防火牆群組設定檔表格

防火牆帳戶設定檔表格

名稱 (NAME)

群組設定檔的名稱。

模式 (MODE)

設定檔目前的運作模式。允許的模式值為 OFF、DETECTING、PROTECTING 和 RECORDING。關於這些模式意義的詳細資訊，請參閱 防火牆概念。

使用者主機 (USERHOST)

群組設定檔的訓練帳戶，當設定檔處於 RECORDING 模式時使用。此值為 NULL，或格式為 使用者名稱@主機名稱 的非 NULL 帳戶。

名稱 (NAME)

群組設定檔的名稱。

規則 (RULE)

一個標準化的陳述式，表示該設定檔可接受的陳述式模式。設定檔允許清單是其規則的聯集。

ID

一個整數欄位，是表格的主索引鍵。

群組 ID (GROUP_ID)

群組設定檔的名稱。

成員 ID (MEMBER_ID)

屬於該設定檔成員的帳戶名稱。

使用者主機 (USERHOST)

帳戶設定檔名稱。每個帳戶名稱的格式為 使用者名稱@主機名稱。

模式 (MODE)

設定檔目前的運作模式。允許的模式值為 OFF、DETECTING、PROTECTING、RECORDING 和 RESET。關於這些模式意義的詳細資訊，請參閱 防火牆概念。

使用者主機 (USERHOST)

帳戶設定檔名稱。每個帳戶名稱的格式為 使用者名稱@主機名稱。

規則 (RULE)

一個標準化的陳述式，表示該設定檔可接受的陳述式模式。設定檔允許清單是其規則的聯集。

ID

一個整數欄位，是表格的主索引鍵。

防火牆群組設定檔預存程序

防火牆帳戶設定檔預存程序

防火牆雜項預存程序

sp_firewall_group_delist(群組, 使用者)

此預存程序會從防火牆群組設定檔中移除帳戶。

如果呼叫成功，則會對記憶體中快取和持久性儲存進行群組成員資格的變更。

引數

範例

CALL mysql.sp_firewall_group_delist('g', 'fwuser@localhost');

sp_firewall_group_enlist(群組, 使用者)

此預存程序會將帳戶新增至防火牆群組設定檔。在將帳戶新增至群組之前，不需要向防火牆註冊帳戶本身。

如果呼叫成功，則會對記憶體中快取和持久性儲存進行群組成員資格的變更。

引數

範例

CALL mysql.sp_firewall_group_enlist('g', 'fwuser@localhost');

sp_reload_firewall_group_rules(群組)

此預存程序提供對個別群組設定檔的防火牆運作控制。此程序會使用防火牆管理功能，從 防火牆資料庫.firewall_group_allowlist 表格中儲存的規則重新載入群組設定檔的記憶體中規則。

引數

範例

CALL mysql.sp_reload_firewall_group_rules('myapp');

sp_set_firewall_group_mode(群組, 模式)

此預存程序會為防火牆群組設定檔建立運作模式，如果設定檔尚未註冊，則會在向防火牆註冊設定檔之後進行。此程序也會在必要時呼叫防火牆管理功能，以在快取和持久性儲存之間傳輸防火牆資料。即使 mysql_firewall_mode 系統變數為 OFF，也可以呼叫此程序，儘管在啟用防火牆之前，設定設定檔的模式不會產生任何運作效果。

如果設定檔先前存在，則該設定檔的任何記錄限制都會保持不變。若要設定或清除限制，請改為呼叫 sp_set_firewall_group_mode_and_user()。

引數

範例

CALL mysql.sp_set_firewall_group_mode('myapp', 'PROTECTING');

sp_set_firewall_group_mode_and_user(群組, 模式, 使用者)

此預存程序會向防火牆註冊群組並建立其運作模式，類似於 sp_set_firewall_group_mode()，但也會指定當群組處於 RECORDING 模式時要使用的訓練帳戶。

引數

範例

CALL mysql.sp_set_firewall_group_mode_and_user('myapp', 'RECORDING', 'myapp_user1@localhost');

sp_reload_firewall_rules(使用者)

此預存程序提供對個別帳戶設定檔的防火牆運作控制。此程序會使用防火牆管理功能，從 防火牆資料庫.firewall_whitelist 表格中儲存的規則重新載入帳戶設定檔的記憶體中規則。

引數

範例

CALL sp_reload_firewall_rules('fwuser@localhost');

此程序已被棄用，並可能在未來的 MySQL 版本中移除。請參閱將帳戶設定檔遷移至群組設定檔。

sp_set_firewall_mode(user, mode)

此預存程序會在將防火牆設定檔註冊到防火牆 (如果尚未註冊) 後，為防火牆帳戶設定檔建立操作模式。此程序也會視需要呼叫防火牆管理功能，以便在快取和持久儲存之間傳輸防火牆資料。即使 mysql_firewall_mode 系統變數為 OFF，也可以呼叫此程序，但設定設定檔的模式在啟用防火牆之前沒有任何操作效果。

引數

將帳戶設定檔切換為除了 RECORDING 以外的任何模式，會將其防火牆快取資料同步到提供持久底層儲存的防火牆資料庫表格 (mysql 或自訂)。將模式從 OFF 切換為 RECORDING 會將允許清單從 firewall-database.firewall_whitelist 表格重新載入到快取中。

如果帳戶設定檔具有空的允許清單，則其模式無法設定為 PROTECTING，因為該設定檔會拒絕每個陳述式，實際上禁止該帳戶執行陳述式。為回應此類模式設定嘗試，防火牆會產生診斷訊息，並以結果集而非 SQL 錯誤的形式傳回。

mysql> CALL sp_set_firewall_mode('a@b','PROTECTING');
+----------------------------------------------------------------------+
| set_firewall_mode(arg_userhost, arg_mode)                            |
+----------------------------------------------------------------------+
| ERROR: PROTECTING mode requested for a@b but the allowlist is empty. |
+----------------------------------------------------------------------+

此程序已被棄用，並可能在未來的 MySQL 版本中移除。請參閱將帳戶設定檔遷移至群組設定檔。

sp_migrate_firewall_user_to_group(user, group)

sp_migrate_firewall_user_to_group() 預存程序會將防火牆帳戶設定檔轉換為群組設定檔，並將該帳戶作為其唯一的註冊成員。請執行 firewall_profile_migration.sql 指令碼以安裝它。轉換程序會在將帳戶設定檔遷移至群組設定檔中討論。

此常式需要 FIREWALL_ADMIN 權限。

引數

範例

CALL sp_migrate_firewall_user_to_group('fwuser@localhost', 'mygroup);

防火牆群組設定檔功能

防火牆帳戶設定檔功能

防火牆雜項功能

firewall_group_delist(group, user)

此功能會從群組設定檔中移除帳戶。它需要 FIREWALL_ADMIN 權限。

範例

SELECT firewall_group_delist('g', 'fwuser@localhost');

firewall_group_enlist(group, user)

此功能會將帳戶新增至群組設定檔。它需要 FIREWALL_ADMIN 權限。

在將帳戶新增至群組之前，無需先向防火牆註冊帳戶本身。

範例

SELECT firewall_group_enlist('g', 'fwuser@localhost');

read_firewall_group_allowlist(group, rule)

此彙總函式會透過 SELECT 在 firewall-database.firewall_group_allowlist 表格上進行的陳述式，更新指定群組設定檔的記錄陳述式快取。它需要 FIREWALL_ADMIN 權限。

範例

SELECT read_firewall_group_allowlist('my_fw_group', fgw.rule)
FROM mysql.firewall_group_allowlist AS fgw
WHERE NAME = 'my_fw_group';

read_firewall_groups(group, mode, user)

此彙總函式會透過 SELECT 在 firewall-database.firewall_groups 表格上進行的陳述式，更新防火牆群組設定檔快取。它需要 FIREWALL_ADMIN 權限。

範例

SELECT read_firewall_groups('g', 'RECORDING', 'fwuser@localhost')
FROM mysql.firewall_groups;

set_firewall_group_mode(group, mode[, user])

此函式會管理群組設定檔快取，建立設定檔操作模式，並選擇性地指定設定檔訓練帳戶。它需要 FIREWALL_ADMIN 權限。

如果未提供選用的 user 引數，則設定檔的任何先前的 user 設定將保持不變。若要變更設定，請使用第三個引數呼叫函式。

如果提供選用的 user 引數，它會指定群組設定檔的訓練帳戶，以便在設定檔處於 RECORDING 模式時使用。值為 NULL，或是具有 user_name@host_name 格式的非 NULL 帳戶

範例

SELECT set_firewall_group_mode('g', 'DETECTING');

read_firewall_users(user, mode)

此彙總函式會透過 SELECT 在 firewall-database.firewall_users 表格上進行的陳述式，更新防火牆帳戶設定檔快取。它需要 FIREWALL_ADMIN 權限或已棄用的 SUPER 權限。

範例

SELECT read_firewall_users('fwuser@localhost', 'RECORDING')
FROM mysql.firewall_users;

此功能已被棄用，並可能在未來的 MySQL 版本中移除。請參閱將帳戶設定檔遷移至群組設定檔。

read_firewall_whitelist(user, rule)

此彙總函式會透過 SELECT 在 firewall-database.firewall_whitelist 表格上進行的陳述式，更新指定帳戶設定檔的記錄陳述式快取。它需要 FIREWALL_ADMIN 權限或已棄用的 SUPER 權限。

範例

SELECT read_firewall_whitelist('fwuser@localhost', fw.rule)
FROM mysql.firewall_whitelist AS fw
WHERE USERHOST = 'fwuser@localhost';

此功能已被棄用，並可能在未來的 MySQL 版本中移除。請參閱將帳戶設定檔遷移至群組設定檔。

set_firewall_mode(user, mode)

此函式會管理帳戶設定檔快取，並建立設定檔操作模式。它需要 FIREWALL_ADMIN 權限或已棄用的 SUPER 權限。

範例

SELECT set_firewall_mode('fwuser@localhost', 'RECORDING');

此功能已被棄用，並可能在未來的 MySQL 版本中移除。請參閱將帳戶設定檔遷移至群組設定檔。

mysql_firewall_flush_status()

此函式會將數個防火牆狀態變數重設為 0

此函式需要 FIREWALL_ADMIN 權限或已棄用的 SUPER 權限。

範例

SELECT mysql_firewall_flush_status();

normalize_statement(stmt)

此函式會將 SQL 陳述式正規化為允許清單規則使用的摘要形式。它需要 FIREWALL_ADMIN 權限或已棄用的 SUPER 權限。

範例

SELECT normalize_statement('SELECT * FROM t1 WHERE c1 > 2');

mysql_firewall_database

指定 MySQL Enterprise Firewall 從哪個資料庫讀取資料。通常，MYSQL_FIREWALL 伺服器端外掛程式會將其內部資料（表格、預存程序和函數）儲存在 mysql 系統資料庫中，但您也可以建立和使用自訂的綱要（請參閱安裝 MySQL Enterprise Firewall）。此變數允許在啟動時指定替代的資料庫名稱。

mysql_firewall_mode

MySQL Enterprise Firewall 是否已啟用（預設）或停用。

mysql_firewall_reload_interval_seconds

指定伺服器端外掛程式用來從防火牆表格重新載入其內部快取的間隔（以秒為單位）。當mysql_firewall_reload_interval_seconds 的值為零（預設值）時，不會在執行時定期從表格重新載入資料。0 到 60 之間的值（1 到 59）不會被外掛程式接受。相反地，這些值會自動調整為 60。

此變數要求 scheduler 元件必須啟用（ON）。如需更多資訊，請參閱排程防火牆快取重新載入。

mysql_firewall_trace

是否啟用或停用 MySQL Enterprise Firewall 追蹤（預設值）。當啟用mysql_firewall_trace 時，對於 PROTECTING 模式，防火牆會將拒絕的陳述式寫入錯誤日誌。

Firewall_access_denied

MySQL Enterprise Firewall 拒絕的陳述式數量。

Firewall_access_granted

MySQL Enterprise Firewall 接受的陳述式數量。

Firewall_access_suspicious

MySQL Enterprise Firewall 記錄為在 DETECTING 模式下使用者的可疑陳述式數量。

Firewall_cached_entries

MySQL Enterprise Firewall 記錄的陳述式數量，包括重複項。