Snowflakeネットワークセキュリティ｜Network Policy・Private Link・MFA

Snowflakeのネットワークセキュリティは、Network Policy（IP制限）・Private Link（プライベート接続）・MFA（多要素認証）・暗号化の4つの柱で構成されます。SnowPro Core試験のAccount Access & Securityドメイン（20%）で頻出するトピックです。

この記事では、Network PolicyのSQL例、Private Linkのクラウド別比較表、MFAの動作と設定、暗号化の仕組みを実務レベルで解説します。

Network Policy（ネットワークポリシー）

Network Policyは、IPアドレスに基づいてSnowflakeアカウントへの接続を制御する仕組みです。ALLOWED_IP_LIST（接続を許可するIPアドレスのリスト）とBLOCKED_IP_LIST（接続をブロックするIPアドレスのリスト）の2つのリストで構成されます。

Network Policyの作成と適用

-- Network Policy の作成
CREATE OR REPLACE NETWORK POLICY corp_network_policy
  ALLOWED_IP_LIST = ('203.0.113.0/24', '198.51.100.10')
  BLOCKED_IP_LIST = ('203.0.113.99')
  COMMENT = '本社ネットワークからの接続のみ許可';

-- アカウントレベルで適用（全ユーザーに影響）
ALTER ACCOUNT SET NETWORK_POLICY = corp_network_policy;

-- 特定ユーザーに適用（アカウントレベルより優先）
ALTER USER analyst_user SET NETWORK_POLICY = analyst_policy;

-- Network Policy の確認
DESCRIBE NETWORK POLICY corp_network_policy;

-- Network Policy の解除
ALTER ACCOUNT UNSET NETWORK_POLICY;

ALLOWED_IP_LIST と BLOCKED_IP_LIST の評価ロジック

Network Policyはアカウントレベルとユーザーレベルの両方で設定可能で、ユーザーレベルの設定がアカウントレベルより優先されます。SnowPro試験ではこの優先順位が頻出です。

Network Ruleとの違い（2024年〜）

Snowflakeは従来のNetwork Policyに加え、Network Ruleをサポートしています。 Network RuleはIPアドレスだけでなく、VPCエンドポイントID・プライベートリンクID・ホスト名での制御が可能です。 Network PolicyにNetwork Ruleをアタッチして使用します。

-- Network Rule の作成（VPCエンドポイントベース）
CREATE NETWORK RULE vpc_rule
  TYPE = PRIVATE_HOST_PORT
  VALUE_LIST = ('vpce-0123456789abcdef0')
  MODE = INGRESS;

-- Network Policy に Network Rule をアタッチ
CREATE NETWORK POLICY advanced_policy
  ALLOWED_NETWORK_RULE_LIST = ('vpc_rule');

Private Link：クラウド別比較

Private Linkは、パブリックインターネットを経由せずにクラウドプロバイダーのプライベートネットワーク経由でSnowflakeに接続する仕組みです。Business Critical Edition以上が必要です。

-- Private Link設定情報の取得（ACCOUNTADMINが実行）
SELECT SYSTEM$GET_PRIVATELINK_CONFIG();

-- 結果例（AWS）
-- {
--   "privatelink-account-name": "abc12345.us-east-1.privatelink",
--   "privatelink-vpce-id": "com.amazonaws.vpce.us-east-1.vpce-svc-...",
--   "privatelink-account-url": "abc12345.us-east-1.privatelink.snowflakecomputing.com"
-- }

MFA（多要素認証）

SnowflakeのMFAはDuo Security（Cisco）ベースのTOTP認証を使用します。ユーザーはSnowsightの設定画面またはALTER USER文でMFAを有効化できます。

-- 特定ユーザーのMFA強制有効化
ALTER USER admin_user SET MINS_TO_BYPASS_MFA = 0;

-- アカウント全体でMFAを必須化
ALTER ACCOUNT SET REQUIRE_MFA = TRUE;

-- MFAの一時バイパス（緊急時）
ALTER USER admin_user SET MINS_TO_BYPASS_MFA = 60;

MFA有効化後はSnowsight・SnowSQL・JDBC/ODBCドライバーすべてで認証コード入力が求められます。 プログラム的な接続（ETLジョブ等）ではキーペア認証の使用が推奨されます。

暗号化

Tri-Secret Secureでは、Snowflake管理の暗号化キーと顧客がクラウドプロバイダーのKMS（AWS KMS / Azure Key Vault / Google Cloud KMS）で管理するキーを組み合わせます。顧客がキーを無効化すると、Snowflake側のデータアクセスも停止するため、データ主権の要件を満たせます。

問題例

よくある質問（FAQ）