CREATE NETWORK POLICY
功能概述
创建网络策略，通过 IP 白名单和黑名单限制对 Lakehouse 实例的访问来源。需要实例管理员（instance_admin）权限。
语法
CREATE [ OR REPLACE ] NETWORK POLICY <name>
ALLOWED_IP_LIST = ( [ '<ip_address>' [ , '<ip_address>' , ... ] ] )
[ BLOCKED_IP_LIST = ( [ '<ip_address>' [ , '<ip_address>' , ... ] ] ) ]
[ WORKSPACE_LIST = ( <workspace_name> [ , <workspace_name> , ... ] ) ]
[ USER_LIST = ( <user_name> [ , <user_name> , ... ] ) ]
参数说明
-
<name>
<name>
：网络策略名称，同一实例内不可重复。
-
ALLOWED_IP_LIST
ALLOWED_IP_LIST
：IP 白名单，支持 IPv4 地址或 CIDR 格式（如 192.168.1.0/24
192.168.1.0/24
）。列表为空时表示允许所有 IP。不支持 0.0.0.0/0
0.0.0.0/0
。
-
BLOCKED_IP_LIST
BLOCKED_IP_LIST
：IP 黑名单，可选。黑名单优先于白名单，命中黑名单的 IP 始终被拒绝。
-
WORKSPACE_LIST
WORKSPACE_LIST
：可选，策略生效的工作空间范围。只对列出的工作空间生效，适合只限制生产工作空间、不影响开发工作空间的场景。不写时对整个实例生效。
-
USER_LIST
USER_LIST
：可选，策略生效的用户范围。只对列出的用户生效，适合只限制某些账号（如对外提供服务的程序账号）的访问来源。不写时对所有用户生效。
⚠️ 注意：
WORKSPACE_LIST
WORKSPACE_LIST
、
USER_LIST
USER_LIST
中的名称是标识符，不加单引号，如
WORKSPACE_LIST = (prod_ws)
WORKSPACE_LIST = (prod_ws)
；名称含特殊字符时用反引号包裹。
⚠️ 不支持
0.0.0.0/0
0.0.0.0/0
。同一策略内白名单或黑名单中的 IP/CIDR 不允许重复，但允许存在交集。
创建成功后策略默认为激活（active）状态。
使用示例
-- 只允许指定 IP 段访问
CREATE NETWORK POLICY office_policy
ALLOWED_IP_LIST = ('192.168.1.0/24', '10.0.0.1');
-- 允许某网段，同时屏蔽其中一个 IP
CREATE NETWORK POLICY corp_policy
ALLOWED_IP_LIST = ('192.168.11.1', '192.168.11.2', '10.0.0.1/24')
BLOCKED_IP_LIST = ('192.168.11.99');
-- 覆盖已有策略
CREATE OR REPLACE NETWORK POLICY office_policy
ALLOWED_IP_LIST = ('10.0.0.0/8');
-- 只限制 prod_ws 工作空间中 etl_service 用户的访问来源
CREATE NETWORK POLICY prod_service_policy
ALLOWED_IP_LIST = ('10.1.0.0/16')
WORKSPACE_LIST = (prod_ws)
USER_LIST = (etl_service);
注意事项
- 所有 NETWORK POLICY 操作均需要实例管理员（instance_admin）权限。
- 如果将当前访问 IP 加入黑名单，策略生效后将立即断开当前连接，请谨慎操作。
- 多条策略并行生效时，系统对所有生效策略的白名单和黑名单分别取并集后再应用。
相关文档
