Snowflake免费试用版Network Policy不生效相关问题咨询

我创建了network policy，通过ALLOWED_IP_LIST参数仅限制允许指定IP的用户访问，创建语句如下：

CREATE NETWORK POLICY Test ALLOWED_IP_LIST = ('103.136.64.120');

以下是三个问题的对应解答：

问题1：Snowflake免费试用版无法通过官方门户设置network policy的原因 #

• Snowflake免费试用版默认属于Standard版本层级，仅企业版及以上版本才开放Web门户的网络策略可视化配置入口，试用版仅支持通过SQL命令操作网络策略
• 部分试用账户的ACCOUNTADMIN角色默认未分配网络策略管理的图形界面操作权限，即便手动授权也无法触发Standard层未开放的Web配置功能

问题2：通过命令行创建NETWORK POLICY后，Web端检测生效的方法 #

首先确认策略已绑定到对应生效对象（账户/用户/角色），绑定后可通过两种方式测试：

1. 权限验证：在Web端Worksheet中执行命令SHOW PARAMETERS LIKE 'network_policy' IN ACCOUNT;，返回结果中VALUE字段显示你创建的Test策略名称，说明策略已成功挂载
2. 实际访问测试：使用不在允许IP列表内的设备，打开浏览器隐私窗口访问Snowflake Web UI尝试登录，若返回「IP地址未被允许访问」的403类报错，说明策略生效；也可以创建一个测试用户，将策略单独绑定到该测试用户，用测试用户登录验证避免影响现有账号访问

-- 绑定策略到账户的参考命令
ALTER ACCOUNT SET NETWORK_POLICY = Test;
-- 绑定策略到指定用户的参考命令
ALTER USER test_user SET NETWORK_POLICY = Test;

问题3：不在允许IP范围内仍可正常访问的排查步骤 #

1. 优先确认是否完成策略绑定：仅创建网络策略不会自动生效，必须绑定到账户、用户或角色才会触发拦截规则
2. 核实当前设备实际公网出口IP：可直接搜索「我的IP」获取当前公网地址，确认是否确实不在ALLOWED_IP_LIST范围内，很多办公/家庭网络存在多出口IP池，可能实际出口刚好在允许列表中
3. 检查策略优先级：用户级绑定的网络策略优先级高于账户级策略，若当前登录用户单独绑定了其他允许全IP的策略，会覆盖账户级的限制规则
4. 核对策略配置是否正确：检查ALLOWED_IP_LIST是否填写错误，是否误加了当前IP段，或是否设置了BLOCKED_IP_LIST导致规则冲突

内容的提问来源于stack exchange，提问作者Paresh Bijarane