Regras de rede¶

Identificadores de rede suportados¶

Os administradores precisam ser capazes de restringir o acesso com base no identificador de rede associado à origem ou ao destino de uma solicitação. As regras de rede permitem que os administradores permitam ou bloqueiem os seguintes identificadores de rede:

Solicitações recebidas

• Endereços IPv4

• VPCE IDs de pontos de extremidade AWS VPC. VPC IDs não são suportados.

• Pontos de extremidade LinkIDs do Azure. Execute a função SYSTEM$GET_PRIVATELINK_AUTHORIZED_ENDPOINTS para recuperar o LinkID associado a uma conta.

Solicitações enviadas

Domínios, incluindo um intervalo de portas opcional

Cada regra de rede contém uma lista de um ou mais identificadores de rede do mesmo tipo. A propriedade TYPE da regra de rede indica o tipo de identificadores incluídos na regra. Por exemplo, se a propriedade TYPE for IPV4, a lista de valores da regra de rede deverá conter endereços IPv4 ou intervalos de endereços válidos na notação CIDR.

Solicitações recebidas ou enviadas¶

O modo de uma regra de rede indica se o recurso Snowflake que usa a regra restringe o recebimento ou envio de solicitações.

Criação de uma regra de rede¶

Um administrador executa o comando CREATE NETWORK RULE para criar uma nova regra de rede, especificando uma lista de identificadores de rede junto com o tipo desses identificadores.

O administrador usa o parâmetro MODE para indicar se a regra de rede é usada para restringir o envio ou o recebimento das solicitações. Se o administrador não incluir o parâmetro MODE, o padrão será INGRESS, o que significa que a regra de rede é usada pelas políticas de redes para restringir o tráfego de rede de entrada para o serviço Snowflake.

A criação de uma regra de rede não define se está permitindo ou bloqueando os identificadores de rede. Os administradores especificam essas restrições ao configurar o recurso Snowflake que usa a regra de rede.

Exemplo: regra de rede para política de redes

O código no exemplo a seguir usa uma função personalizada para criar uma regra de rede que pode ser usada para permitir ou bloquear o tráfego de um intervalo de endereços IP para o serviço Snowflake:

CREATE ROLE network_admin;
GRANT USAGE ON DATABASE securitydb TO ROLE network_admin;
GRANT USAGE ON SCHEMA securitydb.myrules TO ROLE network_admin;
GRANT CREATE NETWORK RULE ON SCHEMA securitydb.myrules TO ROLE network_admin;
USE ROLE network_admin;

CREATE NETWORK RULE cloud_network
  MODE = INGRESS
  TYPE = IPV4
  VALUE_LIST = ('47.88.25.32/27');

Modificação de uma regra de rede¶

O proprietário de uma regra de rede pode executar o comando ALTER NETWORK RULE para substituir os identificadores de rede e os comentários da regra. Você não pode adicionar ou remover identificadores de rede individuais à regra de rede; os identificadores existentes são perdidos ao adicionar novos valores.

Os TYPE e MODE da regra de rede não podem ser modificados.

Por exemplo, o proprietário de uma regra de rede pode modificá-la para que possa ser usada para permitir ou bloquear o tráfego de um novo intervalo de endereços IPv4:

ALTER NETWORK RULE cloud_network SET VALUE_LIST = ('47.88.25.32/27');

O proprietário da regra de rede também pode remover todos os identificadores de rede da regra:

ALTER NETWORK RULE cloud_network UNSET VALUE_LIST;

Replicação de regras de rede¶

As regras de rede são objetos no nível do esquema e são replicadas com o banco de dados no qual estão contidas.

Para obter informações sobre como replicar as políticas de redes que usam regras de rede, consulte Replicação de políticas de redes.

Privilégios e comandos¶