Ensure No Users Have Wildcard Hostnames

高レベル 2自動oceanbase

説明

All user accounts in the database should be strictly restricted to connect only from specific hosts or IP addresses explicitly required for their business operations. Runs obclient with the connection options in OB_CONN (default "-h127.0.0.1 -P2881 -uroot@sys"); point it at the MySQL-mode tenant being assessed and supply the password via OB_CONN (-p...) or a [client] section in ~/.my.cnf. Passes when no account has host '%' (the defaults root@% and ORAAUDITOR@% fail until restricted).

チェック方法

監査方法: SQL クエリ

sql_query

out=$(obclient ${OB_CONN:--h127.0.0.1 -P2881 -uroot@sys} -N -B -e "SELECT COUNT(*) FROM mysql.user WHERE host = '%'" 2>/dev/null) || exit 1; printf '%s\n' "$out"

期待される出力: 0

修正方法

修正方法: ガイダンスまたは IaC パッチ

RENAME USER '<user>'@'%' TO '<user>'@'<approved host or subnet>'; for every account returned.

プロパティ

オペレーティングシステム: すべて
タグ: oceanbaseauthenticationnetwork
参照: CIS OceanBase Enterprise Edition V4 Benchmark v1.0.0 - 4.1.7 Ensure No Users Have Wildcard Hostnames

このホストをチェック

監査が許可されているマシンで実行してください。スキャンは読み取り専用です。

shell

tmaegis scan --target oceanbase --level 2