AUDIT_LOG_FILTER_SET_FILTER

説明

この関数（式）は、フィルターを作成するために使用されます。

構文

AUDIT_LOG_FILTER_SET_FILTER('filter_name', 'definition_of_filters');

説明

パラメータの説明

• filter_name：フィルター名を指定するために使用されます。

  説明

  AUDIT_LOG_FILTER_SET_FILTERはCREATE OR REPLACEのセマンティクスを持ち、既存のオブジェクトに対してDDLを実行すると上書きされます。

• definition_of_filters：監査フィルターの具体的な設定を定義するために使用され、JSON形式で表現されます。イベントタイプ(Class)の上で、イベントタイプの細分化(Event Type)、イベントフィールド(Event Field)、およびフィールド条件間のAND / ORの組み合わせを設定できます：

  • イベントタイプの細分化(Event Type)：指定したイベントタイプをさらに細分化およびフィルタリングするために使用されます。JSON文字列では、classの下のeventの下のnameパラメータを使用して関連フィールドを指定します。例：{"class": [{"name": "connection", "event": [{"name": "disconnect"}]}]}。
  • イベントフィールド(Event Field)によるフィルタリング：イベントフィールドは、指定したイベントタイプをさらに細分化およびフィルタリングするために使用されます。fieldパラメータを設定することで、connection、general、table_accessの3種類のイベントの具体的なフィールド(field)をフィルタリングできます。JSON文字列では、eventの下のlogパラメータを使用して関連フィールドを指定します。例："event": [{"name": "read", "log": {"field": {"name": "table_name", "value": "t1"}}}]。
  • 論理的組み合わせ：AND / ORを使用して複数のfieldを論理的に組み合わせることができます。

イベントタイプの細分化でサポートされているサブタイプ：

イベントフィールドのフィルタリングでサポートされているフィールド：

connection、general、table_accessの3つのイベントタイプが含まれ、各イベントタイプは複数のイベントフィールドをサポートしています。詳細は以下の表を参照してください：

general_sql_commandがサポートする完全なSQLタイプについては、記事の最後にある関連ドキュメントを参照してください。

logフィールドの階層、違い、デフォルト動作

ログ記録動作は、logの値、およびclassまたはevent項目が指定されているかどうかによって決まります。

その他の説明：

• 表のレベル列はパス表現の略称であり、以下のようになります：
  • filter.log は filter オブジェクトの log プロパティを表します。例：{"filter": {"log": true}}。
  • filter.class[].log は filter オブジェクトの class 配列内の単一要素の log プロパティを表します。例：{"filter": {"class": [{"log": true}]}}。
  • filter.class[].event[].log は filter オブジェクトの class 配列内の単一要素の event 配列内の単一要素の log プロパティを表します。例：{"filter":{"class":[{"name":"table_access","event":[{"name":"read","log":true}]}]}}。
• ドキュメントにおける「JSON外層 log」と「class/event 層 log」は重複設定ではありません。前者は総合スイッチ、後者はローカルオーバーライドまたは条件フィルタリングです。

一般的なフィルターのJSON表記

class を基盤として、上記の表に従ってイベントタイプ、イベントフィールド、論理組み合わせをさらに細分化できます。以下は一般的な表記方法です：

• すべてのイベントを記録します。

  { "filter": { "log": true } }
  

• すべてのイベントを記録しません。

  { "filter": { "log": false } }
  

• ログイン・ログアウトのみを記録します（connection classのみ）。

  { "filter": { "log": true, "class": [ { "name": "connection" } ] } }
  

• すべてのclassを明示的にリストアップします（すべてのイベントを記録することと等価な表記方法の一つ）。

  {
    "filter": {
      "log": true,
      "class": [
        { "name": "connection" },
        { "name": "general" },
        { "name": "table_access" }
      ]
    }
  }
  

  同じ階層の複数項目を配列にまとめることもできます（等価な表記方法）：フィルター定義の同一レベルで、ある種類の項目が複数回現れ、値のみが異なる場合（例えば、複数の class 要素がそれぞれ異なる name を持つ場合）、これらの値を同一項目の配列に統合し、1つのオブジェクトのみを保持します。

  {
    "filter": {
      "log": true,
      "class": [
        { "name": [ "connection", "general", "table_access" ] }
      ]
    }
  }
  

イベントタイプの詳細分類（Event Type）

• connection の下では connect のみを保持します（disconnect は含まれません）。

  {
    "filter": {
      "log": true,
      "class": [ { "name": "connection", "event": [ { "name": "connect" } ] } ]
    }
  }
  

• event 配列内の個々のイベントエントリには、log を明示的に含めることができ、そのエントリの条件を満たすイベントを記録するかどうかを指定します。以下の例では、同じ table_access の下で複数のイベントタイプを選択し、各タイプごとに監査に書き込むかどうかを個別に指定しています。

  {
    "filter": {
      "log": true,
      "class": [
        {
          "name": "table_access",
          "event": [
            { "name": "read", "log": false },
            { "name": "insert", "log": true },
            { "name": "delete", "log": true },
            { "name": "update", "log": true }
          ]
        }
      ]
    }
  }
  

イベントフィールド（Event Field）と論理組み合わせ

• connection の connect および disconnect イベント、および table_access の insert、delete、update イベントを記録します。

  {
    "filter": {
      "log": true,
      "class": [
        {
          "name": "connection",
          "event": [
            { "name": "connect" },
            { "name": "disconnect" }
          ]
        },
        { "name": "general" },
        {
          "name": "table_access",
          "event": [
            { "name": "insert" },
            { "name": "delete" },
            { "name": "update" }
          ]
        }
      ]
    }
  }
  

• 論理演算子 and および or をネストして複雑な条件を構築できます。以下のフィルターは general / status イベントに対して、log 条件内で2組の and のいずれか一方を満たすイベントのみを記録します。1組目は general_command.str が Query に等しく general_command.length が 5 に等しい場合、2組目は general_command.str が Execute に等しく general_command.length が 7 に等しい場合です。

  {
    "filter": {
      "class": {
        "name": "general",
        "event": {
          "name": "status",
          "log": {
            "or": [
              {
                "and": [
                  { "field": { "name": "general_command.str",    "value": "Query" } },
                  { "field": { "name": "general_command.length", "value": 5 } }
                ]
              },
              {
                "and": [
                  { "field": { "name": "general_command.str",    "value": "Execute" } },
                  { "field": { "name": "general_command.length", "value": 7 } }
                ]
              }
            ]
          }
        }
      }
    }
  }
  

戻り値

式の入力は文字列定数でなければならず、出力は文字列型です。

• DDLが正常に実行された場合、式はOKを返します。
• DDLの実行に失敗した場合、SELECTステートメントは正常に実行されますが、式の出力結果はエラーメッセージとなります。

例

• すべてのイベントを記録するフィルター log_all を作成します。

  SELECT AUDIT_LOG_FILTER_SET_FILTER('log_all', '{ "filter": { "log": true } }');
  

  実行結果は次のとおりです：

  +-------------------------------------------------------------------------+
  | AUDIT_LOG_FILTER_SET_FILTER('log_all', '{ "filter": { "log": true } }') |
  +-------------------------------------------------------------------------+
  | OK                                                                      |
  +-------------------------------------------------------------------------+
  1 row in set
  

• DDLが失敗した場合、SELECT ステートメントは正常に実行されますが、式の出力結果はエラーメッセージとなります。

  SELECT AUDIT_LOG_FILTER_SET_FILTER('log_err', '1');
  

  実行結果は次のとおりです：

  +---------------------------------------------+
  | AUDIT_LOG_FILTER_SET_FILTER('log_err', '1') |
  +---------------------------------------------+
  | ERROR: JSON parsing error.                  |
  +---------------------------------------------+
  1 row in set
  

関連ドキュメント

• general_sql_command ステートメントタイプ一覧：付録：general_sql_commandがサポートする完全なSQLタイプ
• セキュリティ監査の有効化