使用出口 IP 地址保护 Snowflake 请求的入口¶

支持的用法¶

使用 Snowflake 生成的出口 IP 地址，您可以允许从以下 Snowflake 功能进行入口访问：

• 从 UDFs 和程序 进行外部访问

• Snowpark Container Services 外部访问 和 Snowflake Openflow on Snowpark Container Services

生成出口 IP 地址范围¶

您可以使用 SYSTEM$GET_SNOWFLAKE_EGRESS_IP_RANGES 函数，生成 Snowflake 用于出口流量的 IP 地址范围。

生成的 IP 地址会过期，因此对于持续需求，您应该设置一种方法，使用新的出口 IP 地址自动刷新外部服务器的防火墙，如 自动化 IP 地址范围刷新 中所述。

要生成和使用 Snowflake 出口 IP 地址，请按照以下步骤操作：

1. 调用 SYSTEM$GET_SNOWFLAKE_EGRESS_IP_RANGES 获取当前和未来的 IP 范围及其过期时间。

   以下代码显示了该函数的示例输出。

   SELECT
    value: "ipv4_prefix":: VARCHAR AS IP_CIDR_RANGE_FOR_REGION,
    value: "effective":: TIMESTAMP AS IP_CIDR_RANGE_EFFECTIVE,
    value: "expires":: TIMESTAMP AS IP_CIDR_RANGE_EXPIRATION
   FROM TABLE(FLATTEN (INPUT => PARSE_JSON(SYSTEM$GET_SNOWFLAKE_EGRESS_IP_RANGES())));
   

   Copy

   +--------------------------+-------------------------+--------------------------+
   | IP_CIDR_RANGE_FOR_REGION | IP_CIDR_RANGE_EFFECTIVE | IP_CIDR_RANGE_EXPIRATION |
   +--------------------------+-------------------------+--------------------------+
   | 153.45.34.0/24           | 2025-08-01 00:00:00.000 | 2026-05-06 01:33:26.726  |
   | 153.45.77.0/24           | 2025-08-01 00:00:00.000 | 2026-05-06 01:33:26.726  |
   +--------------------------+-------------------------+--------------------------+
   

   • IP CIDR RANGE_EFFECTIVE 列显示范围开始承载流量的开始日期。新范围应在“生效”前至少 60 天出现在函数输出中。

   • IP CIDR RANGE_EXPIRATION 列显示 IP 范围停止承载流量时的日期。

2. 使用 APIs、CLIs 或配置管理工具，通过您获取的 IP 范围更新防火墙规则，如 自动化 IP 地址范围刷新 中所述。

自动化 IP 地址范围刷新¶

Snowflake 出口 IP 地址过期。为了确保访问安全，您必须更新允许通过外部服务器防火墙的 Snowflake 出口 IP 地址，保持其最新状态。

要保留 IP 地址为最新状态，请实施一种机制，定期（例如每天或每周）触发对外部服务器的这些更新。例如，您可以通过 使用环境工具 进行此操作。

要进行更新，请在脚本中执行以下步骤：

1. 利用 SYSTEM$GET_SNOWFLAKE_EGRESS_IP_RANGES 检索 Snowflake 出口 IP 地址范围。

2. 将新检索到的范围与您当前使用的范围进行比较。

   您可以通过仅在地址范围不同时进行更新来避免不必要的更改。

   • 如果地址范围没有不同，请让脚本使用到期日期来设置再次检查的时间，例如到期前几天。

   • 如果新检索到的列表不同，请使用新地址以编程方式更新防火墙规则。然后，您可以让脚本设置进行检查的新日期，例如新到期日期的前几天。

3. 记录脚本所做的更改，并设置更新成功或失败时的警报。