認証方法とネットワークポリシー

Snowflake の管理、ガバナンス、コラボレーション

Emily Melhuish

Technical Curriculum Developer, Snowflake

認証とは？

認証はロールや権限のチェック前にIDを検証する
ユーザー名とパスワードが最も一般的な方法
用途に応じて適切な方法が異なる
人間のアナリストと自動パイプラインでは要件が異なる

認証方法とフレームワーク

サポートされている認証方法：

ユーザー名とパスワード
多要素認証（MFA）
フェデレーション認証（SSO/SAML 2.0）
- OktaまたはMicrosoft Entra ID
OAuth、キーペア、プログラムアクセストークン（PAT）
- BIプラットフォームなどサードパーティツールに最適

パスワードとMFA

認証方法	仕組み	主なメリット	管理者による強制適用
パスワード認証	ユーザー名とパスワードでログイン	全ユーザーへの基本アクセス	対象外
多要素認証（MFA）	パスワードに加え第2要素：パスキーまたはTOTP（時間ベースのワンタイムパスワード）	パスワード漏洩時もアカウントを保護	可能

¹ [Snowflake: MFA Methods](https://docs.snowflake.com/en/user-guide/security-mfa#restricting-which-mfa-methods-are-available)

キーペア認証

秘密鍵と公開鍵のフロー

ALTER USER pipeline_svc SET RSA_PUBLIC_KEY = '<your_public_key_here>';

SSOとOAuth

SSO / SAML

Claroの従業員は既存の社内認証情報でSnowflakeにログイン
IDプロバイダーが検証を処理
Snowflakeはその結果を信頼
- Okta、Microsoft Entra ID
- SAML準拠のIDPすべてに対応

OAuth

サードパーティツール向け（BIプラットフォーム、連携ツールなど）
ユーザー認証情報をツールに渡さずに認可を処理

ネットワークポリシーとは？

ネットワークポリシーが適用されたウェブサイト

¹ [Snowflake: Network Policies](https://docs.snowflake.com/en/user-guide/network-policies)

ネットワークポリシーの作成

ネットワークルールを作成し、ポリシーで参照する

CREATE NETWORK RULE claro_allowed_ips
  TYPE = IPV4
  VALUE_LIST = ('10.0.0.0/8', '203.0.113.5');

CREATE NETWORK RULE claro_blocked_ips
  TYPE = IPV4
  VALUE_LIST = ('198.51.100.0');

CREATE NETWORK POLICY claro_network_policy
  ALLOWED_NETWORK_RULE_LIST = ('claro_allowed_ips')
  BLOCKED_NETWORK_RULE_LIST = ('claro_blocked_ips');

ネットワークポリシーの適用

アカウントまたはユーザーレベルで適用

ALTER ACCOUNT SET NETWORK_POLICY = claro_network_policy;
ALTER USER pipeline_svc SET NETWORK_POLICY = claro_network_policy;

ネットワークポリシーの概念図

プライベート接続

ネットワークポリシーはパブリックインターネット経由のIPを制限
プライベート接続はプライベートネットワークエンドポイントを経由
トラフィックはパブリックインターネットを経由しない
AWS PrivateLink、Azure Private Link、Google Cloud Private Service Connectに対応
データ所在地やコンプライアンス要件が厳しい組織が利用

では、練習しましょう！

Snowflake の管理、ガバナンス、コラボレーション