Press CTRL+K to open search

Snowflake: SaaSポスチャー統合の設定

  • 更新日 Nov 3, 2026
  • 公開日 Nov 2, 2026
  • 1 分で読めます
Prev Next

Overview

SaaS Posture integrations provide visibility into the configuration and security posture of your connected SaaS applications. Cato continuously reviews the application settings and compares them to the recommended posture defined by Cato’s research team. This helps identify misconfigurations that can increase risk, such as authentication settings, third-party integrations, and data-sharing controls.

Posture data appears in the Cloud Apps Dashboard, where you can view posture scores and the highest-severity findings across connected applications. You can review each posture check from the Posture page, including the issue details, status, and remediation action required to pass the check.

For more information, see Reviewing the Security Posture of Your SaaS Applications.

To configure the SaaS Posture integration, you need to:

  1. Configure the required settings in the SaaS application

  2. Create the API connector in the CMA

A CASB license is required for SaaS Posture integrations.

Snowflake統合の設定

Snowflake統合を設定するには、サービスユーザーを作成し、その権限とネットワークポリシーを設定し、プログラムによるアクセストークンを生成します。

事前準備

  • コネクタのロール、ウェアハウス、サービスユーザー、ネットワークポリシー、トークンを作成するACCOUNTADMINロールを持つSnowflakeユーザー

  • CatoがSnowflakeアカウントに接続するために使用するIPアドレス

Snowflakeは、サービスユーザーのプログラムによるアクセストークンをネットワークポリシーで許可されたアドレスからのみ受け入れます。

認証ポリシーがアカウントやサービスユーザーに適用され、AUTHENTICATION_METHODSを制限する場合、'PROGRAMMATIC_ACCESS_TOKEN'をリストに含めます。そうでなければ、Snowflakeはユーザーによるトークンの生成または使用を許可しません。

ステップ1: Snowflakeで統合を設定

Snowflakeリソースを作成し、ネットワークアクセスを制限し、トークンとアカウントのURLをCMAのために保存します。

コネクタロールには以下の権限が必要です:

  • SNOWFLAKE.SECURITY_VIEWERデータベースロール: ユーザー、ロールの授与、プログラムアクセス トークン、ネットワークポリシーとルール、パスワードとセッションポリシー、ポリシーの割り当て

  • SNOWFLAKE.GOVERNANCE_VIEWERデータベースロール: マスキングおよび行アクセス ポリシー、ポリシーの割り当て、機密データ分類タグ

  • SNOWFLAKE.OBJECT_VIEWERデータベースロール: タスク、ストアドプロシージャ、ステージ

  • ウェアハウス上のUSAGE: コネクタのクエリを実行

SQLの例でオブジェクトの名前を変更できます。後のステップで同じ名前を使います。

Snowflakeのアプリケーションアクティビティ機能のためにすでにこのロールとユーザーを作成した場合、SNOWFLAKE.OBJECT_VIEWERの権限を実行し、同じトークンを再利用します。

ロール、ウェアハウス、およびサービスユーザーを作成するには:

  1. ACCOUNTADMINロールを持つユーザーとしてSnowsightにログインし、SQLワークシートを開きます。

  2. これらのステートメントを実行してください:

    USE ROLE ACCOUNTADMIN;

もし存在しなければ、ロール CATO_CONNECTOR_ROLE を作成します;
ロール CATO_CONNECTOR_ROLE にデータベースロール SNOWFLAKE.SECURITY_VIEWER を付与します;
ロール CATO_CONNECTOR_ROLE にデータベースロール SNOWFLAKE.GOVERNANCE_VIEWER を付与します;
ロール CATO_CONNECTOR_ROLE にデータベースロール SNOWFLAKE.OBJECT_VIEWER を付与します;

もし存在しなければ、 ウェアハウス CATO_CONNECTOR_WH を作成します
  WAREHOUSE_SIZE = XSMALL AUTO_SUSPEND = 60 AUTO_RESUME = TRUE INITIALLY_SUSPENDED = TRUE;
ロール CATO_CONNECTOR_ROLE にウェアハウス CATO_CONNECTOR_WH の使用状況を付与します;

もし存在しなければ、ユーザー CATO_CONNECTOR_SVC を作成します
  タイプ = サービス
  デフォルトロール = CATO_CONNECTOR_ROLE
  デフォルトウェアハウス = CATO_CONNECTOR_WH
  コメント = 'Cato コネクタ';
ユーザー CATO_CONNECTOR_SVC にロール CATO_CONNECTOR_ROLE を付与します;

サービスユーザーのプログラムによるアクセストークンを生成し使用するには、ネットワークポリシーが必要です。ユーザーレベルのポリシーは、そのユーザーに対してのみアカウントレベルのネットワークポリシーを上書きします。

CatoのIPアドレスをネットワークポリシーで許可するには:

  1. SQLワークシートで、これらのステートメントを実行してネットワークルールとポリシーを作成し、サービスユーザーにポリシーを有効化します。

    <Cato IP address>を、CatoがSnowflakeアカウントに接続するために使用するIPアドレスに置き換えます。

    ネットワークルールを、既存の任意のデータベースやスキーマで、CATO_CONNECTOR_DB.NETWORKの代わりに作成することができます。

    もし存在しなければ、データベース CATO_CONNECTOR_DB を作成します;
もし存在しなければ、スキーマ CATO_CONNECTOR_DB.NETWORK を作成します;

ネットワークルール CATO_CONNECTOR_DB.NETWORK.CATO_CONNECTOR_IPS を作成します
  モード = 入力
  タイプ = IPV4
  VALUE_LIST = ('<Cato IP アドレス>');

ネットワークポリシー CATO_CONNECTOR_POLICY を作成します
  ALLOWED_NETWORK_RULE_LIST = ('CATO_CONNECTOR_DB.NETWORK.CATO_CONNECTOR_IPS');

ユーザー CATO_CONNECTOR_SVC のネットワークポリシーを CATO_CONNECTOR_POLICY に設定します;

詳細はSnowflakeのドキュメントを参照してください。

トークンの有効期間を90日またはそれ以下に設定してください。長期間のトークンは、プログラムによるアクセストークンの有効期間の制限チェックで報告されます。

プログラムによるアクセストークンを生成するには:

  1. Snowsightで、ガバナンス＆セキュリティ > ユーザー＆ロールに移動します。

  2. CATO_CONNECTOR_SVCユーザーを選択します。

  3. プログラムによるアクセストークンの下で、新しいトークンを生成を選択します。

  4. 名前、たとえばCATO_CONNECTOR_TOKENを入力してください。

    （オプション） コメントを入力します。

  5. 有効期限で、90日以内を選択します。

  6. 特定のロールを選択し、CATO_CONNECTOR_ROLEを選びます。

  7. 生成を選択します。

  8. プログラムアクセス トークンをコピーして保存し、CMAに入力できるようにします。

    Snowflake はトークンを一度のみ表示します。続行する前に安全に保存してください。

または、SQL ワークシートでトークンを生成します:

ALTER USER CATO_CONNECTOR_SVC ADD PROGRAMMATIC ACCESS TOKEN CATO_CONNECTOR_TOKEN
  ROLE_RESTRICTION = 'CATO_CONNECTOR_ROLE'\n  DAYS_TO_EXPIRY = 90;

トークンはtoken_secret列に返されます。プログラムアクセス トークンをコピーして保存し、CMAに入力できるようにします。安全に保存してください。

詳細は、認証用のプログラムアクセス トークンの使用を参照してください。

コネクタ用のアカウント URL を記録します。 CMAではhttps://スラッシュやパスなしで使用します。

アカウントURLを記録するには:

  1. Snowsightでアカウントセレクタを開き、アカウント詳細を確認を選択します。

  2. アカウント/サーバー URLをコピーして保存し、CMAに入力できるようにします。

    例として、orgname-account_name.snowflakecomputing.comをCMAにhttps://orgname-account_name.snowflakecomputing.comとして入力します。

トークンの有効期限が切れると動作を停止します。コネクタを作成した後、有効期限が切れる前にトークンをローテートします。

プログラムアクセス トークンを回転するには:

  1. ガバナンス & セキュリティ > ユーザー & ロールに移動し、サービスユーザーを選択します。

  2. プログラムアクセス トークンの下で三つのドットをクリックし、ローテートを選択します。

  3. 新しいプログラムアクセス トークンをコピーして保存し、CMAに入力できるようにします。

  4. CMAコネクタのトークンを更新し、接続ステータスが接続済みであることを確認してください。

ステップ 2: CMAでのAPIコネクタ作成

必要なアプリケーションとの統合設定後、その詳細を CMA に追加します。

CMAでAPIエンドポイントコネクタを作成するには：

  1. ナビゲーションメニューからリソース > 統合をクリックします。

  2. 設定済み統合タブをクリックします。

  3. 「新規」をクリックします。新規統合 パネルが開きます。

  4. 追加したいSaaSアプリケーションを選択します。

    この統合のためにSnowflakeを選択します。

  5. 機能のドロップダウンからSaaSポスチャーを選択します。

  6. 手順一で作成した詳細を追加します

    • Auth: Snowflake用のプログラムアクセス トークンを選択します。

    • 名前: コネクタの名前を入力します。

    • （オプション）説明: 説明を入力します。

    • アカウント URL: 保存されたアカウント URL を https://付きで、スラッシュやパスなしで入力します。例えばhttps://orgname-account_name.snowflakecomputing.com。

    • 倉庫: ステップ1で作成した倉庫に入力してください。例えば、CATO_CONNECTOR_WH。

    • プログラムアクセス トークン: ステップ1で保存したトークンを入力してください。

  7. 「保存」をクリックします。

アプリケーションは統合されたアプリケーションテーブルに、接続済みステータスとして表示されます。

関連記事