Snowflakeのプライベート接続設計: PrivateLink/PSCの3クラウド比較

Snowflakeはデフォルトでパブリックインターネット経由のTLS接続をサポートしますが、 金融・医療などのコンプライアンス要件が厳しい環境では、クラウドプロバイダのプライベートバックボーンを経由した接続が求められます。 AWSではAWS PrivateLink、AzureではAzure Private Link、GCPではPrivate Service Connect（PSC）を使って、 Snowflakeへの通信をインターネットに出さずにクラウド内部ネットワークで完結させます。Business Critical Edition以上が必要です。

3クラウド比較表

AWS PrivateLinkの設定手順

-- Step 1: Snowflakeアカウントに対してPrivateLinkを認可
-- ACCOUNTADMINで実行
SELECT SYSTEM$AUTHORIZE_PRIVATELINK(
  '<aws_account_id>',
  '<vpc_endpoint_id>'
);

-- Step 2: PrivateLinkの設定情報を取得
SELECT SYSTEM$GET_PRIVATELINK_CONFIG();
-- 戻り値にVPC Service Name、OCSP URL等が含まれる

-- Step 3（AWS Console / CLI）:
-- VPC Endpoint（Interface型）を作成
-- Service Name: com.amazonaws.vpce.<region>.vpce-svc-xxxxxxxxx
-- VPCとサブネットを指定

-- Step 4: Route 53 Private Hosted Zoneを作成
-- ゾーン名: privatelink.snowflakecomputing.com
-- CNAMEレコード:
--   <account_locator> → VPC Endpoint DNS名
--   <orgname>-<account_name> → VPC Endpoint DNS名

Azure Private Linkの設定手順

-- Step 1: SnowflakeでPrivateLinkを認可
SELECT SYSTEM$AUTHORIZE_PRIVATELINK(
  '<azure_subscription_id>',
  '<private_endpoint_resource_id>'
);

-- Step 2: 設定情報を取得
SELECT SYSTEM$GET_PRIVATELINK_CONFIG();

-- Step 3（Azure Portal / CLI）:
-- Private Endpointを作成
-- Resource Type: Microsoft.Snowflake/accounts
-- Target Sub-resource: snowflake

-- Step 4: Private DNS Zone設定
-- ゾーン名: privatelink.snowflakecomputing.com
-- Aレコード: <account_locator> → Private Endpoint IP

GCP Private Service Connectの設定手順

-- Step 1: SnowflakeでPSCを認可
SELECT SYSTEM$AUTHORIZE_PRIVATELINK(
  '<gcp_project_id>'
);

-- Step 2: 設定情報を取得（Service Attachment URI等）
SELECT SYSTEM$GET_PRIVATELINK_CONFIG();

-- Step 3（GCP Console / gcloud）:
-- PSC Endpointの作成
-- gcloud compute forwarding-rules create snowflake-psc \
--   --region=<region> \
--   --network=<vpc-name> \
--   --address=<reserved-internal-ip> \
--   --target-service-attachment=<service-attachment-uri>

-- Step 4: Cloud DNS Private Zoneの設定
-- ゾーン名: privatelink.snowflakecomputing.com
-- Aレコード: <account_locator> → 予約した内部IPアドレス

DNS設計の重要ポイント

• Private Hosted Zone / DNS Zoneの必須性：PrivateLink/PSCを設定しても、DNSが正しく構成されていないとクライアントはパブリックエンドポイントに接続してしまう。DNS解決がPrivate Endpoint IPを返すことを必ず確認する
• ワイルドカードCNAMEの活用：*.privatelink.snowflakecomputing.com のワイルドカードレコードを設定すると、Internal Stageやクライアントリダイレクトの接続もカバーできる
• OCSP用のDNS：ocsp.privatelink.snowflakecomputing.com への名前解決もPrivate Endpointを経由するように構成するか、OCSP Fail-Openモードを使用する

OCSP証明書失効チェックの要件

Snowflakeクライアントドライバは、TLS接続時にOCSP（Online Certificate Status Protocol）で証明書の失効状態をチェックします。PrivateLink環境では以下の対応が必要です。

Internal Stageへのプライベート接続

-- Internal StageへのPrivateLink接続を有効化
SELECT SYSTEM$AUTHORIZE_STAGE_PRIVATELINK_ACCESS(
  '<account_locator>',
  '<aws_account_id>'
);

-- AWS: S3 VPC Endpoint（Gateway型）が別途必要
-- Azure: Blob Storage Private Endpointが別途必要
-- GCP: GCS PSC Endpointが別途必要

-- PrivateLink経由でのステージ操作確認
PUT file:///tmp/data.csv @~;
GET @~/data.csv file:///tmp/;

Network Policyとの併用

-- PrivateLink経由のみ許可するNetwork Policy
CREATE NETWORK POLICY private_only_policy
  ALLOWED_IP_LIST = ('<private_endpoint_ip_range>')
  BLOCKED_IP_LIST = ('0.0.0.0/0');

-- アカウントレベルに適用
ALTER ACCOUNT SET NETWORK_POLICY = private_only_policy;

-- この設定により、パブリックエンドポイント経由の
-- アクセスが完全にブロックされる

問題で確認

よくある質問