Phương thức xác thực và Network Policy

Quản trị, Quản trị dữ liệu & Cộng tác trên Snowflake

Emily Melhuish

Technical Curriculum Developer, Snowflake

Xác thực là gì?

Xác thực kiểm tra danh tính trước khi kiểm tra vai trò/quyền
Tên người dùng và mật khẩu là dạng quen thuộc nhất
Mỗi phương thức phù hợp một trường hợp
Nhà phân tích (con người) khác yêu cầu so với pipeline tự động

Phương thức & Khung xác thực

Phương thức xác thực hỗ trợ:

Tên người dùng và mật khẩu
Xác thực đa yếu tố (MFA)
Xác thực liên kết (SSO/SAML 2.0)
- Okta hoặc Microsoft Entra ID
OAuth, Key-Pair, Programmatic Access Token (PAT)
- Tốt nhất cho công cụ bên thứ ba như nền tảng BI

Mật khẩu và MFA

Phương thức xác thực	Cách hoạt động	Lợi ích chính	Admin ép buộc?
Mật khẩu	Đăng nhập bằng tên người dùng và mật khẩu	Quyền truy cập cơ bản cho mọi người dùng	N/A
Xác thực đa yếu tố (MFA)	Mật khẩu + yếu tố thứ hai: Passkey hoặc TOTP (mật khẩu dùng một lần theo thời gian)	Bảo vệ ngay cả khi mật khẩu bị lộ	Có

¹ [Snowflake: MFA Methods](https://docs.snowflake.com/en/user-guide/security-mfa#restricting-which-mfa-methods-are-available)

Xác thực bằng cặp khóa (Key-Pair)

Luồng giữa khóa riêng và khóa công khai

ALTER USER pipeline_svc SET RSA_PUBLIC_KEY = '<your_public_key_here>';

SSO và OAuth

SSO / SAML

Nhân viên Claro đăng nhập Snowflake bằng thông tin công ty hiện có
Nhà cung cấp danh tính (IdP) xử lý xác minh
Snowflake tin cậy kết quả
- Okta, Microsoft Entra ID
- Bất kỳ IdP tuân thủ SAML

OAuth

Dành cho công cụ bên thứ ba (nền tảng BI, tích hợp)
Ủy quyền mà không lộ thông tin đăng nhập cho công cụ

Network Policy là gì?

Trang web với network policy được áp dụng

¹ [Snowflake: Network Policies](https://docs.snowflake.com/en/user-guide/network-policies)

Tạo Network Policy

Tạo network rule, rồi tham chiếu trong policy

CREATE NETWORK RULE claro_allowed_ips
  TYPE = IPV4
  VALUE_LIST = ('10.0.0.0/8', '203.0.113.5');

CREATE NETWORK RULE claro_blocked_ips
  TYPE = IPV4
  VALUE_LIST = ('198.51.100.0');

CREATE NETWORK POLICY claro_network_policy
  ALLOWED_NETWORK_RULE_LIST = ('claro_allowed_ips')
  BLOCKED_NETWORK_RULE_LIST = ('claro_blocked_ips');

Áp dụng Network Policy

Áp dụng ở cấp tài khoản hoặc người dùng

ALTER ACCOUNT SET NETWORK_POLICY = claro_network_policy;
ALTER USER pipeline_svc SET NETWORK_POLICY = claro_network_policy;

Minh họa network policy.png

Kết nối riêng (Private Connectivity)

Network policy hạn chế IP qua internet công cộng
Kết nối riêng định tuyến qua endpoint mạng riêng
Lưu lượng không đi qua internet công cộng
Hỗ trợ: AWS PrivateLink, Azure Private Link, Google Cloud Private Service Connect
Dùng cho tổ chức có yêu cầu tuân thủ hoặc nơi lưu trữ dữ liệu nghiêm ngặt

Ayo berlatih!

Quản trị, Quản trị dữ liệu & Cộng tác trên Snowflake