS ou INTERNAL STAGE.

Para entender melhor as práticas recomendadas e estratégias para a criação de regras de rede, consulte Sobre regras de rede.

Você pode criar uma regra de rede usando Snowsight ou executando um comando SQL:

Snowsight:

1. Entre em Snowsight.

2. Selecione Admin » Security.

3. Selecione a guia Network Rules.

4. Selecione + Network Rule.

5. Insira o nome da regra de rede.

6. Selecione o esquema da regra de rede. As regras de rede são objetos no nível do esquema.

7. Opcionalmente, adicione um comentário descritivo à regra de rede para ajudar a organizar e manter as regras de rede no esquema.

8. No menu suspenso Type, selecione o tipo de identificador que está sendo definido na regra de rede. O tipo Host Port não é uma opção válida para regras de rede usadas com políticas de redes.

9. No menu suspenso Mode, selecione Ingress ou Internal Stage. O modo Egress não é uma opção válida para regras de rede usadas com políticas de redes.

10. Insira uma lista separada por vírgulas dos identificadores que serão permitidos ou bloqueados quando a regra de rede for adicionada a uma política de redes. Os identificadores nesta lista devem ser todos do tipo especificado no menu suspenso Type.

11. Selecione Create Network Rule.

SQL:

Um administrador pode executar o comando CREATE NETWORK RULE para criar uma nova regra de rede, especificando uma lista de identificadores de rede junto com o tipo desses identificadores.

Por exemplo, para usar uma função personalizada para criar uma regra de rede que possa ser usada para permitir ou bloquear o tráfego de um intervalo de endereços IP:

GRANT USAGE ON DATABASE securitydb TO ROLE network_admin;
GRANT USAGE ON SCHEMA securitydb.myrules TO ROLE network_admin;
GRANT CREATE NETWORK RULE ON SCHEMA securitydb.myrules TO ROLE network_admin;
USE ROLE network_admin;

CREATE NETWORK RULE cloud_network TYPE = IPV4 VALUE_LIST = ('47.88.25.32/27');

Copy

Modificar uma regra de rede¶

Você pode modificar a regra de rede usando Snowsight ou SQL.

Snowsight:

1. Entre em Snowsight.

2. Selecione Admin » Security.

3. Selecione a guia Network Rules.

4. Encontre a regra de rede, selecione o botão … e selecione Edit.

5. Modifique a regra de rede conforme necessário.

6. Selecione Update Network Rule.

SQL:

Execute uma instrução ALTER NETWORK RULE.

Criação de uma política de redes¶

Somente administradores de segurança (ou seja, usuários com a função SECURITYADMIN) ou superior ou uma função com o privilégio global CREATE NETWORK POLICY podem criar políticas de rede. A propriedade de uma política de rede pode ser transferida para outra função.

Você pode criar uma política de redes usando Snowsight ou SQL:

Snowsight:

1. Entre em Snowsight.

2. Selecione Admin » Security.

3. Selecione a guia Network Policies.

4. Selecione + Network Policy.

5. Insira o nome da política de redes.

6. Opcionalmente, insira um comentário descritivo.

7. Para adicionar uma regra de rede à lista de permissões, selecione Allowed e selecione Select rule. Você pode adicionar várias regras de rede à lista de permissões selecionando novamente Select rule.

8. Para adicionar uma regra de rede à lista de bloqueio, selecione Blocked e selecione Select rule. Você pode adicionar várias regras de rede à lista de bloqueio selecionando novamente Select rule.

9. Selecione Create Network Policy.

SQL:

Execute uma instrução CREATE NETWORK POLICY.

Identificação de políticas de redes em sua conta¶

Você pode identificar as políticas de redes na sua conta usando Snowsight ou SQL.

Snowsight:

1. Entre em Snowsight.

2. Selecione Admin » Security.

3. Selecione a guia Network Policies.

SQL:

Faça uma das seguintes opções:

• Chame a função de tabela Information Schema POLICY_REFERENCES.

• Consulte a exibição Account Usage POLICY_REFERENCES ou NETWORK_POLICIES.

• Execute o comando SHOW PARAMETERS da seguinte maneira:

  SHOW PARAMETERS LIKE 'network_policy' IN ACCOUNT;
  

  Copy

Modificação de uma política de redes¶

Você pode adicionar ou remover regras de rede da lista de permissões e da lista de bloqueio de uma política de redes existente usando Snowsight ou SQL. Se estiver editando uma política de redes que usa os parâmetros ALLOWED_IP_LIST e BLOCKED_IP_LIST em vez de uma regra de rede, você deverá usar SQL para modificar a política de redes.

Snowsight:

1. Entre em Snowsight.

2. Selecione Admin » Security.

3. Selecione a guia Network Policies.

4. Encontre a política de redes, selecione o botão … e selecione Edit.

5. Para adicionar uma regra de rede à lista de permissões, selecione Allowed e selecione Select rule. Você pode adicionar várias regras de rede à lista de permissões selecionando novamente Select rule.

6. Para adicionar uma regra de rede à lista de bloqueio, selecione Blocked e selecione Select rule. Você pode adicionar várias regras de rede à lista de bloqueio selecionando novamente Select rule.

7. Para remover uma regra de rede da lista de permissões ou bloqueio da política de redes:

   1. Selecione Allowed ou Blocked.

   2. Encontre a regra de rede na lista e selecione X para removê-la.

SQL:

Use o comando ALTER NETWORK POLICY para adicionar ou remover regras de rede de uma política de redes existente.

Ao adicionar uma regra de rede à lista de permissões ou à lista de bloqueio, você pode substituir todas as regras de rede existentes na lista ou adicionar a nova regra, mantendo a lista existente. Os exemplos a seguir mostram cada uma dessas opções:

• Use a cláusula SET para substituir as regras de rede na lista de bloqueio por uma nova regra de rede chamada other_network:

  ALTER NETWORK POLICY my_policy SET BLOCKED_NETWORK_RULE_LIST = ( 'other_network' );
  

  Copy

• Use a cláusula ADD para adicionar uma única regra de rede à lista de permissões de uma política de redes existente. As regras de rede que foram adicionadas anteriormente à lista de permissões da política permanecem em vigor.

  ALTER NETWORK POLICY my_policy ADD ALLOWED_NETWORK_RULE_LIST = ( 'new_rule' );
  

  Copy

Você também pode remover uma regra de rede de uma lista existente sem substituir a lista inteira. Por exemplo, para remover uma regra de rede da lista de bloqueio da política de redes:

ALTER NETWORK POLICY my_policy REMOVE BLOCKED_NETWORK_RULE_LIST = ( 'other_network' );

Copy

Ativação de uma política de redes para sua conta¶

A ativação de uma política de redes para uma conta aplica a política a todos os usuários da conta.

Somente administradores de segurança (ou seja, usuários com a função SECURITYADMIN) ou superior ou uma função com o privilégio global ATTACH POLICY podem ativar uma política de redes para uma conta.

Assim que a política for associada à sua conta, o Snowflake restringe o acesso à sua conta com base na lista de permissões e lista de bloqueio. O acesso é negado a qualquer usuário que tente fazer login a partir de uma origem de rede restrita pelas regras. Além disso, quando uma política de rede é associada à sua conta, qualquer usuário restrito que já esteja conectado ao Snowflake é impedido de executar outras consultas.

Você pode criar várias políticas de redes, mas somente uma política de redes pode ser associada a uma conta por vez. A associação de uma política de rede com sua conta remove automaticamente a política de rede atualmente associada (se houver).

Observe que seu endereço IP atual ou identificador de ponto de extremidade privado deve ser incluído na lista de permissões da política. Caso contrário, ao ativar a política, o Snowflake retorna um erro. Além disso, seu identificador atual não pode ser incluído na lista de bloqueio.

Se você quiser determinar se já existe uma política de redes no nível da conta antes de ativar uma nova, consulte Identificar uma política de redes ativada.

Você pode ativar uma política de redes para sua conta usando Snowsight ou SQL:

Snowsight:

1. Selecione Admin » Security.

2. Selecione a guia Network Policies.

3. Encontre a política de redes, selecione o botão … e selecione Activate.

4. Selecione Activate policy.

SQL:

Execute a instrução ALTER ACCOUNT para definir o parâmetro NETWORK_POLICY da conta. Por exemplo:

ALTER ACCOUNT SET NETWORK_POLICY = my_policy;

Copy

Ativar políticas de redes para usuários individuais¶

Para aplicar uma política de redes a um usuário específico na sua conta Snowflake, ative a política de redes para o usuário. Apenas uma única política de redes pode ser ativada para cada usuário por vez. A capacidade de ativar diferentes políticas de redes para diferentes usuários permite um controle granular. Associar uma política de rede com um usuário remove automaticamente a política de rede atualmente associada (se houver).

Quando a política é associada ao usuário, o Snowflake restringe o acesso ao usuário com base na lista de permissões e na lista de bloqueios. Se o usuário com uma política de redes de nível de usuário ativada tentar fazer login de um local de rede restrito pelas regras, o acesso ao Snowflake será negado.

Além disso, quando uma política de redes em nível de usuário estiver associada ao usuário e o usuário já estiver conectado ao Snowflake, se o local de rede do usuário não corresponder às regras da política de redes em nível de usuário, o Snowflake impedirá que o usuário execute outras consultas.

Se você quiser determinar se já existe uma política de redes no nível do usuário antes de ativar uma nova, consulte Identificar uma política de redes ativada.

Para ativar uma política de redes para um usuário individual, execute o comando ALTER USER para definir o parâmetro NETWORK_POLICY para o usuário. Por exemplo, execute:

ALTER USER joe SET NETWORK_POLICY = my_policy;

Ativar políticas de redes para integrações de segurança¶

Algumas integrações de segurança suportam a ativação de uma política de redes para controlar o tráfego de rede governado por essa integração. Essas integrações de segurança possuem um parâmetro NETWORK_POLICY que ativa a política de redes para a integração. Atualmente, SCIM e Snowflake OAuth oferecem suporte a políticas de redes em nível de integração.

Por exemplo, você pode ativar uma política de redes ao criar uma nova integração de segurança Snowflake OAuth. A política de redes restringiria o acesso de solicitações que tentam autenticar.

CREATE SECURITY INTEGRATION oauth_kp_int
  TYPE = oauth
  ENABLED = true
  OAUTH_CLIENT = custom
  OAUTH_CLIENT_TYPE = 'CONFIDENTIAL'
  OAUTH_REDIRECT_URI = 'https://example.com'
  NETWORK_POLICY = mypolicy;

Copy

Você pode executar a instrução ALTER SECURITY INTEGRATION … SET NETWORK_POLICY para ativar uma política de redes para uma integração de segurança existente.

Identificar uma política de redes ativada¶

Você pode identificar qual política de redes está ativada no nível de conta, usuário ou integração.

Conta:

1. Selecione Admin » Security.

2. Selecione a guia Network Policies.

3. Classifique a coluna Status para exibir as políticas de rede.

   A coluna Status mostra políticas de rede ativas e inativas. Selecione o valor da coluna para exibir mais detalhes sobre a política de redes, editar a política e excluir a política de redes. Você pode ativar e desativar uma política de redes que está definida na sua conta.

Como alternativa, você pode chamar a função POLICY_REFERENCES e especificar uma política de redes. Os valores nas colunas ref_entity_name e ref_entity_domain para uma linha individual indicam o objeto no qual a política de redes está definida.

Criação de uma política de redes com Classic Console¶

Somente administradores de segurança (ou seja, usuários com a função SECURITYADMIN) ou superior ou uma função com o privilégio global CREATE NETWORK POLICY podem criar políticas de rede. A propriedade de uma política de rede pode ser transferida para outra função.

1. Clique em Account » Policies. A página Policies é aberta.

2. Clique no botão Create. A caixa de diálogo Create Network Policy aparece.

3. No campo Name, digite um nome para a política da rede.

4. No campo Allowed IP Addresses, digite um ou mais endereços IPv4 que têm acesso a esta conta Snowflake, separados por vírgulas.

   Nota

   Para bloquear todos os endereços IP exceto para um conjunto de endereços específicos, basta definir uma lista de endereços IP permitidos. O Snowflake bloqueia automaticamente todos os endereços IP não incluídos na lista de permissões.

5. No campo Blocked IP Addresses, opcionalmente, digite um ou mais endereços IPv4 que não tenham acesso a esta conta Snowflake, separados por vírgulas. Observe que este campo não é obrigatório e é usado principalmente para negar endereços específicos em um intervalo de endereços na lista de permissões.

6. Insira outras informações para a política da rede, conforme necessário, e clique em Finish.

Modificação de uma política de redes com Classic Console¶

Se você estiver usando Classic Console, faça o seguinte para modificar uma política de redes:

1. Clique em Account » Policies.

2. Clique em uma política para selecioná-la e preencha o painel lateral à direita.

3. Clique no botão Edit no painel direito.

4. Modifique os campos conforme necessário:

   • Para remover um endereço IP da lista Allowed IP Addresses ou Blocked IP Addresses, clique no x ao lado da entrada.

   • Para adicionar um endereço IP a qualquer uma das listas, digite um ou mais endereços IPv4 separados por vírgula no campo apropriado, e clique no botão Add.

5. Clique em Save.

Ativação de uma política de redes com Classic Console¶

Se você estiver usando Classic Console, poderá aplicar uma política de redes para todos os usuários em sua conta Snowflake ativando política de redes para sua conta.

1. Clique em Account » Policies.

2. Clique em uma política para selecioná-la e preencha o painel lateral à direita.

3. Clique no botão Activate no painel direito.