客户端程序与服务器通信，客户端向服务器发送客户端用户名（默认为操作系统用户名）和密码：

服务器根据外部用户名和客户端连接的主机找到匹配的 MySQL 帐户。PAM 插件使用 MySQL 服务器传递给它的信息（例如用户名、主机名、密码和身份验证字符串）。当您定义使用 PAM 进行身份验证的 MySQL 帐户时，身份验证字符串包含：

该插件使用身份验证字符串中指定的 PAM 服务来检查用户凭据并返回or 。密码必须适用于 PAM 服务使用的密码存储。例子： 'Authentication succeeded, Username is user_name''Authentication failed'

如果凭据检查失败，服务器将拒绝连接。

否则，身份验证字符串指示是否发生代理。如果字符串不包含 PAM 组映射，则不会发生代理。在这种情况下，MySQL 用户名与外部用户名相同。

否则，根据PAM组映射指示代理，MySQL用户名根据映射列表中的第一个匹配组确定。“ PAM 组”的含义 取决于 PAM 服务。例子：

如果代理用户（外部用户）拥有被 PROXY代理 MySQL 用户名的权限，代理就会发生，代理用户会承担被代理用户的权限。

antonio验证 Unix 身份验证是否允许使用用户名和密码 登录操作系统 antonio_password。

通过创建一个 mysql-unix名为 /etc/pam.d/mysql-unix. 文件内容取决于系统，因此请检查目录中现有的与登录相关的文件/etc/pam.d 以查看它们的外观。在 Linux 上，该 mysql-unix文件可能如下所示：

#%PAM-1.0
auth            include         password-auth
account         include         password-auth

对于 macOS，使用login而不是 password-auth.

PAM 文件格式在某些系统上可能不同。例如，在 Ubuntu 和其他基于 Debian 的系统上，请改用这些文件内容：

@include common-auth
@include common-account
@include common-session-noninteractive

创建一个与操作系统用户名具有相同用户名的 MySQL 帐户，并将其定义为使用 PAM 插件和mysql-unix PAM 服务进行身份验证：

CREATE USER 'antonio'@'localhost'
  IDENTIFIED WITH authentication_pam
  AS 'mysql-unix';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'antonio'@'localhost';

此处，身份验证字符串仅包含 PAM 服务名称，mysql-unix用于对 Unix 密码进行身份验证。

使用mysql命令行客户端以antonio. 例如：

$> mysql --user=antonio --password --enable-cleartext-plugin
Enter password: antonio_password

服务器应允许连接并且以下查询返回如下所示的输出：

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+-------------------+--------------+
| USER()            | CURRENT_USER()    | @@proxy_user |
+-------------------+-------------------+--------------+
| antonio@localhost | antonio@localhost | NULL         |
+-------------------+-------------------+--------------+

这表明antonio 操作系统用户已通过身份验证，拥有授予antonioMySQL 用户的权限，并且没有发生代理。

antonio验证 Unix 身份验证是否允许使用用户名和密码 登录操作系统 antonio_password。

通过创建一个mysql-ldap名为/etc/pam.d/mysql-ldap. 文件内容取决于系统，因此请检查目录中现有的与登录相关的文件/etc/pam.d 以查看它们的外观。在 Linux 上，该 mysql-ldap文件可能如下所示：

#%PAM-1.0
auth        required    pam_ldap.so
account     required    pam_ldap.so

如果 PAM 目标文件的后缀与 .so您系统上的不同，请替换为正确的后缀。

PAM 文件格式在某些系统上可能不同。

创建一个与操作系统用户名具有相同用户名的 MySQL 帐户，并将其定义为使用 PAM 插件和mysql-ldap PAM 服务进行身份验证：

CREATE USER 'antonio'@'localhost'
  IDENTIFIED WITH authentication_pam
  AS 'mysql-ldap';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'antonio'@'localhost';

此处，身份验证字符串仅包含 PAM 服务名称mysql-ldap，它使用 LDAP 进行身份验证。

连接到服务器与无代理用户的 PAM Unix 密码验证 中描述的相同 。

antonio验证 Unix 身份验证是否允许使用用户名和密码 登录操作系统 antonio_password。

验证它antonio是 PAM 组 root的成员。users

mysql-unix通过创建一个 名为 /etc/pam.d/mysql-unix. 文件内容取决于系统，因此请检查目录中现有的与登录相关的文件/etc/pam.d 以查看它们的外观。在 Linux 上，该 mysql-unix文件可能如下所示：

#%PAM-1.0
auth            include         password-auth
account         include         password-auth

对于 macOS，使用login而不是 password-auth.

PAM 文件格式在某些系统上可能不同。例如，在 Ubuntu 和其他基于 Debian 的系统上，请改用这些文件内容：

@include common-auth
@include common-account
@include common-session-noninteractive

创建''@''将外部 PAM 用户映射到代理帐户的默认代理用户 ( )：

CREATE USER ''@''
  IDENTIFIED WITH authentication_pam
  AS 'mysql-unix, root=developer, users=data_entry';

此处，身份验证字符串包含 PAM 服务名称mysql-unix，它对 Unix 密码进行身份验证。身份验证字符串还将PAM 组中的外部用户分别映射到 rootMySQL 用户 名。 usersdeveloperdata_entry

PAM 服务名称后面的 PAM 组映射列表在您设置代理用户时是必需的。否则，插件无法告知如何执行从外部用户名到正确的代理 MySQL 用户名的映射。

创建代理帐户并授予每个代理帐户应有的权限：

CREATE USER 'developer'@'localhost'
  IDENTIFIED BY 'very secret password';
CREATE USER 'data_entry'@'localhost'
  IDENTIFIED BY 'very secret password';

GRANT ALL PRIVILEGES
  ON mydevdb.*
  TO 'developer'@'localhost';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'data_entry'@'localhost';

如果您不让任何人知道这些帐户的密码，客户端将无法使用它们直接连接到 MySQL 服务器。相反，预计使用 PAM 进行身份验证的用户会使用 基于其 PAM 组的代理帐户 developer。 data_entry

向代理帐户 PROXY授予每个代理帐户的权限：

GRANT PROXY
  ON 'developer'@'localhost'
  TO ''@'';
GRANT PROXY
  ON 'data_entry'@'localhost'
  TO ''@'';

使用mysql命令行客户端以antonio.

$> mysql --user=antonio --password --enable-cleartext-plugin
Enter password: antonio_password

服务器使用默认 ''@''代理帐户验证连接。产生的特权antonio取决于 PAM 组antonio是哪个成员。如果 antonio是 rootPAM 组的成员，则 PAM 插件映射 root到 developerMySQL 用户名并将该名称返回给服务器。服务器验证是否 ''@''有 PROXY权限 developer并允许连接。以下查询返回如下所示的输出：

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+---------------------+--------------+
| USER()            | CURRENT_USER()      | @@proxy_user |
+-------------------+---------------------+--------------+
| antonio@localhost | developer@localhost | ''@''        |
+-------------------+---------------------+--------------+

这表明antonio 操作系统用户已通过身份验证，拥有授予developer MySQL 用户的权限，并且代理是通过默认代理帐户进行的。

如果antonio不是 rootPAM 组的成员但是是 PAM 组的成员， users则会发生类似的过程，但是插件将userPAM 组成员身份映射到data_entry MySQL 用户名并将该名称返回给服务器：

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+----------------------+--------------+
| USER()            | CURRENT_USER()       | @@proxy_user |
+-------------------+----------------------+--------------+
| antonio@localhost | data_entry@localhost | ''@''        |
+-------------------+----------------------+--------------+

这表明antonio 操作系统用户已通过身份验证，拥有data_entryMySQL 用户的权限，并且代理是通过默认代理帐户进行的。