Snowflake Network Rules: 新しいネットワーク制御モデルの実装

Network Rulesは、ネットワーク識別子（IPアドレス、ホスト名、Private Endpoint ID等）を 再利用可能なスキーマレベルオブジェクトとして管理するSnowflakeの機能です。 従来のNetwork PolicyではIPアドレスリストをポリシーに直接記述していましたが、 Network Rulesを使うことで識別子を独立したオブジェクトとして定義し、複数のNetwork Policyで共有したり、 IPアドレス以外の識別子でもネットワーク制御が可能になります。

Network RuleのTYPE比較表

CREATE NETWORK RULEの構文

-- IPV4タイプ：社内ネットワークからのアクセスを許可
CREATE NETWORK RULE security.office_network_rule
  TYPE = IPV4
  VALUE_LIST = ('203.0.113.0/24', '198.51.100.0/24')
  MODE = INGRESS
  COMMENT = 'オフィスネットワークのIPアドレス範囲';

-- IPV4タイプ：VPNゲートウェイからのアクセスを許可
CREATE NETWORK RULE security.vpn_network_rule
  TYPE = IPV4
  VALUE_LIST = ('10.0.1.100', '10.0.1.101')
  MODE = INGRESS
  COMMENT = 'VPNゲートウェイのIPアドレス';

-- HOST_PORTタイプ：外部APIへのアクセスを許可
CREATE NETWORK RULE security.external_api_rule
  TYPE = HOST_PORT
  VALUE_LIST = ('api.example.com:443', 'webhook.example.com:443')
  MODE = EGRESS
  COMMENT = 'External Function用の外部APIエンドポイント';

-- PRIVATE_HOST_PORTタイプ：PrivateLink経由のEgress
CREATE NETWORK RULE security.private_api_rule
  TYPE = PRIVATE_HOST_PORT
  VALUE_LIST = ('com.amazonaws.vpce.us-east-1.vpce-svc-xxxxxxxxx')
  MODE = EGRESS
  COMMENT = 'PrivateLink経由の内部APIアクセス';

Network Policyとの連携

Network Rulesは単独では機能しません。Network Policyに紐づけることで、実際のアクセス制御が有効になります。Network PolicyのALLOWED_NETWORK_RULE_LISTとBLOCKED_NETWORK_RULE_LISTにNetwork Ruleを指定します。

-- Network Ruleを使ったNetwork Policyの作成
CREATE NETWORK POLICY corporate_access_policy
  ALLOWED_NETWORK_RULE_LIST = (
    'security.office_network_rule',
    'security.vpn_network_rule'
  )
  BLOCKED_NETWORK_RULE_LIST = ()
  COMMENT = 'オフィスとVPNからのアクセスのみ許可';

-- アカウントレベルに適用
ALTER ACCOUNT SET NETWORK_POLICY = corporate_access_policy;

-- 特定ユーザーに適用（アカウントレベルより優先）
ALTER USER admin_user SET NETWORK_POLICY = corporate_access_policy;

-- Security Integrationに適用（OAuth/SAML接続の制御）
ALTER SECURITY INTEGRATION my_oauth_integration
  SET NETWORK_POLICY = corporate_access_policy;

従来方式との比較

-- 従来のNetwork Policy（IPアドレスを直接指定）
CREATE NETWORK POLICY legacy_policy
  ALLOWED_IP_LIST = ('203.0.113.0/24', '198.51.100.0/24')
  BLOCKED_IP_LIST = ('203.0.113.50');

-- 新しいNetwork Policy（Network Ruleを参照）
CREATE NETWORK RULE security.corp_ips
  TYPE = IPV4
  VALUE_LIST = ('203.0.113.0/24', '198.51.100.0/24')
  MODE = INGRESS;

CREATE NETWORK RULE security.blocked_ips
  TYPE = IPV4
  VALUE_LIST = ('203.0.113.50')
  MODE = INGRESS;

CREATE NETWORK POLICY new_policy
  ALLOWED_NETWORK_RULE_LIST = ('security.corp_ips')
  BLOCKED_NETWORK_RULE_LIST = ('security.blocked_ips');

-- 従来のALLOWED_IP_LISTとALLOWED_NETWORK_RULE_LISTは
-- 同一Network Policy内で併用可能（OR条件で評価）

External Network Access連携

HOST_PORTタイプのNetwork Ruleは、External Access Integration（外部ネットワークアクセス統合）と組み合わせて、UDF/ストアドプロシージャ/Snowpark Container Servicesから外部APIへのアクセスを制御します。

-- 外部APIアクセス用のNetwork Rule
CREATE NETWORK RULE security.openai_api_rule
  TYPE = HOST_PORT
  VALUE_LIST = ('api.openai.com:443')
  MODE = EGRESS;

-- External Access Integrationの作成
CREATE EXTERNAL ACCESS INTEGRATION openai_access
  ALLOWED_NETWORK_RULES = ('security.openai_api_rule')
  ENABLED = TRUE;

-- UDFでExternal Access Integrationを使用
CREATE OR REPLACE FUNCTION call_openai(prompt VARCHAR)
  RETURNS VARCHAR
  LANGUAGE PYTHON
  RUNTIME_VERSION = '3.10'
  EXTERNAL_ACCESS_INTEGRATIONS = (openai_access)
  PACKAGES = ('requests')
  HANDLER = 'handler'
AS $$
import requests
def handler(prompt):
    # api.openai.com:443 へのアクセスのみ許可される
    response = requests.post(
        'https://api.openai.com/v1/chat/completions',
        headers={'Authorization': 'Bearer <token>'},
        json={'model': 'gpt-4', 'messages': [{'role': 'user', 'content': prompt}]}
    )
    return response.json()['choices'][0]['message']['content']
$$;

Network Ruleの管理

-- Network Ruleの一覧表示
SHOW NETWORK RULES IN SCHEMA security;

-- Network Ruleの詳細確認
DESCRIBE NETWORK RULE security.office_network_rule;

-- VALUE_LISTの更新
ALTER NETWORK RULE security.office_network_rule
  SET VALUE_LIST = ('203.0.113.0/24', '198.51.100.0/24', '192.0.2.0/24');

-- コメントの更新
ALTER NETWORK RULE security.office_network_rule
  SET COMMENT = '東京・大阪・福岡オフィスのIPアドレス';

-- Network Ruleの削除
DROP NETWORK RULE security.office_network_rule;
-- 注意: Network Policyで参照中のNetwork Ruleは削除できない

評価順序と優先度

BLOCKED_NETWORK_RULE_LIST（またはBLOCKED_IP_LIST）はALLOWED_NETWORK_RULE_LIST（またはALLOWED_IP_LIST）よりも常に優先されます。あるIPアドレスが許可リストとブロックリストの両方に含まれる場合、ブロックされます。

必要な権限

-- Network Ruleの作成権限
GRANT CREATE NETWORK RULE ON SCHEMA security TO ROLE network_admin;

-- Network Policyの作成権限
GRANT CREATE NETWORK POLICY ON ACCOUNT TO ROLE network_admin;

-- Network Policyのアカウントレベル適用権限
GRANT ATTACH POLICY ON ACCOUNT TO ROLE network_admin;

-- ユーザーレベルでの適用は対象ユーザーへのOWNERSHIPまたは
-- MANAGE GRANTS権限が必要

問題で確認

よくある質問