Snowflake External Access IntegrationでUDFから外部APIを直接呼び出す方法

External Access Integrationは、SnowflakeのUDF・ストアドプロシージャ・Streamlitアプリの コード内から外部のHTTPSエンドポイントへ直接アクセスするための機能です。 従来はExternal Function（API Gateway経由）でしか外部通信できませんでしたが、 この機能によりPython/JavaのHTTPライブラリ（requests, urllib等）を使った直接通信が可能になります。

External Access Integrationの全体構成

UDF / Stored Procedure / Streamlit
  │
  ├─ EXTERNAL_ACCESS_INTEGRATIONS = (my_eai)  ← 関数定義で指定
  │
  └─ External Access Integration (my_eai)
       │
       ├─ ALLOWED_NETWORK_RULES = (rule_1, rule_2)  ← 通信先制御
       │    └─ Network Rule (rule_1)
       │         ├─ TYPE = HOST_PORT
       │         └─ VALUE_LIST = ('api.openai.com:443')
       │
       └─ ALLOWED_AUTHENTICATION_SECRETS = (api_key_secret)  ← 認証情報
            └─ Secret (api_key_secret)
                 └─ TYPE = GENERIC_STRING / OAUTH2 / PASSWORD

Step 1: Network Ruleの作成

-- 外部ホストへのアクセスを許可するNetwork Rule
CREATE OR REPLACE NETWORK RULE openai_rule
  MODE = EGRESS
  TYPE = HOST_PORT
  VALUE_LIST = ('api.openai.com:443');

-- 複数ホストを許可する場合
CREATE OR REPLACE NETWORK RULE multi_api_rule
  MODE = EGRESS
  TYPE = HOST_PORT
  VALUE_LIST = (
    'api.openai.com:443',
    'api.anthropic.com:443',
    'hooks.slack.com:443'
  );

Network RuleのMODEはEGRESS（送信方向）を指定します。 TYPEはHOST_PORTでホスト名とポートの組み合わせを許可します。 HTTPSの場合はポート443を指定します。

Step 2: Secretの作成

-- Generic String型のSecret（APIキー）
CREATE OR REPLACE SECRET openai_api_key
  TYPE = GENERIC_STRING
  SECRET_STRING = 'sk-proj-xxxxxxxxxxxxxxxxxxxx';

-- OAuth2型のSecret（トークン自動リフレッシュ）
CREATE OR REPLACE SECRET salesforce_oauth
  TYPE = OAUTH2
  API_AUTHENTICATION = salesforce_security_integration
  OAUTH_REFRESH_TOKEN = 'xxxxxxxx';

-- Password型のSecret（Basic認証）
CREATE OR REPLACE SECRET basic_auth_secret
  TYPE = PASSWORD
  USERNAME = 'api_user'
  PASSWORD = 'secure_password_123';

Step 3: External Access Integrationの作成

-- External Access Integrationの作成
CREATE OR REPLACE EXTERNAL ACCESS INTEGRATION openai_eai
  ALLOWED_NETWORK_RULES = (openai_rule)
  ALLOWED_AUTHENTICATION_SECRETS = (openai_api_key)
  ENABLED = TRUE;

-- 複数のNetwork RuleとSecretを組み合わせる場合
CREATE OR REPLACE EXTERNAL ACCESS INTEGRATION multi_api_eai
  ALLOWED_NETWORK_RULES = (multi_api_rule)
  ALLOWED_AUTHENTICATION_SECRETS = (openai_api_key, slack_webhook_secret)
  ENABLED = TRUE;

Step 4: UDFでの利用

-- Python UDFから外部APIを呼び出す
CREATE OR REPLACE FUNCTION call_openai_chat(prompt VARCHAR)
RETURNS VARCHAR
LANGUAGE PYTHON
RUNTIME_VERSION = '3.10'
PACKAGES = ('requests')
HANDLER = 'run'
EXTERNAL_ACCESS_INTEGRATIONS = (openai_eai)
SECRETS = ('api_key' = openai_api_key)
AS $
import requests
import _snowflake

def run(prompt):
    api_key = _snowflake.get_generic_secret_string('api_key')
    response = requests.post(
        'https://api.openai.com/v1/chat/completions',
        headers={
            'Authorization': f'Bearer {api_key}',
            'Content-Type': 'application/json'
        },
        json={
            'model': 'gpt-4o-mini',
            'messages': [{'role': 'user', 'content': prompt}],
            'max_tokens': 500
        },
        timeout=30
    )
    response.raise_for_status()
    return response.json()['choices'][0]['message']['content']
$;

-- UDFの呼び出し
SELECT call_openai_chat('Snowflakeとは何ですか？30文字で説明してください。');

ストアドプロシージャでの利用

-- Slack通知プロシージャ
CREATE OR REPLACE PROCEDURE send_slack_alert(message VARCHAR)
RETURNS VARCHAR
LANGUAGE PYTHON
RUNTIME_VERSION = '3.10'
PACKAGES = ('requests')
HANDLER = 'run'
EXECUTE AS CALLER
EXTERNAL_ACCESS_INTEGRATIONS = (multi_api_eai)
SECRETS = ('webhook_url' = slack_webhook_secret)
AS $
import requests
import _snowflake

def run(session, message):
    webhook_url = _snowflake.get_generic_secret_string('webhook_url')
    response = requests.post(
        webhook_url,
        json={'text': f':warning: Snowflake Alert: {message}'},
        timeout=10
    )
    response.raise_for_status()
    return f'Sent: {response.status_code}'
$;

CALL send_slack_alert('ETLパイプラインが失敗しました');

Secret型の比較

External FunctionとExternal Access Integrationの比較

必要な権限

ベストプラクティス

• Network Ruleは最小限のホストのみ許可：VALUE_LISTには呼び出し先のFQDNのみを指定し、不必要な外部通信を防止する
• APIキーはSecretに格納し、コードにハードコードしない：Secretを使うことで鍵のローテーション時にUDFコードの変更が不要になる
• タイムアウトとリトライを実装：外部API呼び出しには必ずtimeoutパラメータを設定し、一時的な障害に対応する
• 権限分離：EAI/Secret/Network Ruleの作成はセキュリティ管理者、UDF作成は開発者とロールを分離する

問題で確認

よくある質問