Snowflakeが名前付き鍵ペアの登録・ローテーションをSQL化

Snowflakeで、ユーザーに対する名前付き鍵ペアをSQLから登録、ローテーション、変更、削除できるようになりました。各鍵ペアには名前、任意のロール制限、有効期限を持たせられます。

今回の更新で変わること

従来の鍵ペア認証では、ユーザーのプロパティであるRSA_PUBLIC_KEYとRSA_PUBLIC_KEY_2を使い、二つの公開鍵を入れ替えながらローテーションする方式が中心でした。名前付き鍵ペアでは、ALTER USER ... ADD KEY PAIR、MODIFY KEY PAIR、ROTATE KEY PAIR、REMOVE KEY PAIRを使って、鍵を識別可能な単位で管理します。従来のプロパティは引き続きサポートされるため、既存接続を即時移行する必要はありません。

名前が付くことで、アプリ、環境、運用主体ごとに鍵を分け、どの鍵を変更・失効するかを明確にできます。有効期限を設定すれば無期限の鍵を減らせます。任意のロール制限は、その鍵で認証したセッションが使えるロールを制限する追加の境界になります。ただし、公開鍵の登録だけで秘密鍵の安全な保管、配布、ローテーションが自動化されるわけではありません。秘密鍵は保管庫やHSMで管理し、CI、コネクター、ドライバーが新旧鍵を重ねて切り替えられる手順が必要です。

移行では、同じユーザーに複数アプリが依存していないかを先に調べます。名前付き鍵へ変更した後も従来のプロパティが残れば、古い秘密鍵が有効な認証経路として残る可能性があります。接続ログと認証失敗を監視し、全クライアントが新鍵を使ったことを確認してから旧鍵を削除します。ロール制限と既定ロール、セカンダリーロール、将来の権限変更の関係も試験します。有効期限切れが夜間バッチを止めないよう、期限前通知と緊急ローテーションの手順書を用意します。

鍵名には用途と環境を含め、所有者が変わっても失効判断ができる命名規則を採用します。

影響を受ける人

Snowflakeへ非対話で接続するアプリ、ETL、BI、CI/CDの認証を管理するIAM、セキュリティ、データ基盤チームに関係します。

実務で確認したいこと

ユーザーと秘密鍵の依存関係を一覧化し、用途別の名前、ロール制限、有効期限を決めます。新旧鍵の重複期間に接続を確認し、旧方式のキーを削除する完了条件と期限前通知を設定します。