Snowflake の接続

Tenable One Cloud Exposureで Snowflake アカウントを接続して Snowflake リソースの可視性を取得し、データプラットフォーム環境全体のデータ分類をサポートします。 Tenable は Snowflake API からメタデータと設定の詳細を収集して、スキャンとモニタリングを有効にします。

オンボーディング後、 Tenable に 各 Snowflake アカウントのステータスが表示されます。これは Tenable アカウントに接続できるかどうかを示し、オンボーディングに関する潜在的な問題のトラブルシューティングに役立ちます。

  • ネットワークアクセスが制限されている場合は、オンボーディング後に Tenable プラットフォームからのアクセスを許可します。「 ネットワークアクセスを許可する」を参照してください。
  • 最初の Snowflake アカウントを接続すると、デフォルトでアカウント全体がスキャン対象として選択されます。[ データ ] ページでスキャンターゲットを調整できます。
  • Snowflake リソースタイプの検索可能なリストについては、「 対応リソース を参照してください。
  • ライセンスとしてカウントされるSnowflakeリソースのリストについては、「 請求対象のリソース を参照してください。
  • Snowflakeスキャンは Enterpriseライセンスで利用できます。

Snowflake アカウントの接続

ヒント: オンボーディング中は、 クラウドサイバーエクスポージャー コンソールとSnowflakeアカウントの両方を開いたままにしておくことをお勧めします。これにより、2 つのプラットフォーム間で設定データをコピーできます。

Snowflake アカウントを接続する方法

  1. クラウドサイバーエクスポージャーコンソールで以下を実行します。
    • 最初または追加のアカウントを接続するには、Settings > 統合に移動します。
      • 「データプラットフォーム」 で、「Snowflake」をクリックします。
      • [Add Snowflake Account] をクリックします。
    • または、追加のアカウントを接続するには、Snowflake >アカウントに移動します。
      • [+追加]、[アカウントの追加] の順にクリックします。
  2. [Add Snowflake Account] (Snowflake アカウントの追加 ) ウィンドウで次の操作を実行します。
    1. Snowflake アカウント/サーバーの URL を入力します。これはSnowflakeアカウントのURLです。URL を取得するには
      1. Snowflakeアカウントに移動します。
      2. [ユーザー] メニューをクリックします。
      3. [ツールをSnowflakeに接続する] をクリックします。

      4. [アカウントの詳細] ウィンドウで、 アカウント/サーバーの URL をコピーします。

        The Snowflake Account Details window, with the Account/Server URL highlighted

    2. デフォルト名をカスタマイズします (オプション)。Tenable作成するSnowflakeオブジェクトには、名前が事前入力されています。デフォルトを使用することも、名前を変更することもできます。
      オブジェクト名:

      フィールド説明
      ロール名Tenableユーザーに付与されているロール。付与されたアクセス許可を参照してください。
      ユーザー名ユーザーが引き受け、Tenable ロールを付与されたTenable。ロールのアクセス許可の範囲内で動作します。ユーザー名は Snowflake アカウントレベルで一意である必要があります。
      ウェアハウス名Tenableユーザーに割り当てられた専用のTenableコンピューティングウェアハウス。コンピューティング コストを低く抑えるために、ウェアハウス サイズは X-Small です。
      データベース名Tenableタスクをホストして実行するために使用される専用Tenableデータベース。
      タスク名新たに検出されたデータベースへの読み取り専用アクセスを Tenable ロールに付与する定期的なジョブ。付与されたアクセス許可を参照してください。
  3. [次へ] をクリックします。
  4. 提供されたスクリプトをコピーします。
  5. 提供されたスクリプトをSnowflakeで実行します。
    1. アクティブなウェアハウスが選択された状態で 、ACCOUNTADMIN ロールを使用してSnowflakeアカウントにログインします。
    2. [ワークシート] に移動し、新しい SQL ワークシートを作成します。
    3. 提供されたスクリプトを貼り付けて、 クラウドサイバーエクスポージャー コンソールから実行します。
    4. Snowflakeアカウントがネットワーク制限を実施する場合は、 Tenable IPからのアクセスを許可します。詳細については、「 ネットワークアクセスの許可 」を参照してください。
  6. スクリプトが正常に完了したら、 クラウドサイバーエクスポージャー コンソールに戻り、[完了] をクリックします。

Tenable にネットワークアクセス権を付与する

Snowflakeアカウントでネットワークアクセスが制限されている場合は、 Tenable プラットフォームからのアクセスを許可するネットワークポリシーを定義する必要があります。これにより、 Tenable 環境に接続してオンボーディングを正常に完了できます。

Snowflakeネットワークルールの詳細をご覧ください。

SQL スクリプトをコピーするときは、次の点に注意してください。:

  • 個別の IP アドレス または CIDR 範囲を使用します。
  • 複数の IP アドレスは コンマ区切りが必要です。
  • オンボーディング中にデフォルトのユーザー名を変更した場合は、提供されたスクリプトのTENABLE_USER値を更新して、[Snowflake >アカウント] に表示されているユーザー名と一致させます。 無効にしないと、ポリシーが正しく適用されなくなります。

ネットワークポリシーを追加する方法

  1. ACCOUNTADMIN ロールを使用して Snowflake アカウントにログインします。
  2. [プロジェクト] > [ワークシート] に移動し、新しい SQL ワークシートを作成します。

  3. 次のスクリプトを貼り付けます。

    コピー

    SQL

    DECLARE
    TENABLE_NETWORK_POLICY VARCHAR DEFAULT 'TENABLE_POLICY';
    TENABLE_USER VARCHAR DEFAULT '"<paste_user_name_here>"';
    BEGIN
    EXECUTE IMMEDIATE 'ALTER USER ' || TENABLE_USER || ' SET NETWORK_POLICY=""';
    CREATE OR REPLACE NETWORK POLICY IDENTIFIER(:TENABLE_NETWORK_POLICY)
      ALLOWED_IP_LIST=
      (
          '<ip1_core_service, ip2_core_service>',
          '<ip1_data_protection, ip2_data_protection>'
      );
    EXECUTE IMMEDIATE 'ALTER USER ' || TENABLE_USER || ' SET NETWORK_POLICY=' || TENABLE_NETWORK_POLICY;
    END;
  4. スクリプトのプレースホルダーを置き換えます。
    1. <paste_user_name_here>:実際の Tenable ユーザー名を入力します(二重引用符で囲まれます)。
      例: TENABLE_USER varchar default '"Pete Mitchell"';
    2. <ip1_core_service, ip2_core_service>: クラウドサイバーエクスポージャー のコアサービス用 IP アドレスからすべての IP アドレスを追加します。

    3. <ip1_data_protection, ip2_data_protection>: [Additional IP addresses for Workload and Data Protection] (ワークロードおよびデータ保護用の追加 IP アドレス ) セクションで、Snowflake アカウントのリージョンとプロバイダーに一致する IP アドレスのみを追加します。
      Snowflake リージョンは、[Account Details] (アカウントの詳細) ウィンドウで確認できます

      The Snowflake Account Details window, with the region in the account identifier, name, and URL highlighted

  5. SQLコードを実行します。
  6. ネットワークアクセスが機能していることを確認します。問題が解決しない場合は、サポートに問い合わせてください。