防火墙组配置文件表

防火墙帐户配置文件表

名称

组配置文件名称。

模式

配置文件的当前操作模式。允许的模式值为 OFF、DETECTING、PROTECTING 和 RECORDING。有关其含义的详细信息，请参见 防火墙概念。

USERHOST

组配置文件的训练帐户，在配置文件处于 RECORDING 模式时使用。该值为 NULL 或非 NULL 帐户，格式为 user_name@host_name

名称

组配置文件名称。

规则

一个规范化的语句，表示配置文件可接受的语句模式。配置文件白名单是其规则的并集。

ID

一个整数列，是该表的主键。

GROUP_ID

组配置文件名称。

MEMBER_ID

该配置文件中一个成员的名称。

USERHOST

帐户配置文件名称。每个帐户名称的格式为 user_name@host_name。

模式

配置文件的当前操作模式。允许的模式值有 OFF、DETECTING、PROTECTING、RECORDING 和 RESET。有关其含义的详细信息，参见 防火墙概念。

USERHOST

帐户配置文件名称。每个帐户名称的格式为 user_name@host_name。

规则

一个规范化的语句，表示配置文件可接受的语句模式。配置文件白名单是其规则的并集。

ID

一个整数列，是该表的主键。

防火墙组配置文件存储过程

防火墙帐户配置文件存储过程

防火墙杂项存储过程

sp_firewall_group_delist(group, user)

此存储过程从防火墙组配置文件中删除帐户。

如果调用成功，则组成员资格的更改将被应用于内存中缓存和持久存储。

参数

示例

CALL mysql.sp_firewall_group_delist('g', 'fwuser@localhost');

sp_firewall_group_enlist(group, user)

此存储过程将帐户添加到防火墙组配置文件中。在将帐户添加到组之前，无需向防火墙注册该帐户本身。

如果调用成功，则组成员资格的更改将被应用于内存中缓存和持久存储。

参数

示例

CALL mysql.sp_firewall_group_enlist('g', 'fwuser@localhost');

sp_reload_firewall_group_rules(group)

此存储过程提供对单个组配置文件的防火墙操作的控制。该过程使用防火墙管理功能从存储在 firewall-database.firewall_group_allowlist 表中的规则重新加载组配置文件的内存中规则。

参数

示例

CALL mysql.sp_reload_firewall_group_rules('myapp');

sp_set_firewall_group_mode(group, mode)

此存储过程在向防火墙注册配置文件（如果尚未注册）后，为防火墙组配置文件建立操作模式。该过程还根据需要调用防火墙管理功能来在缓存和持久存储之间传输防火墙数据。即使 mysql_firewall_mode 系统变量为 OFF，也可以调用此过程，尽管设置配置文件的模式在防火墙启用之前没有任何操作效果。

如果配置文件以前存在，则其任何记录限制保持不变。要设置或清除限制，请改为调用 sp_set_firewall_group_mode_and_user()。

参数

示例

CALL mysql.sp_set_firewall_group_mode('myapp', 'PROTECTING');

sp_set_firewall_group_mode_and_user(group, mode, user)

此存储过程类似于 sp_set_firewall_group_mode()，向防火墙注册组并建立其操作模式，但也指定了在组处于 RECORDING 模式时使用的训练帐户。

参数

示例

CALL mysql.sp_set_firewall_group_mode_and_user('myapp', 'RECORDING', 'myapp_user1@localhost');

sp_reload_firewall_rules(user)

此存储过程提供对单个帐户配置文件的防火墙操作的控制。该过程使用防火墙管理功能从存储在 firewall-database.firewall_whitelist 表中的规则重新加载帐户配置文件的内存中规则。

参数

示例

CALL sp_reload_firewall_rules('fwuser@localhost');

此过程已弃用，并可能在将来的 MySQL 版本中删除。参见 将帐户配置文件迁移到组配置文件。

sp_set_firewall_mode(user, mode)

此存储过程在向防火墙注册配置文件（如果尚未注册）后，为防火墙帐户配置文件建立操作模式。该过程还根据需要调用防火墙管理功能来在缓存和持久存储之间传输防火墙数据。即使 mysql_firewall_mode 系统变量为 OFF，也可以调用此过程，尽管设置配置文件的模式在防火墙启用之前没有任何操作效果。

参数

将帐户配置文件切换到除 RECORDING 以外的任何模式都会将其防火墙缓存数据同步到提供持久基础存储的防火墙数据库表（mysql 或自定义）。将模式从 OFF 切换到 RECORDING 会将白名单从 firewall-database.firewall_whitelist 表重新加载到缓存中。

如果帐户配置文件的白名单为空，则其模式无法设置为 PROTECTING，因为配置文件会拒绝所有语句，从而有效地禁止帐户执行语句。为了应对这种模式设置尝试，防火墙会生成一个诊断消息，该消息作为结果集而不是作为 SQL 错误返回。

mysql> CALL sp_set_firewall_mode('a@b','PROTECTING');
+----------------------------------------------------------------------+
| set_firewall_mode(arg_userhost, arg_mode)                            |
+----------------------------------------------------------------------+
| ERROR: PROTECTING mode requested for a@b but the allowlist is empty. |
+----------------------------------------------------------------------+

此过程已弃用，并可能在将来的 MySQL 版本中删除。参见 将帐户配置文件迁移到组配置文件。

sp_migrate_firewall_user_to_group(user, group)

The sp_migrate_firewall_user_to_group() 存储过程将防火墙帐户配置文件转换为组配置文件，并将该帐户作为其唯一的已注册成员。运行 firewall_profile_migration.sql 脚本来安装它。转换过程在 将帐户配置文件迁移到组配置文件 中进行了讨论。

此例程需要 FIREWALL_ADMIN 权限。

参数

示例

CALL sp_migrate_firewall_user_to_group('fwuser@localhost', 'mygroup);

防火墙组配置文件功能

防火墙帐户配置文件功能

防火墙杂项功能

firewall_group_delist(group, user)

此函数从组配置文件中删除一个帐户。它需要 FIREWALL_ADMIN 权限。

示例

SELECT firewall_group_delist('g', 'fwuser@localhost');

firewall_group_enlist(group, user)

此函数将帐户添加到组配置文件。它需要 FIREWALL_ADMIN 权限。

在将帐户添加到组之前，无需将帐户本身注册到防火墙。

示例

SELECT firewall_group_enlist('g', 'fwuser@localhost');

read_firewall_group_allowlist(group, rule)

此聚合函数通过对 firewall-database.firewall_group_allowlist 表执行 SELECT 语句，更新命名组配置文件的记录语句缓存。它需要 FIREWALL_ADMIN 权限。

示例

SELECT read_firewall_group_allowlist('my_fw_group', fgw.rule)
FROM mysql.firewall_group_allowlist AS fgw
WHERE NAME = 'my_fw_group';

read_firewall_groups(group, mode, user)

此聚合函数通过对 firewall-database.firewall_groups 表执行 SELECT 语句，更新防火墙组配置文件缓存。它需要 FIREWALL_ADMIN 权限。

示例

SELECT read_firewall_groups('g', 'RECORDING', 'fwuser@localhost')
FROM mysql.firewall_groups;

set_firewall_group_mode(group, mode[, user])

此函数管理组配置文件缓存，建立配置文件操作模式，并可选地指定配置文件训练帐户。它需要 FIREWALL_ADMIN 权限。

如果可选的 user 参数未给出，则配置文件的任何先前 user 设置保持不变。若要更改设置，请使用第三个参数调用此函数。

如果给出了可选的 user 参数，它将指定组配置文件的训练帐户，在配置文件处于 RECORDING 模式时使用。该值为 NULL，或格式为 user_name@host_name 的非 NULL 帐户。

示例

SELECT set_firewall_group_mode('g', 'DETECTING');

read_firewall_users(user, mode)

此聚合函数通过对 firewall-database.firewall_users 表执行 SELECT 语句，更新防火墙帐户配置文件缓存。它需要 FIREWALL_ADMIN 权限或已弃用的 SUPER 权限。

示例

SELECT read_firewall_users('fwuser@localhost', 'RECORDING')
FROM mysql.firewall_users;

此函数已弃用，将在未来的 MySQL 版本中删除。请参阅 将帐户配置文件迁移到组配置文件。

read_firewall_whitelist(user, rule)

此聚合函数通过对 firewall-database.firewall_whitelist 表执行 SELECT 语句，更新命名帐户配置文件的记录语句缓存。它需要 FIREWALL_ADMIN 权限或已弃用的 SUPER 权限。

示例

SELECT read_firewall_whitelist('fwuser@localhost', fw.rule)
FROM mysql.firewall_whitelist AS fw
WHERE USERHOST = 'fwuser@localhost';

此函数已弃用，将在未来的 MySQL 版本中删除。请参阅 将帐户配置文件迁移到组配置文件。

set_firewall_mode(user, mode)

此函数管理帐户配置文件缓存并建立配置文件操作模式。它需要 FIREWALL_ADMIN 权限或已弃用的 SUPER 权限。

示例

SELECT set_firewall_mode('fwuser@localhost', 'RECORDING');

此函数已弃用，将在未来的 MySQL 版本中删除。请参阅 将帐户配置文件迁移到组配置文件。

mysql_firewall_flush_status()

此函数将几个防火墙状态变量重置为 0。

此函数需要 FIREWALL_ADMIN 权限或已弃用的 SUPER 权限。

示例

SELECT mysql_firewall_flush_status();

normalize_statement(stmt)

此函数将 SQL 语句规范化为用于允许列表规则的摘要形式。它需要 FIREWALL_ADMIN 权限或已弃用的 SUPER 权限。

示例

SELECT normalize_statement('SELECT * FROM t1 WHERE c1 > 2');

mysql_firewall_database

指定 MySQL Enterprise 防火墙从其读取数据的数据库。通常，MYSQL_FIREWALL 服务器端插件将它的内部数据（表、存储过程和函数）存储在 mysql 系统数据库中，但您可以创建和使用自定义架构（请参阅 安装 MySQL Enterprise 防火墙）。此变量允许在启动时指定备用数据库名称。

mysql_firewall_mode

MySQL Enterprise 防火墙是启用（默认）还是禁用。

mysql_firewall_reload_interval_seconds

指定服务器端插件用于从防火墙表重新加载其内部缓存的间隔（以秒为单位）。当 mysql_firewall_reload_interval_seconds 的值为零（默认）时，在运行时不会定期从表中重新加载数据。0 和 60（1 到 59）之间的值不会被插件识别。相反，这些值会自动调整为 60。

此变量要求启用 scheduler 组件（ON）。有关更多信息，请参阅 安排防火墙缓存重新加载。

mysql_firewall_trace

MySQL Enterprise 防火墙跟踪是启用还是禁用（默认）。当 mysql_firewall_trace 启用时，对于 PROTECTING 模式，防火墙会将拒绝的语句写入错误日志。

Firewall_access_denied

MySQL Enterprise 防火墙拒绝的语句数。

Firewall_access_granted

MySQL Enterprise 防火墙接受的语句数。

Firewall_access_suspicious

MySQL Enterprise 防火墙记录为处于 DETECTING 模式的用户的可疑语句数。

Firewall_cached_entries

MySQL Enterprise 防火墙记录的语句数，包括重复项。