Pontos de extremidade da interface AWS VPC para estágios internos¶

Benefícios¶

A implementação de pontos de extremidade da interface VPC para acessar os estágios internos do Snowflake oferece as seguintes vantagens:

• Os dados do estágio interno não atravessam a Internet pública.

• Aplicativos clientes e SaaS, tais como Microsoft PowerBI, que funcionam fora do AWS VPC, podem se conectar ao Snowflake com segurança.

• Os administradores não são obrigados a modificar as configurações do firewall para acessar os dados do estágio interno.

• Os administradores podem implementar segurança e monitoramento consistentes sobre como os usuários se conectam às contas de armazenamento.

Limitações¶

Para limitações do AWS PrivateLink, consulte a documentação do AWS.

Pré-requisitos¶

• Defina o parâmetro ENABLE_INTERNAL_STAGES_PRIVATELINK para ativar o suporte para conexão com um estágio interno em AWS PrivateLink. Para ambas as estratégias de implementação discutidas neste tópico, o administrador da conta deve executar:

  use role accountadmin;
  alter account set ENABLE_INTERNAL_STAGES_PRIVATELINK = true;
  

  Copy

• AWS PrivateLink para S3.

  Importante

  O AWS PrivateLink para S3 é um serviço AWS que precisa ser habilitado em seu ambiente de nuvem.

  Para obter ajuda na configuração e implementação deste serviço, entre em contato com seu administrador AWS interno.

• Atualize a lista de permissões do firewall da seguinte forma:

  • Se utilizar um firewall de saída, certifique-se de que ele permite todas as URLs exigidas pelo Snowflake. Para obter mais detalhes, consulte SnowCD (Connectivity Diagnostic Tool).

• Para clientes us-east-1 somente: Se utilizar um dos seguintes clientes Snowflake para conectar-se ao Snowflake, atualize para a versão de cliente da seguinte forma:

  • Driver JDBC: 3.13.3 (ou superior)

  • Driver ODBC: 2.23.2 (ou superior)

  • Conector Python para Snowflake: 2.5.1 (ou superior)

  • SnowSQL: 1.2.17 (ou superior)

    • Atualize o SnowSQL antes de utilizar este recurso. Para obter mais informações, consulte Instalação do SnowSQL.

    • Observe que se for utilizada a opção SnowSQL --noup ,, a atualização automática do SnowSQL fica desativada e uma nova versão do SnowSQL não pode ser baixada. Para atualizar, desative a opção --noup e reative-a após a atualização estar concluída.

Como escolher uma estratégia de implementação¶

A escolha da estratégia de implementação correta depende se sua organização está usando AWS PrivateLink para acessar um único estágio interno ou vários estágios internos.

• Se sua organização estiver acessando o estágio interno de uma única conta, consulte Acesso a um estágio interno com um ponto de extremidade da interface.

• Se sua organização estiver acessando os estágios internos de várias contas, consulte Acesso a estágios internos com pontos de extremidade de interface dedicados. Essa estratégia usa vários pontos de extremidade da interface para conexão, um para cada estágio interno.

Procedimento¶

Complete as seguintes etapas para configurar e implementar o acesso seguro ao estágio interno do Snowflake através do ponto de extremidade VPC:

1. Como administrador de conta Snowflake, execute as seguintes instruções em sua conta Snowflake e registre o valor definido pela chave privatelink_internal_stage. Observe que o nome do bucket Amazon S3 é definido no primeiro segmento da URL quando lido da esquerda para a direita. Para obter mais informações, consulte ENABLE_INTERNAL_STAGES_PRIVATELINK e SYSTEM$GET_PRIVATELINK_CONFIG.

   use role accountadmin;
   alter account set ENABLE_INTERNAL_STAGES_PRIVATELINK = true;
   select key, value from table(flatten(input=>parse_json(system$get_privatelink_config())));
   

   Copy

2. Como administrador AWS, crie um ponto de extremidade VPC para AWS PrivateLink para S3 usando o Console AWS. Registre o nome VPCE DNS para uso na próxima etapa; não registre qualquer nome de zona VPCE DNS.

   O nome VPCE DNS pode ser encontrado descrevendo um ponto de extremidade de interface uma vez que o ponto de extremidade esteja criado.

   Neste exemplo, um curinga (ou seja, *) é listado como o caractere principal no nome VPCE DNS. Substitua o curinga principal pelo nome do bucket S3 da etapa anterior. Por exemplo:

   Substitua

   *.vpce-000000000000a12-abc00ef0.s3.us-west-2.vpce.amazonaws.com

   Por

   <nome_do_bucket>.vpce-000000000000a12-abc00ef0.s3.us-west-2.vpce.amazonaws.com

3. Como administrador da rede, atualizar as configurações DNS para resolver a seguinte URL:

   <nome_do_bucket>.s3.<região>.amazonaws.com para o nome VPCE DNS depois que o curinga principal tiver sido substituído pelo nome do bucket Amazon S3.

   Neste exemplo, resolva <nome_do_bucket>.s3.<região>.amazonaws.com para <nome_do_bucket>.vpce-000000000000a12-abc00ef0.s3.us-west-2.vpce.amazonaws.com.

   Dica

   • Não utilize caracteres curinga (ou seja, *) com mapeamento DNS devido ao possível impacto de acessar outros buckets Amazon S3 fora do Snowflake.

   • Use uma conta Snowflake separada para testes e configure uma zona DNS hospedada privada em um VPC de teste para testar o recurso de forma que o teste seja isolado e não tenha impacto em suas outras cargas de trabalho.

   • Se não for possível usar uma conta Snowflake separada, use um usuário de teste para acessar o Snowflake a partir de um VPC de teste onde as alterações DNS são feitas.

   • Para testar a partir de aplicativos no local, use o encaminhamento de DNS para encaminhar solicitações para a zona hospedada privada AWS no VPC onde as configurações DNS são feitas. Se houver aplicativos clientes tanto no VPC quanto no local, use o AWS Transit Gateway.

   • Execute o seguinte comando da máquina cliente para verificar se o endereço IP retornado é o endereço IP privado para a conta de armazenamento:

     dig <bucket_name>.s3.<region>.amazonaws.com
     

     Copy

4. Para contas Snowflake em us-east-1, verifique se seus clientes Snowflake estão em suas versões mais recentes.

Benefícios¶

A estratégia na qual um estágio interno em uma implantação AWS tem um ponto de extremidade de interface dedicado do Amazon S3 tem os seguintes benefícios:

Segurança

Cada conta pode ter uma estratégia de segurança diferente porque os pontos de extremidade de interface individuais podem ter configurações de segurança diferentes.

Modelos de chargeback

As empresas podem isolar o tráfego de rede com base no tipo de conta (por exemplo, produção versus desenvolvimento) e atribuir os custos associados ao fluxo de dados através de um ponto de extremidade à conta correta.

Gerenciamento de DNS

O nome DNS de um ponto de extremidade de interface do Amazon S3 é um nome globalmente exclusivo que localiza o ponto de extremidade específico em uma região específica. AWS registra automaticamente esse nome DNS em seu serviço DNS público, o que significa que ele pode ser resolvido publicamente. Por esses motivos, um administrador não precisa fazer nenhuma configuração DNS adicional para rotear o tráfego por meio de um ponto de extremidade de interface do Amazon S3 para um estágio interno. Por exemplo, o administrador não precisa configurar uma zona hospedada privada (PHZ) ao configurar o serviço Amazon Route 53 DNS ou registrar um nome DNS para apontar para um ponto de extremidade.

Configuração¶

A estratégia de isolamento de rede consiste no seguinte:

1. Em AWS, um administrador cria um novo ponto de extremidade de interface do Amazon S3 para cada conta Snowflake na organização. Por exemplo, se uma organização tiver duas contas na implantação do Snowflake, o administrador criará dois pontos de extremidade de interface.

2. No Snowflake, um administrador usa o parâmetro S3_STAGE_VPCE_DNS_NAME para associar cada conta Snowflake ao nome DNS de seu ponto de extremidade de interface dedicado. Todo o tráfego para o estágio interno da conta passa por esse ponto de extremidade de interface.

alter account set S3_STAGE_VPCE_DNS_NAME='*.vpce-sd98fs0d9f8g.s3.us-west2.vpce.amazonaws.com';

Valor DNS final¶

O nome DNS final associado a uma conta tem o formato: <nomebucket>.bucket.vpce-<vpceid>.s3.<região>.vpce.amazonaws.com

Onde:

• <nomebucket> é o nome do bucket Amazon S3 do estágio interno.

• <vpceid> é o identificador exclusivo do ponto de extremidade da interface Amazon S3 associado à conta.

• <região> é a região da nuvem que hospeda sua conta Snowflake.

O nome DNS final aparece nos logs de cada driver que se conecta ao estágio interno.