要对 MySQL 使用 LDAP 可插入身份验证，必须满足以下先决条件：

本节概述了 MySQL 和 LDAP 如何协同工作来验证 MySQL 用户。有关显示如何设置 MySQL 帐户以使用特定 LDAP 身份验证插件的示例，请参阅 使用 LDAP 可插入身份验证。

客户端连接到 MySQL 服务器，提供 MySQL 客户端用户名和 LDAP 密码：

如果客户端用户名和主机名均不匹配任何 MySQL 帐户，则连接被拒绝。

如果存在匹配的 MySQL 帐户，则会针对 LDAP 进行身份验证。LDAP 服务器查找与用户匹配的条目并根据 LDAP 密码验证该条目：

如果 LDAP 服务器找不到匹配项或多个匹配项，则身份验证失败并拒绝客户端连接。

如果 LDAP 服务器找到一个匹配项，则 LDAP 身份验证成功（假设密码正确），LDAP 服务器返回 LDAP 条目，身份验证插件根据该条目确定经过身份验证的用户的名称：

MySQL 服务器将客户端用户名与经过身份验证的用户名进行比较，以确定客户端会话是否发生代理：

本节介绍如何安装服务器端 LDAP 身份验证插件。有关安装插件的一般信息，请参阅第 5.5.1 节，“安装和卸载插件”。

要被服务器使用，插件库文件必须位于 MySQL 插件目录（由plugin_dir系统变量命名的目录）中。plugin_dir如有必要，通过在服务器启动时 设置值来配置插件目录位置 。

服务器端插件库文件的基本名称是 authentication_ldap_simple和 authentication_ldap_sasl. 文件名后缀因平台而异（例如， .so对于 Unix 和类 Unix 系统， .dll对于 Windows）。

要在服务器启动时加载插件，请使用 --plugin-load-add选项命名包含它们的库文件。使用这种插件加载方法，每次服务器启动时都必须给出选项。此外，为您希望配置的任何插件提供的系统变量指定值。

每个服务器端 LDAP 插件都公开了一组系统变量，可以配置其操作。设置其中大部分是可选的，但您必须设置指定 LDAP 服务器主机的变量（以便插件知道连接到哪里）和 LDAP 绑定操作的基本可分辨名称（以限制搜索范围并获得更快的搜索）。有关所有 LDAP 系统变量的详细信息，请参阅 第 6.4.1.13 节，“可插入身份验证系统变量”。

要加载插件并为 LDAP 绑定操作设置 LDAP 服务器主机和基本可分辨名称，请将诸如此类的行放入my.cnf文件中，并 .so根据需要调整平台的后缀：

[mysqld]
plugin-load-add=authentication_ldap_simple.so
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
plugin-load-add=authentication_ldap_sasl.so
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

修改my.cnf后重启服务器使新设置生效。

或者，要在运行时加载插件，请使用这些语句，.so根据需要调整平台的后缀：

INSTALL PLUGIN authentication_ldap_simple
  SONAME 'authentication_ldap_simple.so';
INSTALL PLUGIN authentication_ldap_sasl
  SONAME 'authentication_ldap_sasl.so';

INSTALL PLUGIN立即加载插件，并将其注册在 mysql.plugins系统表中，使服务器在后续每次正常启动时加载它，而无需--plugin-load-add.

在运行时安装插件后，它们的系统变量变得可用，您可以将它们的设置添加到您的my.cnf文件中，以配置插件以供后续重新启动。例如：

[mysqld]
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

修改my.cnf后重启服务器使新设置生效。

要验证插件安装，请检查 INFORMATION_SCHEMA.PLUGINS表格或使用SHOW PLUGINS 语句（请参阅 第 5.5.2 节，“获取服务器插件信息”）。例如：

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME LIKE '%ldap%';
+----------------------------+---------------+
| PLUGIN_NAME                | PLUGIN_STATUS |
+----------------------------+---------------+
| authentication_ldap_sasl   | ACTIVE        |
| authentication_ldap_simple | ACTIVE        |
+----------------------------+---------------+

如果插件无法初始化，请检查服务器错误日志以获取诊断消息。

要将 MySQL 帐户与 LDAP 插件相关联，请参阅 使用 LDAP 可插入身份验证。

用于卸载 LDAP 身份验证插件的方法取决于您安装它们的方式：

此外，从您的my.cnf文件中删除任何设置 LDAP 插件相关系统变量的启动选项。

对于使用 OpenLDAP 的安装，该 ldap.conf文件提供了 LDAP 客户端的全局默认值。可以在此文件中设置选项以影响 LDAP 客户端，包括 LDAP 身份验证插件。OpenLDAP 按以下优先顺序使用配置选项：

如果库默认值或ldap.conf 值未产生适当的选项值，则 LDAP 身份验证插件可能能够设置相关变量以直接影响 LDAP 配置。例如，LDAP 插件可以覆盖TLS 配置的参数：系统变量可用于启用 TLS 和 ldap.conf控制 CA 配置，例如 用于简单的 LDAP 身份验证， 以及 用于 SASL LDAP 身份验证。 authentication_ldap_simple_tlsauthentication_ldap_simple_ca_pathauthentication_ldap_sasl_tlsauthentication_ldap_sasl_ca_path

有关更多信息，ldap.conf 请参阅ldap.conf(5)手册页。

本节介绍如何使用 LDAP 可插入身份验证使 MySQL 帐户能够连接到 MySQL 服务器。假定服务器在启用适当的服务器端插件的情况下运行，如 安装 LDAP 可插入身份验证中所述，并且适当的客户端插件在客户端主机上可用。

本节不描述 LDAP 配置或管理。假定您熟悉这些主题。

这两个服务器端 LDAP 插件各自与特定的客户端插件一起工作：

MySQL用户LDAP认证总体要求：

此处的说明假定以下场景：

设置使用 LDAP 身份验证的帐户的说明取决于所使用的服务器端 LDAP 插件。以下部分描述了几种使用场景。

要为简单的 LDAP 身份验证配置 MySQL 帐户，CREATE USER语句指定authentication_ldap_simple 插件，并可选择命名 LDAP 用户专有名称 (DN)：

CREATE USER user
  IDENTIFIED WITH authentication_ldap_simple
  [BY 'LDAP user DN'];

假设 MySQL 用户betsy在 LDAP 目录中有这个条目：

uid=betsy_ldap,ou=People,dc=example,dc=com

然后创建 MySQL 帐户的语句 betsy如下所示：

CREATE USER 'betsy'@'localhost'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=betsy_ldap,ou=People,dc=example,dc=com';

该 BY子句中指定的身份验证字符串不包括 LDAP 密码。这必须由客户端用户在连接时提供。

客户端通过提供 MySQL 用户名和 LDAP 密码并启用客户端 mysql_clear_password插件来连接到 MySQL 服务器：

$> mysql --user=betsy --password --enable-cleartext-plugin
Enter password: betsy_password (betsy_ldap LDAP password)

身份验证过程如下：

如果匹配的 LDAP 条目包含组属性，则该属性值将是经过身份验证的用户名，如果该值不同于betsy，则将发生代理。有关使用组属性的示例，请参阅 使用代理进行 LDAP 身份验证。

如果该CREATE USER语句不包含BY指定 betsy_ldapLDAP 专有名称的子句，则身份验证尝试将使用客户端提供的用户名（在本例中为betsy）。在没有 LDAP 条目的情况下betsy，身份验证将失败。

要为 SASL LDAP 身份验证配置 MySQL 帐户，该 CREATE USER语句指定authentication_ldap_sasl插件，并可选择命名 LDAP 用户专有名称 (DN)：

CREATE USER user
  IDENTIFIED WITH authentication_ldap_sasl
  [BY 'LDAP user DN'];

假设 MySQL 用户boris在 LDAP 目录中有这个条目：

uid=boris_ldap,ou=People,dc=example,dc=com

然后创建 MySQL 帐户的语句 boris如下所示：

CREATE USER 'boris'@'localhost'
  IDENTIFIED WITH authentication_ldap_sasl
  AS 'uid=boris_ldap,ou=People,dc=example,dc=com';

该 BY子句中指定的身份验证字符串不包括 LDAP 密码。这必须由客户端用户在连接时提供。

客户端通过提供 MySQL 用户名和 LDAP 密码连接到 MySQL 服务器：

$> mysql --user=boris --password
Enter password: boris_password (boris_ldap LDAP password)

对于服务器端 authentication_ldap_sasl插件，客户端使用客户端 authentication_ldap_sasl_client插件。如果客户端程序找不到客户端插件，请指定一个--plugin-dir选项来命名安装插件库文件的目录。

身份验证过程boris类似于前面描述的 betsy简单 LDAP 身份验证，除了客户端和服务器端 SASL LDAP 插件使用 SASL 消息在 LDAP 协议内安全传输凭据，以避免在 LDAP 之间发送明文密码。 MySQL 客户端和服务器。

LDAP 身份验证插件支持代理，使用户能够作为一个用户连接到 MySQL 服务器，但承担不同用户的权限。本节描述基本的 LDAP 插件代理支持。LDAP 插件还支持组偏好和代理用户映射规范；请参阅 LDAP 身份验证组首选项和映射规范。

此处描述的代理实现基于使用 LDAP 组属性值将使用 LDAP 进行身份验证的连接 MySQL 用户映射到定义不同权限集的其他 MySQL 帐户。用户不通过定义权限的帐户直接连接。相反，它们通过使用 LDAP 进行身份验证的默认代理帐户进行连接，以便所有外部登录都映射到拥有特权的代理 MySQL 帐户。使用代理帐户连接的任何用户都映射到这些代理 MySQL 帐户之一，这些帐户的权限决定了允许外部用户进行的数据库操作。

此处的说明假定以下场景：

创建默认代理 MySQL 帐户：

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl;

代理帐户定义没有用于命名 LDAP 用户 DN 的子句。因此： AS 'auth_string'

创建代理帐户并授予每个代理帐户应有的权限：

CREATE USER 'accounting'@'localhost'
  IDENTIFIED WITH mysql_no_login;
CREATE USER 'front_office'@'localhost'
  IDENTIFIED WITH mysql_no_login;

GRANT ALL PRIVILEGES
  ON accountingdb.*
  TO 'accounting'@'localhost';
GRANT ALL PRIVILEGES
  ON frontdb.*
  TO 'front_office'@'localhost';

被代理的账户使用mysql_no_login 认证插件来防止客户端使用该账户直接登录MySQL服务器。相反，希望使用 LDAP 进行身份验证的用户使用默认''@'%'代理帐户。（这假定mysql_no_login安装了插件。有关说明，请参阅 第 6.4.1.10 节，“无登录可插入身份验证”。）有关保护代理帐户不被直接使用的替代方法，请参阅 防止直接登录到代理帐户。

向代理帐户 PROXY授予每个代理帐户的权限：

GRANT PROXY
  ON 'accounting'@'localhost'
  TO ''@'%';
GRANT PROXY
  ON 'front_office'@'localhost'
  TO ''@'%';

使用mysql命令行客户端以basha.

$> mysql --user=basha --password
Enter password: basha_password (basha LDAP password)

身份验证发生如下：

这表明basha使用授予代理 accountingMySQL 帐户的权限，并且通过默认代理用户帐户进行代理。

现在basil改为连接：

$> mysql --user=basil --password
Enter password: basil_password (basil LDAP password)

的身份验证过程basil与之前描述的类似 basha：

这表明basil使用授予代理 front_officeMySQL 帐户的权限，并且通过默认代理用户帐户进行代理。

如 使用代理的 LDAP 身份验证中所述，基本 LDAP 身份验证代理的工作原理是插件使用 LDAP 服务器返回的第一个组名作为 MySQL 代理用户帐户名。如果 LDAP 服务器返回多个组名，则此简单功能无法指定关于使用哪个组名的任何首选项，或指定组名以外的任何名称作为代理用户名。

从 MySQL 5.7.25 开始，对于使用 LDAP 身份验证的 MySQL 帐户，身份验证字符串可以指定以下信息以启用更大的代理灵活性：

考虑以下 MySQL 代理帐户定义：

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl
  AS '+ou=People,dc=example,dc=com#grp1=usera,grp2,grp3=userc';

ou=People,dc=example,dc=com身份验证字符串有一个以字符为前缀 的用户 DN 后缀 +。因此，如 LDAP 身份验证用户 DN 后缀中所述，完整的用户 DN 由指定的用户 DN 后缀加上作为 uid属性的客户端用户名构成。

认证字符串的剩余部分以 开头 #，表示组偏好和映射信息的开始。身份验证字符串的这一部分以 grp1, grp2, 的顺序列出组名grp3。LDAP 插件将该列表与 LDAP 服务器返回的一组组名称进行比较，以列表顺序查找与返回名称的匹配项。插件使用第一个匹配项，或者如果没有匹配项，则身份验证失败。

假设 LDAP 服务器返回组 grp3、grp2和 grp7。LDAP 插件之所以使用 grp2，是因为它是匹配的身份验证字符串中的第一个组，即使它不是 LDAP 服务器返回的第一个组。如果 LDAP 服务器返回grp4, grp2, 和 grp1，插件使用 grp1即使grp2 也匹配。grp1优先级高于grp2因为它在身份验证字符串中较早列出。

假设插件找到组名匹配，它执行从该组名到 MySQL 代理用户名的映射，如果有的话。对于示例代理帐户，映射发生如下：

如果 LDAP 服务器返回 DN 格式的组，LDAP 插件会解析组 DN 以从中提取组名。

要指定 LDAP 组首选项和映射信息，这些原则适用：

从 MySQL 5.7.21 开始，LDAP 身份验证插件允许提供用户 DN 信息的身份验证字符串以+前缀字符开头：

该账号认证字符串没有 +开头，所以取为完整的用户DN：

CREATE USER 'baldwin'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=admin,ou=People,dc=example,dc=com';

baldwin客户端使用帐户 ( ) 中指定的用户名进行连接。在这种情况下，不使用该名称，因为身份验证字符串没有前缀，因此完全指定了用户 DN。

此帐户认证字符串确实有 +开头，因此它只是作为用户 DN 的一部分：

CREATE USER 'accounting'
  IDENTIFIED WITH authentication_ldap_simple
  AS '+ou=People,dc=example,dc=com';

客户端使用帐户 ( ) 中指定的用户名进行连接，在本例中，该用户名与身份验证字符串一起 accounting用作构造用户 DN 的属性：uiduid=accounting,ou=People,dc=example,dc=com

前面示例中的帐户具有非空用户名，因此客户端始终使用与帐户定义中指定的名称相同的名称连接到 MySQL 服务器。如果帐户的用户名为空，例如使用 代理进行LDAP 身份验证中''@'%'描述的默认匿名代理帐户 ，则客户端可能会使用不同的用户名连接到 MySQL 服务器。但原理是一样的：如果认证字符串以 开头，则插件使用客户端发送的用户名和认证字符串一起构造用户DN。 +

LDAP 身份验证插件使用可配置的身份验证方法。适当的系统变量和可用的方法选择是特定于插件的：

有关每种允许方法的信息，请参阅系统变量描述。