ファイアウォールアカウントプロファイルテーブル

ファイアウォールグループプロファイルテーブル

USERHOST

アカウントプロファイル名。 各アカウント名の形式は user_name@host_name です。

MODE

プロファイルの現在の操作モード。 許可されるモード値は、OFF, DETECTING, PROTECTING, RECORDING および RESET です。 意味の詳細は、ファイアウォール操作の概念 を参照してください。

USERHOST

アカウントプロファイル名。 各アカウント名の形式は user_name@host_name です。

RULE

プロファイルの許容可能なステートメントパターンを示す正規化されたステートメント。 プロファイル許可リストは、そのルールの和集合です。

ID

テーブルの主キーである整数カラム。 このカラムは、MySQL 8.0.12 で追加されました。

NAME

グループプロファイル名。

MODE

プロファイルの現在の操作モード。 許可されるモード値は、OFF, DETECTING, PROTECTING および RECORDING です。 意味の詳細は、ファイアウォール操作の概念 を参照してください。

USERHOST

プロファイルが RECORDING モードの場合に使用される、グループプロファイルのトレーニングアカウント。 値は、NULL または user_name@host_name 形式の NULL 以外のアカウントです:

NAME

グループプロファイル名。

RULE

プロファイルの許容可能なステートメントパターンを示す正規化されたステートメント。 プロファイル許可リストは、そのルールの和集合です。

ID

テーブルの主キーである整数カラム。

GROUP_ID

グループプロファイル名。

MEMBER_ID

プロファイルのメンバーであるアカウントの名前。

ファイアウォールアカウントプロファイルのストアドプロシージャー

ファイアウォールグループプロファイルのストアドプロシージャ

sp_reload_firewall_rules(user)

このストアドプロシージャは、個々のアカウントプロファイルのファイアウォール操作を制御します。 この手順では、ファイアウォール UDF を使用して、mysql.firewall_whitelist テーブルに格納されているルールからアカウントプロファイルのメモリー内ルールをリロードします。

引数:

例:

CALL mysql.sp_reload_firewall_rules('fwuser@localhost');

sp_set_firewall_mode(user, mode)

このストアドプロシージャは、ファイアウォールにプロファイルを登録した後 (まだ登録されていない場合)、ファイアウォールアカウントプロファイルの操作モードを確立します。 この手順では、必要に応じてファイアウォール UDF を呼び出して、キャッシュと永続ストレージの間でファイアウォールデータを転送することもできます。 このプロシージャは、mysql_firewall_mode システム変数が OFF の場合でもコールできますが、プロファイルのモードを設定しても、ファイアウォールが有効になるまで操作上の影響はありません。

引数:

アカウントプロファイルを任意のモードに切り替えますが、RECORDING はファイアウォールキャッシュデータを、基礎となる永続的な記憶域を提供する mysql システムデータベーステーブルと同期します。 モードを OFF から RECORDING に切り替えると、mysql.firewall_whitelist テーブルからキャッシュに allowlist がリロードされます。

アカウントプロファイルに空の許可リストがある場合、そのモードは PROTECTING に設定できません。これは、プロファイルがすべてのステートメントを拒否し、効果的にアカウントによるステートメントの実行を禁止するためです。 このようなモード設定の試行に応じて、ファイアウォールは SQL エラーとしてではなく結果セットとして返される診断メッセージを生成します:

mysql> CALL mysql.sp_set_firewall_mode('a@b','PROTECTING');
+----------------------------------------------------------------------+
| set_firewall_mode(arg_userhost, arg_mode)                            |
+----------------------------------------------------------------------+
| ERROR: PROTECTING mode requested for a@b but the whitelist is empty. |
+----------------------------------------------------------------------+

sp_firewall_group_delist(group, user)

このストアドプロシージャは、ファイアウォールグループプロファイルからアカウントを削除します。

コールが成功した場合、グループメンバーシップの変更は、インメモリーキャッシュと永続記憶域の両方に対して行われます。

引数:

例:

CALL sp_firewall_group_delist('g', 'fwuser@localhost');

このプロシージャは、MySQL 8.0.23 で追加されました。

sp_firewall_group_enlist(group, user)

このストアドプロシージャは、ファイアウォールグループプロファイルにアカウントを追加します。 アカウントをグループに追加する前に、アカウント自体をファイアウォールに登録する必要はありません。

コールが成功した場合、グループメンバーシップの変更は、インメモリーキャッシュと永続記憶域の両方に対して行われます。

引数:

例:

CALL sp_firewall_group_enlist('g', 'fwuser@localhost');

このプロシージャは、MySQL 8.0.23 で追加されました。

sp_reload_firewall_group_rules(group)

このストアドプロシージャは、個々のグループプロファイルのファイアウォール操作を制御します。 この手順では、ファイアウォール UDF を使用して、mysql.firewall_group_allowlist テーブルに格納されているルールからグループプロファイルのインメモリールールをリロードします。

引数:

例:

CALL sp_reload_firewall_group_rules('myapp');

このプロシージャは、MySQL 8.0.23 で追加されました。

sp_set_firewall_group_mode(group, mode)

このストアドプロシージャは、ファイアウォールにプロファイルを登録した後、ファイアウォールグループプロファイルの動作モードを確立します (まだ登録されていない場合)。 この手順では、必要に応じてファイアウォール UDF を呼び出して、キャッシュと永続ストレージの間でファイアウォールデータを転送することもできます。 このプロシージャは、mysql_firewall_mode システム変数が OFF の場合でもコールできますが、プロファイルのモードを設定しても、ファイアウォールが有効になるまで操作上の影響はありません。

プロファイルが以前に存在していた場合、その記録制限は変更されません。 制限を設定またはクリアするには、かわりに sp_set_firewall_group_mode_and_user() をコールします。

引数:

例:

CALL sp_set_firewall_group_mode('myapp', 'PROTECTING');

このプロシージャは、MySQL 8.0.23 で追加されました。

sp_set_firewall_group_mode_and_user(group, mode, user)

このストアドプロシージャは、sp_set_firewall_group_mode() と同様に、グループをファイアウォールに登録し、その操作モードを確立しますが、グループが RECORDING モードの場合に使用するトレーニングアカウントも指定します。

引数:

例:

CALL sp_set_firewall_group_mode_and_user('myapp', 'RECORDING', 'myapp_user1@localhost');

このプロシージャは、MySQL 8.0.23 で追加されました。

ファイアウォールアカウントプロファイルのユーザー定義関数

ファイアウォールグループプロファイルのユーザー定義関数

ファイアウォールのその他のユーザー定義関数

read_firewall_users(user, mode)

この集計 UDF は、mysql.firewall_users テーブルの SELECT ステートメントを使用してファイアウォールアカウントプロファイルキャッシュを更新します。 FIREWALL_ADMIN 権限または非推奨の SUPER 権限が必要です。

例:

SELECT read_firewall_users('fwuser@localhost', 'RECORDING')
FROM mysql.firewall_users;

read_firewall_whitelist(user, rule)

この集計 UDF は、mysql.firewall_whitelist テーブルの SELECT ステートメントを使用して、指定されたアカウントプロファイルの記録済ステートメントキャッシュを更新します。 FIREWALL_ADMIN 権限または非推奨の SUPER 権限が必要です。

例:

SELECT read_firewall_whitelist('fwuser@localhost', fw.rule)
FROM mysql.firewall_whitelist AS fw
WHERE USERHOST = 'fwuser@localhost';

set_firewall_mode(user, mode)

この UDF は、アカウントプロファイルキャッシュを管理し、プロファイル操作モードを確立します。 FIREWALL_ADMIN 権限または非推奨の SUPER 権限が必要です。

例:

SELECT set_firewall_mode('fwuser@localhost', 'RECORDING');

firewall_group_delist(group, user)

この UDF は、グループプロファイルからアカウントを削除します。 FIREWALL_ADMIN 権限が必要です。

例:

SELECT firewall_group_delist('g', 'fwuser@localhost');

この関数は、MySQL 8.0.23 で追加されました。

firewall_group_enlist(group, user)

この UDF は、アカウントをグループプロファイルに追加します。 FIREWALL_ADMIN 権限が必要です。

アカウントをグループに追加する前に、アカウント自体をファイアウォールに登録する必要はありません。

例:

SELECT firewall_group_enlist('g', 'fwuser@localhost');

この関数は、MySQL 8.0.23 で追加されました。

read_firewall_group_allowlist(group, rule)

この集計 UDF は、mysql.firewall_group_allowlist テーブルの SELECT ステートメントを介して、指定されたグループプロファイルの記録されたステートメントキャッシュを更新します。 FIREWALL_ADMIN 権限が必要です。

例:

SELECT read_firewall_group_allowlist('my_fw_group', fgw.rule)
FROM mysql.firewall_group_allowlist AS fgw
WHERE NAME = 'my_fw_group';

この関数は、MySQL 8.0.23 で追加されました。

read_firewall_groups(group, mode, user)

この集計 UDF は、mysql.firewall_groups テーブルの SELECT ステートメントを介してファイアウォールグループプロファイルキャッシュを更新します。 FIREWALL_ADMIN 権限が必要です。

例:

SELECT read_firewall_groups('g', 'RECORDING', 'fwuser@localhost')
FROM mysql.firewall_groups;

この関数は、MySQL 8.0.23 で追加されました。

set_firewall_group_mode(group, mode[, user])

この UDF は、グループプロファイルキャッシュを管理し、プロファイル操作モードを確立し、オプションでプロファイルトレーニングアカウントを指定します。 FIREWALL_ADMIN 権限が必要です。

オプションの user 引数が指定されていない場合、プロファイルの以前の user 設定は変更されません。 設定を変更するには、3 番目の引数を指定して UDF を呼び出します。

オプションの user 引数が指定されている場合は、プロファイルが RECORDING モードのときに使用される、グループプロファイルのトレーニングアカウントを指定します。 値は、NULL または user_name@host_name 形式の NULL 以外のアカウントです:

例:

SELECT set_firewall_group_mode('g', 'DETECTING');

この関数は、MySQL 8.0.23 で追加されました。

mysql_firewall_flush_status()

この UDF は、いくつかのファイアウォールステータス変数を 0 にリセットします:

この UDF には、FIREWALL_ADMIN 権限または非推奨の SUPER 権限が必要です。

例:

SELECT mysql_firewall_flush_status();

normalize_statement(stmt)

この UDF は、SQL ステートメントを許可リストルールに使用されるダイジェストフォームに正規化します。 FIREWALL_ADMIN 権限または非推奨の SUPER 権限が必要です。

例:

SELECT normalize_statement('SELECT * FROM t1 WHERE c1 > 2');

mysql_firewall_mode

MySQL Enterprise Firewall が有効 (デフォルト) か無効か。

mysql_firewall_trace

MySQL Enterprise Firewall トレースが有効か無効か (デフォルト)。 mysql_firewall_trace が有効な場合、PROTECTING モードでは、ファイアウォールは拒否されたステートメントをエラーログに書き込みます。

Firewall_access_denied

MySQL Enterprise Firewall によって拒否されたステートメントの数。

Firewall_access_granted

MySQL Enterprise Firewall で受け入れられるステートメントの数。

Firewall_access_suspicious

DETECTING モードのユーザーの疑わしいステートメントとして MySQL Enterprise Firewall によって記録されたステートメントの数。

Firewall_cached_entries

MySQL Enterprise Firewall によって記録されたステートメントの数 (重複を含む)。