要对 MySQL 使用 Kerberos 可插入身份验证，必须满足以下先决条件：

本节概述了 MySQL 和 Kerberos 如何协同工作来验证 MySQL 用户。有关显示如何设置 MySQL 帐户以使用 Kerberos 身份验证插件的示例，请参阅 使用 Kerberos 可插入身份验证。

此处假设您熟悉 Kerberos 概念和操作。以下列表简要定义了几个常见的 Kerberos 术语。您可能还会发现RFC 4120的词汇表部分 很有帮助。

使用 Kerberos 的身份验证需要 KDC 服务器，例如 Microsoft Active Directory 提供的服务器。

MySQL 中的 Kerberos 身份验证使用通用安全服务应用程序接口 (GSSAPI)，这是一个安全抽象接口。Kerberos 是可通过该抽象接口使用的特定安全协议的实例。使用 GSSAPI，应用程序向 Kerberos 进行身份验证以获取服务凭证，然后依次使用这些凭证来实现对其他服务的安全访问。在 Windows 上，安全支持提供程序接口 (SSPI) 实现 GSSAPI。

使用 Kerberos 身份验证插件，应用程序和 MySQL 服务器能够使用 Kerberos 身份验证协议来相互验证用户和 MySQL 服务。这样用户和服务器都能够验证彼此的身份。没有密码通过网络发送，并且 Kerberos 协议消息受到保护以防止窃听和重放攻击。

Kerberos 身份验证遵循以下步骤，其中服务器端和客户端部分分别使用 authentication_kerberos和 authentication_kerberos_client 身份验证插件执行：

应用程序能够使用提供的用户名和密码，或使用本地缓存的 TGT 或 ST（例如，使用kinit或类似工具创建）进行身份验证。因此，该设计涵盖了从完全无用户和无密码连接（从本地存储的 Kerberos 缓存获取 Kerberos 服务票证）到同时提供用户名和密码并用于从 KDC 获取有效 Kerberos 服务票证的连接的用例，发送到 MySQL 服务器。

如前所述，MySQL Kerberos认证使用两种keytab文件：

有关密钥表文件的信息，请参阅 https://web.mit.edu/kerberos/krb5-latest/doc/basic/keytab_def.html。

本节介绍如何安装服务器端 Kerberos 身份验证插件。有关安装插件的一般信息，请参阅第 5.6.1 节，“安装和卸载插件”。

为了被服务器使用，插件库文件必须位于MySQL插件目录（由plugin_dir系统变量命名的目录）中。plugin_dir如有必要，通过在服务器启动时 设置值来配置插件目录位置 。

服务器端插件库文件基本名称是 authentication_kerberos. Unix 和类 Unix 系统的文件名后缀是 .so.

要在服务器启动时加载插件，请使用 --plugin-load-add选项命名包含它的库文件。使用这种插件加载方法，每次服务器启动时都必须给出该选项。此外，为您希望配置的任何插件提供的系统变量指定值。该插件公开了这些系统变量，使其操作能够被配置：

有关所有 Kerberos 身份验证系统变量的详细信息，请参阅 第 6.4.1.13 节，“可插入身份验证系统变量”。

要加载插件并配置它，请将诸如此类的行放入您的my.cnf文件中，使用适合您的安装的系统变量值：

[mysqld]
plugin-load-add=authentication_kerberos.so
authentication_kerberos_service_principal=mysql/krbauth.example.com@MYSQL.LOCAL
authentication_kerberos_service_key_tab=/var/mysql/data/mysql.keytab

修改my.cnf后重启服务器使新设置生效。

或者，要在运行时加载插件，请使用以下语句：

INSTALL PLUGIN authentication_kerberos
  SONAME 'authentication_kerberos.so';

INSTALL PLUGIN立即加载插件，并将其注册在 mysql.plugins系统表中，使服务器在后续每次正常启动时加载它，而无需--plugin-load-add.

当您在运行时安装插件而不在my.cnf文件 中配置其系统变量时，系统变量将设置为数据目录中authentication_kerberos_service_key_tab 的默认值 。mysql.keytab这个系统变量的值不能在运行时改变，所以如果你需要指定一个不同的文件，你需要将设置添加到你的my.cnf文件然后重新启动 MySQL 服务器。例如：

[mysqld]
authentication_kerberos_service_key_tab=/var/mysql/data/mysql.keytab

如果 keytab 文件不在正确的位置或不包含有效的 SPN 密钥，则 MySQL 服务器不会对此进行验证，但客户端会返回身份验证错误，直到您解决该问题。

系统 authentication_kerberos_service_principal 变量可以在运行时设置和持久化，而无需重新启动服务器，方法是使用以下 SET PERSIST语句：

SET PERSIST authentication_kerberos_service_principal='mysql/krbauth.example.com@MYSQL.LOCAL';

SET PERSIST为正在运行的 MySQL 实例设置一个值。它还会保存该值，使其在随后的服务器重新启动时继续使用。要更改正在运行的 MySQL 实例的值而不使其延续到后续重新启动，请使用GLOBAL关键字而不是PERSIST. 请参阅 第 13.7.6.1 节，“变量赋值的 SET 语法”。

要验证插件安装，请检查 INFORMATION_SCHEMA.PLUGINS表格或使用SHOW PLUGINS 语句（请参阅 第 5.6.2 节，“获取服务器插件信息”）。例如：

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME = 'authentication_kerberos';
+-------------------------+---------------+
| PLUGIN_NAME             | PLUGIN_STATUS |
+-------------------------+---------------+
| authentication_kerberos | ACTIVE        |
+-------------------------+---------------+

如果插件无法初始化，请检查服务器错误日志以获取诊断消息。

要将 MySQL 帐户与 Kerberos 插件相关联，请参阅 使用 Kerberos 可插入身份验证。

本节介绍如何使用 Kerberos 可插入身份验证使 MySQL 帐户能够连接到 MySQL 服务器。假定服务器在启用服务器端插件的情况下运行，如 安装 Kerberos 可插入身份验证中所述，并且客户端插件在客户端主机上可用。

验证 Kerberos 可用性

以下示例显示如何测试 Active Directory 中 Kerberos 的可用性。该示例做出以下假设：

满足这些假设后，请遵循以下过程：

创建一个使用 Kerberos 身份验证的 MySQL 帐户

使用身份验证插件的 MySQL 身份 authentication_kerberos验证基于 Kerberos 用户主体名称 (UPN)。此处的说明假定名为的 MySQL 用户 karl使用 Kerberos 向 MySQL 进行身份验证，Kerberos 领域名为 MYSQL.LOCAL，并且用户主体名称为karl@MYSQL.LOCAL。这个 UPN 必须在几个地方注册：

假设 Kerberos 用户主体名称已由相应的服务管理员注册，并且如之前在 安装 Kerberos 可插入身份验证中所述，MySQL 服务器已使用服务器端 Kerberos 插件的适当配置设置启动。要创建对应于 的 Kerberos UPN 的 MySQL 帐户， MySQL DBA 使用如下语句： user@realm_name

CREATE USER user
  IDENTIFIED WITH authentication_kerberos
  BY 'realm_name';

命名的帐户user可以包含或省略主机名部分。如果省略主机名，则默认%为照常。realm_name存储为 系统表 authentication_string中帐户的值。 mysql.user

要创建与 UPN 对应的 MySQL 帐户 karl@MYSQL.LOCAL，请使用以下语句：

CREATE USER 'karl'
  IDENTIFIED WITH authentication_kerberos
  BY 'MYSQL.LOCAL';

如果 MySQL 必须为此帐户构造 UPN，例如，为了获取或验证票证（TGT 或 ST），它通过组合帐户名（忽略任何主机名部分）和域名来实现。例如，前面CREATE USER 语句产生的完整帐户名是'karl'@'%'。MySQL 从用户名部分karl （忽略主机名部分）和域名 构建 UPNMYSQL.LOCAL以生成 karl@MYSQL.LOCAL.

设置好账户后，客户端就可以用它来连接MySQL服务器了。该过程取决于客户端主机运行的是 Linux 还是 Windows，如以下讨论所示。

的使用authentication_kerberos受到不支持具有相同用户部分但不同领域部分的 UPN 的限制。例如，您不能创建对应于这两个 UPN 的 MySQL 帐户：

kate@MYSQL.LOCAL
kate@EXAMPLE.COM

两个 UPN 都有一个用户部分，kate但领域部分不同（MYSQL.LOCAL 与EXAMPLE.COM）。这是不允许的。

使用MySQL账号连接MySQL服务器

设置使用 Kerberos 进行身份验证的 MySQL 帐户后，客户端可以使用它连接到 MySQL 服务器，如下所示：

可以通过多种方式执行第一步（向 Kerberos 进行身份验证）：

用于连接到 MySQL 服务器的客户端命令的详细信息因 Linux 和 Windows 而异，因此将分别讨论每种主机类型，但这些命令属性适用于任何主机类型：

Linux 客户端的连接命令

在 Linux 上，用于连接到 MySQL 服务器的适当客户端命令会有所不同，具体取决于该命令是使用来自 Kerberos 缓存的 TGT 进行身份验证，还是基于 MySQL 用户名和 UPN 密码的命令选项：

如果不确定TGT是否存在，可以使用 klist查看。

Windows 客户端的连接命令

在 Windows 上，用于连接到 MySQL 服务器的适当客户端命令会有所不同，具体取决于该命令是基于 MySQL 用户名和 UPN 密码的命令选项进行身份验证，还是使用 Windows 内存缓存中的 TGT。

命令可以显式指定 MySQL 用户名和 UPN 密码的选项，或者命令可以省略这些选项：

Kerberos 身份验证的客户端配置参数

如果在 MySQL 客户端应用程序调用时不存在有效的票证授予票证 (TGT)，则应用程序本身可能会获取并缓存 TGT。如果在 Kerberos 身份验证过程中，客户端应用程序导致缓存 TGT，则可以通过设置适当的配置参数在不再需要后销毁任何已添加的此类 TGT。

authentication_kerberos_client 客户端 Kerberos 插件读取本地 /etc/krb5.conf文件 。如果此文件丢失或无法访问，则会发生错误。假设文件是​​可访问的，它可以包含一个可选 [appdefaults]部分来提供插件使用的信息。将信息放在该mysql部分的一部分内。例如：

[appdefaults]
  mysql = {
    destroy_tickets = true
  }

客户端插件识别 mysql部分中的这些参数：

在客户端主机上，客户端密钥表文件可用于在不提供密码的情况下获取 TGT 和 TS。有关密钥表文件的信息，请参阅 https://web.mit.edu/kerberos/krb5-latest/doc/basic/keytab_def.html。

环境变量启用或禁用 Kerberos 身份验证的AUTHENTICATION_KERBEROS_CLIENT_LOG 调试输出。

在服务器端，允许的值为 0（关闭）和 1（打开）。日志消息被写入服务器错误日志，受服务器错误日志详细级别的约束。例如，如果您使用基于优先级的日志过滤，则 log_error_verbosity系统变量控制详细程度，如 第 5.4.2.5 节，“基于优先级的错误日志过滤（log_filter_internal）”中所述。

在客户端，允许的值是从 1 到 5，并被写入标准错误输出。下表显示了每个日志级别值的含义。