使用网络策略控制网络流量¶

工作流程¶

使用网络策略控制入站网络流量的常规工作流程是：

1. 根据网络规则的用途和网络标识符类型 创建网络规则。

2. 创建一个或多个网络策略，其中包括包含要允许或阻止的标识符的网络规则。

3. 为账户、用户或安全集成激活网络策略。网络策略在激活之前不会限制网络流量。

允许列表和阻止列表之间的交互¶

将网络规则添加到网络策略的允许名单时，不必使用阻止列表显式阻止相同类型的其他标识符；只有允许的标识符才具有访问权限。但是，不同类型的标识符不会被自动阻止。例如，如果将具有单个 IPv4 地址的 IP 网络规则添加到允许名单中，则会阻止所有其他 IPv4 地址。无需使用阻止列表来限制来自其他 IP 地址的访问。但是，除非向网络策略添加其他网络规则，否则 VPC 端点仍然具有访问权限。

如果网络策略在 ALLOWED_IP_LIST 和 BLOCKED_IP_LIST 参数中具有相同的 IP 地址值，则 Snowflake 会首先应用 BLOCKED_IP_LIST 参数中的值。此行为也适用于 ALLOWED_NETWORK_RULE_LIST 和 BLOCKED_NETWORK_RULE_LIST 参数。

通过私有连接，如果网络策略在 ALLOWED_NETWORK_RULE_LIST 参数中具有 VPCE ID (AWS) 或 LinkID (Azure) 网络规则，则会忽略 BLOCKED_NETWORK_RULE_LIST 参数中的 IP 网络规则，从而导致 VPCE ID 或 LinkID 网络规则优先。

例如，使用专用端点标识符（如 Azure LinkIDs 或 AWS VPCE IDs）限制访问的网络规则对来自公共网络的请求没有影响。如果要基于专用端点标识符限制访问，然后完全阻止来自公共 IPv4 地址的请求，则必须创建两个单独的网络规则，一个用于允许列表，另一个用于阻止列表。

以下网络规则可以在网络策略中组合使用，以在阻止公共网络流量的同时允许 VPCE ID。

CREATE NETWORK RULE block_public_access
  MODE = INGRESS
  TYPE = IPV4
  VALUE_LIST = ('0.0.0.0/0');

CREATE NETWORK RULE allow_vpceid_access
  MODE = INGRESS
  TYPE = AWSVPCEID
  VALUE_LIST = ('vpce-0fa383eb170331202');

CREATE NETWORK POLICY allow_vpceid_block_public_policy
  ALLOWED_NETWORK_RULE_LIST = ('allow_vpceid_access')
  BLOCKED_NETWORK_RULE_LIST=('block_public_access');

CREATE NETWORK RULE allow_access_rule
  MODE = INGRESS
  TYPE = IPV4
  VALUE_LIST = ('192.168.1.0/24');

CREATE NETWORK RULE block_access_rule
  MODE = INGRESS
  TYPE = IPV4
  VALUE_LIST = ('192.168.1.99');

CREATE NETWORK POLICY public_network_policy
  ALLOWED_NETWORK_RULE_LIST = ('allow_access_rule')
  BLOCKED_NETWORK_RULE_LIST=('block_access_rule');

网络策略优先顺序¶

您可以将网络策略应用于账户、安全集成或用户。如果有网络策略应用于多个账户、安全集成或用户，则最具体的网络策略将替换更通用的网络策略。以下内容概述了优先顺序：

账户:

应用于账户的网络策略是最通用的网络策略。它们被应用于安全集成或用户的网络策略覆盖。

安全集成:

应用于安全集成的网络策略会替换应用于账户的网络策略，但会被应用于用户的网络策略覆盖。

用户:

应用于用户的网络策略是最具体的网络策略。它们替换账户和安全集成的网络策略。

绕过网络策略¶

通过配置用户对象属性 MINS_TO_BYPASS_NETWORK_POLICY （可以通过执行 DESCRIBE USER 查看该属性），可以在设定的分钟数内临时绕过网络策略。只有 Snowflake 可以设置此对象属性的值。请与 Snowflake 支持团队 (https://community.snowflake.com/s/article/How-To-Submit-a-Support-Case-in-Snowflake-Lodge) 联系以设置此属性的值。

最佳实践¶

• 限制范围。 网络规则可将相关网络标识符的小单元分组在一起。以前，网络策略通常包含一个应该允许或阻止的大型单一 IP 地址列表。网络规则的引入改变了这一策略。例如，您可以通过以下方式拆分网络标识符：

  • 创建网络规则以包含北美区域的客户端 IP 地址，并为欧洲和中东区域创建不同的规则。

  • 创建一个网络规则，其目的是允许特殊人群（如高级别权限用户和服务账户用户）进行访问。此网络规则可以添加到应用于单个用户的网络策略中。

  • 创建一个网络规则，该规则的范围为一个或多个数据应用程序。

  在网络规则引入后，Snowflake 建议您也限制网络策略的范围。尽可能将网络策略的范围缩小到一组用户或安全集成，而不是整个账户。

• 添加注释。创建网络规则时，请使用 COMMENT 属性跟踪规则应执行的操作。注释十分重要，因为 Snowflake 鼓励使用大量有针对性的小规则，而不是更少的单一规则。

  您可以使用 SHOW NETWORK RULES 命令列出所有网络规则，包括它们的注释。

支持的标识符¶

每个网络规则包含相同类型的一个或多个网络标识符的列表（例如，IPv4 地址规则或专用端点规则）。

网络规则的 TYPE 属性表示网络规则包含的标识符类型。

有关可以使用网络规则限制的标识符类型的完整列表，请参阅 支持的网络标识符。

保护 Snowflake 服务¶

本部分讨论如何使用网络规则限制仅对 Snowflake 服务的访问。如果要限制对服务和 AWS 上账户内部暂存区的访问，请参阅 保护 AWS 上的内部暂存区。

要限制对 Snowflake 服务的访问，请将网络规则的 MODE 属性设置为 INGRESS。

然后可以使用 TYPE 属性指定应允许或阻止的 标识符。

保护 AWS 上的内部暂存区¶

本部分讨论如何使用网络规则限制对 AWS 上的内部暂存区的访问，包括如何同时限制对 Snowflake 服务和内部暂存区的访问。它包括：

• 限制

• 先决条件：启用内部暂存区限制

• 内部暂存区指南

• 仅保护内部暂存区的策略

• 保护服务和内部暂存区的策略

USE ROLE ACCOUNTADMIN;
ALTER ACCOUNT SET ENFORCE_NETWORK_RULES_FOR_INTERNAL_STAGES = true;

创建网络规则¶

您需要对架构具有 CREATE NETWORK RULE 权限才能创建网络规则。默认情况下，只有 ACCOUNTADMIN 和 SECURITYADMIN 角色以及架构所有者才具有此权限。

网络策略将使用的网络规则的模式必须是 INGRESS 或 INTERNAL STAGE。

要更好地了解创建网络规则的最佳实践和策略，请参阅 关于网络规则。

您可以使用 Snowsight 或执行 SQL 命令来创建网络规则：

Snowsight:

1. 登录 Snowsight。

2. 选择 Admin » Security。

3. 选择 Network Rules 选项卡。

4. 选择 + Network Rule。

5. 输入网络规则的名称。

6. 选择网络规则的架构。网络规则是架构级对象。

7. （可选）为网络规则添加描述性注释，以帮助组织并维护架构中的网络规则。

8. 在 Type 下拉列表中，选择在网络规则中定义的 标识符类型。对于与网络策略一起使用的网络规则，Host Port 类型不是有效选项。

9. 在 Mode 下拉列表中，选择 Ingress 或 Internal Stage。对于与网络策略一起使用的网络规则，Egress 模式不是有效选项。

10. 输入以逗号分隔的标识符列表，在将网络规则添加到网络策略时，将允许或阻止这些标识符。此列表中的标识符必须都是在 Type 下拉列表中指定的类型。

11. 选择 Create Network Policy。

SQL:

管理员可以执行 CREATE NETWORK RULE 命令来创建新的网络规则，指定网络标识符列表以及这些标识符的类型。

例如，要使用自定义角色创建可用于允许或阻止来自一定范围 IP 地址的流量的网络规则，请执行以下操作：

GRANT USAGE ON DATABASE securitydb TO ROLE network_admin;
GRANT USAGE ON SCHEMA securitydb.myrules TO ROLE network_admin;
GRANT CREATE NETWORK RULE ON SCHEMA securitydb.myrules TO ROLE network_admin;
USE ROLE network_admin;

CREATE NETWORK RULE cloud_network TYPE = IPV4 VALUE_LIST = ('47.88.25.32/27');

Copy

修改网络规则¶

您可以修改现有网络规则的标识符和注释，但不能修改其类型、模式、名称或架构。

您可以使用 Snowsight 或 SQL 在现有网络规则中添加或删除标识符和注释。

Snowsight:

1. 登录 Snowsight。

2. 选择 Admin » Security。

3. 选择 Network Rules 选项卡。

4. 找到网络规则，选择 ... 按钮，然后选择 Edit。

5. 修改以逗号分隔的标识符列表或注释。

6. 选择 Update Network Rule。

SQL:

执行 ALTER NETWORK RULE 语句。

创建网络策略¶

只有安全管理员（即具有 SECURITYADMIN 角色的用户）或更高级别的角色，或者 具有全局 CREATE NETWORK POLICY 权限的角色可以创建网络策略。网络策略的所有权可以转移到另一个角色。

您可以使用 Snowsight 或 SQL 创建网络策略：

Snowsight:

1. 登录 Snowsight。

2. 选择 Admin » Security。

3. 选择 Network Policies 选项卡。

4. 选择 + Network Policy。

5. 输入网络策略的名称。

6. （可选）输入描述性注释。

7. 要将网络规则添加到允许列表，请选择 Allowed，然后选择 Select rule。您可以通过重新选择 Select rule 将多个网络规则添加到允许列表。

8. 要将网络规则添加到阻止列表，请选择 Blocked，然后选择 Select rule。您可以通过重新选择 Select rule 将多个网络规则添加到阻止列表。

9. 选择 Create Network Policy。

SQL:

执行 CREATE NETWORK POLICY 语句。

识别账户中的网络策略¶

您可以使用 Snowsight 或 SQL 识别账户中的网络策略。

Snowsight:

1. 登录 Snowsight。

2. 选择 Admin » Security。

3. 选择 Network Policies 选项卡。

SQL:

调用 POLICY_REFERENCES Information Schema 表函数，或者查询 POLICY_REFERENCES 或 NETWORK_POLICIES Account Usage 视图。

修改网络策略¶

您可以使用 Snowsight 或 SQL，从现有网络策略的允许列表和阻止列表中添加或删除网络规则。如果您正在编辑使用 ALLOWED_IP_LIST 和 BLOCKED_IP_LIST 参数（而不是网络规则）的网络策略，则必须使用 SQL 来修改网络策略。

Snowsight:

1. 登录 Snowsight。

2. 选择 Admin » Security。

3. 选择 Network Policies 选项卡。

4. 找到网络策略，选择 ... 按钮，然后选择 Edit。

5. 要将网络规则添加到允许列表，请选择 Allowed，然后选择 Select rule。您可以通过重新选择 Select rule 将多个网络规则添加到允许列表。

6. 要将网络规则添加到阻止列表，请选择 Blocked，然后选择 Select rule。您可以通过重新选择 Select rule 将多个网络规则添加到阻止列表。

7. 要从网络策略的允许列表或阻止列表中删除网络规则，请执行以下操作：

   1. 选择 Allowed 或 Blocked。

   2. 在列表中找到网络规则，然后选择 X 以删除。

SQL:

使用 ALTER NETWORK POLICY 命令从现有网络策略中添加或删除网络规则。

将网络规则添加到允许列表或阻止列表时，您可以替换列表中的所有现有网络规则，也可以在保留现有列表的同时添加新规则。以下示例显示了其中每个选项：

• 使用 SET 子句，将阻止列表中的网络规则替换为名为 other_network 的新网络规则：

  ALTER NETWORK POLICY my_policy SET BLOCKED_NETWORK_RULE_LIST = ( 'other_network' );
  

  Copy

• 使用 ADD 子句将单个网络规则添加到现有网络策略的允许列表中。以前添加到策略允许名单的网络规则仍然有效。

  ALTER NETWORK POLICY my_policy ADD ALLOWED_NETWORK_RULE_LIST = ( 'new_rule' );
  

  Copy

您还可以从现有列表中删除网络规则，而无需替换整个列表。例如，从网络策略的阻止名单中删除网络规则：

ALTER NETWORK POLICY my_policy REMOVE BLOCKED_NETWORK_RULE_LIST = ( 'other_network' );

Copy

为您的账户激活网络策略¶

为账户激活网络策略将对账户中的所有用户强制执行该策略。

只有安全管理员（即具有 SECURITYADMIN 角色的用户）或更高级别的角色，或者 具有全局 ATTACH POLICY 权限的角色可以为账户激活网络策略。

一旦策略与您的账户关联，Snowflake 就会根据允许列表和阻止列表限制对您账户的访问。任何尝试从受规则限制的网络源登录的用户都将被拒绝访问。此外，当网络策略与您的账户相关联后，已登录 Snowflake 的任何受限制用户将无法执行进一步的查询。

您可以创建多个网络策略；但是，任何时候都只能将一个网络策略与账户关联。将网络策略与您的账户关联会自动删除当前关联的网络策略（如果有）。

请注意，您当前的 IP 地址或专用端点标识符必须包含在策略的允许列表中。否则，当您激活策略时，Snowflake 将返回错误。此外，您当前的标识符不能包含在阻止列表中。

如果要在激活新策略前确定是否已存在账户级网络策略，请参阅 确定在账户或用户级别激活的网络策略。

您可以使用 Snowsight 或 SQL 为您的账户激活网络策略：

Snowsight:

1. 选择 Admin » Security。

2. 选择 Network Policies 选项卡。

3. 找到网络策略，选择 ... 按钮，然后选择 Activate。

4. 选择 Activate policy。

SQL:

执行 ALTER ACCOUNT 语句来为账户设置 NETWORK_POLICY 参数。例如：

ALTER ACCOUNT SET NETWORK_POLICY = my_policy;

Copy

为单个用户激活网络策略¶

要对 Snowflake 账户中的特定用户实施网络策略，请激活该用户的网络策略。一次只能为每个用户激活一个网络策略。为不同用户激活不同网络策略的能力允许进行精细控制。将网络策略与用户关联会自动删除当前关联的网络策略（如果有）。

一旦策略与用户关联，Snowflake 就会根据允许列表和阻止列表限制对用户的访问。如果具有激活的用户级别网络策略的用户尝试通过受规则限制的网络位置登录，则该用户访问 Snowflake 会遭拒。

此外，当用户级别的网络策略与用户相关联并且用户已登录 Snowflake 时，如果用户的网络位置与用户级别的网络策略规则不匹配，Snowflake 将阻止用户执行进一步的查询。

如果要在激活新策略前确定是否已存在用户级网络策略，请参阅 确定在账户或用户级别激活的网络策略。

要为单个用户激活网络策略，请执行 ALTER USER 命令，为用户设置 NETWORK_POLICY 参数。例如，执行：

ALTER USER joe SET NETWORK_POLICY = my_policy;

激活安全集成的网络策略¶

某些安全集成支持激活网络策略以控制由该集成治理的网络流量。这些安全集成具有一个 NETWORK_POLICY 参数，可激活集成的网络策略。目前，SCIM 和 Snowflake OAuth 支持集成级网络策略。

例如，您可以在创建新的 Snowflake OAuth 安全集成时激活网络策略。网络策略将限制尝试进行身份验证的请求的访问。

CREATE SECURITY INTEGRATION oauth_kp_int
  TYPE = oauth
  ENABLED = true
  OAUTH_CLIENT = custom
  OAUTH_CLIENT_TYPE = 'CONFIDENTIAL'
  OAUTH_REDIRECT_URI = 'https://example.com'
  NETWORK_POLICY = mypolicy;

Copy

您可以执行 ALTER SECURITY INTEGRATION ...SET NETWORK_POLICY 语句，激活现有安全集成的网络策略。

确定在账户或用户级别激活的网络策略¶

您可以确定在账户或用户级别激活了哪个网络策略。

账户:

1. 选择 Admin » Security。

2. 选择 Network Policies 选项卡。

3. 对 Status 列进行排序以查看活动的网络策略。这是账户级策略。

或者，您可以执行以下命令来列出账户级网络策略：

SHOW PARAMETERS LIKE 'network_policy' IN ACCOUNT;

Copy

用户:

要确定是否为特定用户设置了网络策略，请执行 SHOW PARAMETERS 命令。

SHOW PARAMETERS LIKE 'network_policy' IN USER <username>;

Copy

例如：

SHOW PARAMETERS LIKE 'network_policy' IN USER jsmith;

Copy

使用 Classic Console 创建网络策略¶

只有安全管理员（即具有 SECURITYADMIN 角色的用户）或更高级别的角色，或者 具有全局 CREATE NETWORK POLICY 权限的角色可以创建网络策略。网络策略的所有权可以转移到另一个角色。

1. 点击 Account » Policies。随即出现 Policies 页面。

2. 点击 Create 按钮。随即出现 Create Network Policy 对话框。

3. 在 Name 字段中，输入网络策略的名称。

4. 在 Allowed IP Addresses 字段中，输入一个或多个允许访问此 Snowflake 账户的 IPv4 地址，地址之间用逗号分隔。

   备注

   要阻止除一组特定地址 之外 的所有 IP 地址，您只需定义一个允许的 IP 地址列表。Snowflake 会自动阻止所有未包含在允许名单中的 IP 地址。

5. 在 Blocked IP Addresses 字段中，输入一个或多个被拒绝访问此 Snowflake 账户的 IPv4 地址（可选），地址之间用逗号分隔。请注意，此字段不是必填，主要用于拒绝允许名单中地址范围内的特定地址。

6. 根据需要输入网络策略的其他信息，然后点击 Finish。

使用 Classic Console 修改网络策略¶

如果您正在使用 Classic Console，请执行以下操作以修改网络策略：

1. 点击 Account » Policies。

2. 点击策略选中它，然后填充右侧的侧面板。

3. 点击右侧面板中的 Edit 按钮。

4. 根据需要修改字段：

   • 要从 Allowed IP Addresses 或 Blocked IP Addresses 列表中删除 IP 地址，请点击条目旁边的 x。

   • 要将 IP 地址添加到任一列表中，请在相应字段中输入一个或多个 IPv4 地址（以逗号分隔），然后点击 Add 按钮。

5. 点击 Save。

使用 Classic Console 激活网络策略¶

如果您正在使用 Classic Console，您可以通过激活账户的网络策略，为您的 Snowflake 账户中的所有用户强制实施网络策略。

1. 点击 Account » Policies。

2. 点击策略选中它，然后填充右侧的侧面板。

3. 点击右侧面板中的 Activate 按钮。