Overview
このガイドでは、Snowflake データ ウェアハウスをNetskope DSPMプラットフォームに接続する方法について説明します。 このプロセスでは、Snowflake 内に必要な権限を持つ専用のサービス アカウントを作成し、そのアカウントのクレデンシャルを使用してNetskopeコンソールで接続を確立します。
セットアップと接続
このセクションでは、データベースを接続するためのエンドツーエンドの手順を説明します。このプロセスは主に2つのステップに分かれています。まず、Snowflake環境でサービスアカウントを作成し、次にNetskopeのユーザーインターフェースでデータストアを接続します。
ステップ1：Snowflakeでサービスアカウントを作成する
DSPMに接続する前に、Snowflakeで専用のサービスアカウントを作成する必要があります。これにより、DSPMはクエリログとスキャンデータにアクセスできるようになります。これは手動で行うこともできます。ほとんどのユーザーには手動で行うことをお勧めします。または 提供されているPythonスクリプトを使用することもできます。
ACCOUNTADMIN権限を持っている必要があります。方法1：Snowflake UIでの手動設定（推奨）
この方法では、Snowflake内でサービスアカウントのユーザーとロールを直接作成します。
ACCOUNTADMINロールを持つユーザーとしてSnowflakeアカウントにログインしてください。- Netskope DSPM 専用の新しいロールを作成します (例:
NETSKOPE_DSPM_ROLE)。 - この役割に必要な権限を付与してください。これには、DSPMスキャンの対象となるすべてのウェアハウスとデータベースに
USAGE、およびそれらのデータベース内のすべてのテーブルにSELECT含まれている必要があります。 - 安全なパスワードを使用して、 Netskope DSPM用の新しい専用ユーザー (例:
NETSKOPE_DSPM_USER) を作成します。 - 新しいユーザーに新しい役割を割り当て、それをユーザーのデフォルトの役割として設定します。
方法2：Pythonスクリプトによる自動セットアップ
この方法 サービスアカウントの作成と設定を自動化するためのPythonスクリプトを提供します。
前提条件
スクリプトを実行する前に、以下の要件を満たしていることを確認してください。
- Snowflakeアカウントの識別番号をお持ちです。アカウント識別子の詳細については、 Snowflakeのドキュメントを参照してください。
- ACCOUNTADMINロールを持つ Snowflake ユーザーのクレデンシャル (ユーザー名、パスワード、ロール、ウェアハウス) を持っています。 スクリプトがこれらの情報を入力するように促します。
- ローカルにPython （バージョン3以上）がインストールされています。
- Snowflake python connectorがインストールされています。
セットアップスクリプトを実行する
-
コマンドラインインターフェース（CLI）またはターミナルを開きます。
-
以下のコマンドを実行して、自動化スクリプトをダウンロードしてください。
wget https://dasera-release.s3.us-west-2.amazonaws.com/snowflake_setup.py -
スクリプトがダウンロードされたディレクトリに移動してください。
-
スクリプトを実行するには、以下のコマンドを使用してください。
python snowflake_setup.py -
スクリプトの指示に従って、以下のパラメータを入力してください。
Snowflake Pythonコネクタは、アカウント識別子に自動的に.snowflakecomputing.com追加します。識別子onlyを入力してください。
✅ CORRECT Examples:
xy12345.us-east-1
mycompany-prod
ab12345.us-west-2.aws
❌ INCORRECT Examples:
xy12345.us-east-1.snowflakecomputing.com(ドメインを含む)
https://mycompany-prod.snowflakecomputing.com(完全なURL)Script Parameters
パラメータ デスクリプション Snowflakeアカウント Snowflakeアカウントの識別子のみを入力してください（上記の警告事項を参照してください）。 Username Snowflakeアカウント管理者（ACCOUNTADMINロールを持つユーザー）のユーザー名を入力してください。 パスワード Snowflakeアカウント管理者のパスワードを入力してください。 管理者ロール ACCOUNTADMINを入力してください。これは、必要なSNOWFLAKE テーブルにアクセスして権限を付与できる唯一のロールです。管理倉庫 管理者ユーザーがアクセス権を持つ倉庫の名前を入力してください。このスクリプトは、このデータウェアハウス内のデータベースに対して、使用権限と監視権限を付与します。 Netskope DSPMユーザー用に作成するユーザー名 新しいサービスアカウントのユーザー名を入力してください(例: NETSKOPE_DSPM_USER)。Netskope DSPMユーザー用に作成するロール 新しいサービスアカウントの役割名(例: NETSKOPE_DSPM_ROLE)を入力します。Netskope DSPMユーザーのパスワード 新しいサービスアカウント用に、安全なパスワードを作成して入力してください。 Netskope DSPMユーザーが使うための倉庫 新しいサービスアカウントのデフォルト倉庫名を指定してください。
Snowflakeデータベースの種類を理解する
セットアッププロセスは、さまざまな種類のSnowflakeデータベースを自動的に検出し、処理します。これらの種類を理解することで、セットアップ時に何が起こるかを把握できます。
| データベースの種類 | デスクリプション | 特権付与方法 |
|---|---|---|
| 標準データベース | Snowflakeアカウントで直接作成されたデータベース | GRANT USAGE、MONITOR + スキーマ/テーブル権限 |
| インポート/共有データベース | データ共有を介して他のSnowflakeアカウントから共有されたデータベース | 輸入特権を付与する |
| アプリケーションデータベース | Snowflakeネイティブアプリのデータベース | 輸入特権を付与する |
| 個人データベース | ユーザー固有のデータベース | 自動的にスキップされました（ロールに権限を付与できません） |
特殊なケース
- SNOWFLAKE System Database:
SNOWFLAKEデータベースは、アカウントの使用状況とメタデータを提供する共有システムデータベースです。これは常にGRANT IMPORTED PRIVILEGES必要とし、DSPMの監視機能に不可欠です。
自動検出
セットアップスクリプトは自動的に以下を実行します。
- アカウント内の各データベースの種類を特定してください。
- データベースの種類に基づいて、適切な権限付与を適用してください。
- 個人用データベース（個々のユーザーにのみ付与可能）はスキップします。
- 各データベースに付与された権限を明確に示す出力を提供してください。
ステップ2：データストアを接続する
最後に、手順 1 で作成したサービス アカウントのクレデンシャルを使用して、 Netskopeコンソールのデータ ストアに接続します。
ステップ 1: クレデンシャルを提供する
接続を設定するには、以下の手順に従ってください。
-
Data Stores > Data Store Inventoryへ移動してください。
-
右上のCONNECT A DATA STOREクリックしてください。
ヒント：または、データストアが自動検出によって既に見つかった場合は、 Discoveredタブに移動し、[アクション] 列のConnectをクリックします。
-
In the Connect a Data Store window, click the data store icon you wish to connect.
-
「クレデンシャルの提供」セクションで、次のフィールドに入力します。
| Field | Value |
|---|---|
| データストア識別子 | このデータストアに分かりやすい名前を入力してください。 |
| データストアエンドポイント | SnowflakeアカウントのURLを入力してください（ < account_identifier > .snowflakecomputing.com ）。 |
| 認証方法 | Select 希望する認証方法: Username / Password か AWS Secrets Manager。 |
| シークレットARN | （もし AWS Secrets Manager）AWS Secrets Managerから取得したシークレットARNを入力してください。 |
| データベースユーザー名 | ステップ 1 で作成したDSPMサービス アカウントのユーザー名を入力してください。（ ユーザー名 / パスワード） ステップ 1 で作成したDSPMサービス アカウントのユーザー名を入力してください。 |
| パスワード | （もし ユーザー名／パスワード）ステップ1で作成したDSPMサービスアカウントのパスワードを入力してください。 |
| スキャン周波数 | DSPMデータストアの変更をレビューする頻度Select 。 |
| サイドカープール | このデータ ストアを監視するためにサイドカーを使用する場合は、ネットワークで可視性のあるサイドカー プールを選択します。 詳細については、サイドカー管理に関する記事をご覧ください。 |
ステップ2：インフラストラクチャのスキャン
- Nextをクリックしてください。
- 「機能のSelect 」タブが表示されたら、以下のフィールドに入力してください。
- Assign a Data Owner （オプション）：このデータストアの責任者であるユーザーを1人以上Select 。
- Which databases should Netskope DSPM scan?監視する具体的なデータストアやスキーマ Select 、該当する場合は。
- Features有効にしたい機能Select 。
| Capability | Snowflakeに対応しています |
|---|---|
| Discovery | はい（常時オン） |
| 特権分析 | はい |
| シャドウデータ分析 | はい |
| 分類 | はい Note: 既存のSnowflakeスキーマやオブジェクトタグをインポートするには、「Incest Snowflake tags」のチェックボックスを Select してください。 詳細については、 当社のデータタグ 記事をご覧ください。) |
| 使用中のデータの監視 | はい |
| Automation | はい（常時オン） |
ステップ3：確認して保存する
- Saveをクリックしてください。
- Reviewタブが表示されたら、システムは設定を検証します。問題が発生した場合は、画面の指示に従って解決してください。
- 接続を確定するには、 Saveをクリックしてください。
よくある設定上の問題
セットアップまたは接続プロセス中にエラーが発生した場合は、以下のシナリオを参照してください。
-
Account Identifier Errors
- Symptom: アカウント識別子エラーのため、接続に失敗しました。
- Solution: 使う アカウント識別子(例えば
xy12345.us-east-1)のみで、完全なURLは表示しません。.snowflakecomputing.comとhttps://が存在する場合は削除してください。
-
Imported Database Access Issues
- Symptom: スクリプト レポート「[データベース] に IMPORTED PRIVILEGES を付与できませんでした」。
- Cause: ACCOUNTADMINロールには、外部プロバイダーの共有データベースへのアクセス権がない場合があります。
- Solution:
- データベースがあなたのアカウントと共有されていることを確認してください。
- データプロバイダーに問い合わせて、適切な共有許可を確保してください。
- 一部の共有データベースでは、別途認証が必要となる場合があります。
-
Personal Database Warnings
- Symptom: スクリプトには「[データベース]をスキップしています（タイプ：個人データベース）」と表示されます。
- Explanation: これは想定される動作です。個人用データベースはユーザー固有のものであり、ロールに付与することはできません。DSPMはこれらのデータベースをスキャンしません。
-
Missing Databases in DSPM
-
Symptom: 接続後、一部のデータベースがDSPMに表示されない場合があります。
-
Check:
-
データベースの種類を確認するには、以下を使用してください。
SELECT DATABASE_NAME, TYPE FROM SNOWFLAKE.INFORMATION_SCHEMA.DATABASES WHERE DATABASE_NAME = 'your_database_name';
-
データベースの種類に基づいて、適切な権限付与が適用されていることを確認してください。
-
サービスアカウントの役割が、データベースが格納されているデータウェアハウスへのアクセス権を持っていることを確認してください。
-
-
-
Privilege Grant Failures During Setup
- Symptom: データベース権限を適用する際に警告が表示されます。
- Common Causes:
- 完全にインストールされていないアプリケーションデータベース。
- 共有データベースは承認待ちです。
- ACCOUNTADMIN が権限を付与できないデータベース。
- Action: 警告メッセージを確認してください。多くの警告は情報提供を目的としたものであり、DSPMがアクセス可能なデータベース上で動作することを妨げるものではありません。