要对 MySQL 使用 LDAP 可插入身份验证，必须满足以下先决条件：

本节概述了 MySQL 和 LDAP 如何协同工作来验证 MySQL 用户。有关显示如何设置 MySQL 帐户以使用特定 LDAP 身份验证插件的示例，请参阅 使用 LDAP 可插入身份验证。有关 LDAP 插件可用的身份验证方法的信息，请参阅 LDAP 身份验证方法。

客户端连接到 MySQL 服务器，提供 MySQL 客户端用户名和密码：

如果客户端用户名和主机名均不匹配任何 MySQL 帐户，则连接被拒绝。

如果存在匹配的 MySQL 帐户，则会针对 LDAP 进行身份验证。LDAP 服务器查找与用户匹配的条目并根据 LDAP 密码验证该条目：

如果 LDAP 服务器找不到匹配项或多个匹配项，则身份验证失败并拒绝客户端连接。

如果 LDAP 服务器找到一个匹配项，则 LDAP 身份验证成功（假设密码正确），LDAP 服务器返回 LDAP 条目，身份验证插件根据该条目确定经过身份验证的用户的名称：

MySQL 服务器将客户端用户名与经过身份验证的用户名进行比较，以确定客户端会话是否发生代理：

本节介绍如何安装服务器端 LDAP 身份验证插件。有关安装插件的一般信息，请参阅第 5.6.1 节，“安装和卸载插件”。

要被服务器使用，插件库文件必须位于 MySQL 插件目录（由plugin_dir系统变量命名的目录）中。plugin_dir如有必要，通过在服务器启动时 设置值来配置插件目录位置 。

服务器端插件库文件的基本名称是 authentication_ldap_simple和 authentication_ldap_sasl. 文件名后缀因平台而异（例如， .so对于 Unix 和类 Unix 系统， .dll对于 Windows）。

要在服务器启动时加载插件，请使用 --plugin-load-add选项命名包含它们的库文件。使用这种插件加载方法，每次服务器启动时都必须给出选项。此外，为您希望配置的任何插件提供的系统变量指定值。

每个服务器端 LDAP 插件都公开了一组系统变量，可以配置其操作。设置其中大部分是可选的，但您必须设置指定 LDAP 服务器主机的变量（以便插件知道连接到哪里）和 LDAP 绑定操作的基本可分辨名称（以限制搜索范围并获得更快的搜索）。有关所有 LDAP 系统变量的详细信息，请参阅 第 6.4.1.13 节，“可插入身份验证系统变量”。

要加载插件并为 LDAP 绑定操作设置 LDAP 服务器主机和基本可分辨名称，请将诸如此类的行放入my.cnf文件中，并 .so根据需要调整平台的后缀：

[mysqld]
plugin-load-add=authentication_ldap_simple.so
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
plugin-load-add=authentication_ldap_sasl.so
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

修改my.cnf后重启服务器使新设置生效。

或者，要在运行时加载插件，请使用这些语句，.so根据需要调整平台的后缀：

INSTALL PLUGIN authentication_ldap_simple
  SONAME 'authentication_ldap_simple.so';
INSTALL PLUGIN authentication_ldap_sasl
  SONAME 'authentication_ldap_sasl.so';

INSTALL PLUGIN立即加载插件，并将其注册在 mysql.plugins系统表中，使服务器在后续每次正常启动时加载它，而无需--plugin-load-add.

在运行时安装插件后，它们公开的系统变量变得可用，您可以将它们的设置添加到您的my.cnf文件中，以配置插件以供后续重新启动。例如：

[mysqld]
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

修改my.cnf后重启服务器使新设置生效。

要在运行时而不是启动时设置和保留每个值，请使用以下语句：

SET PERSIST authentication_ldap_simple_server_host='127.0.0.1';
SET PERSIST authentication_ldap_simple_bind_base_dn='dc=example,dc=com';
SET PERSIST authentication_ldap_sasl_server_host='127.0.0.1';
SET PERSIST authentication_ldap_sasl_bind_base_dn='dc=example,dc=com';

SET PERSIST为正在运行的 MySQL 实例设置一个值。它还会保存该值，使其在随后的服务器重新启动时继续使用。要更改正在运行的 MySQL 实例的值而不使其延续到后续重新启动，请使用GLOBAL关键字而不是PERSIST. 请参阅 第 13.7.6.1 节，“变量赋值的 SET 语法”。

要验证插件安装，请检查 INFORMATION_SCHEMA.PLUGINS表格或使用SHOW PLUGINS 语句（请参阅 第 5.6.2 节，“获取服务器插件信息”）。例如：

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME LIKE '%ldap%';
+----------------------------+---------------+
| PLUGIN_NAME                | PLUGIN_STATUS |
+----------------------------+---------------+
| authentication_ldap_sasl   | ACTIVE        |
| authentication_ldap_simple | ACTIVE        |
+----------------------------+---------------+

如果插件无法初始化，请检查服务器错误日志以获取诊断消息。

要将 MySQL 帐户与 LDAP 插件相关联，请参阅 使用 LDAP 可插入身份验证。

用于卸载 LDAP 身份验证插件的方法取决于您安装它们的方式：

此外，从您的my.cnf文件中删除任何设置 LDAP 插件相关系统变量的启动选项。如果您曾经 SET PERSIST保留 LDAP 系统变量，请使用 RESET PERSIST删除设置。

对于使用 OpenLDAP 的安装，该 ldap.conf文件提供了 LDAP 客户端的全局默认值。可以在此文件中设置选项以影响 LDAP 客户端，包括 LDAP 身份验证插件。OpenLDAP 按以下优先顺序使用配置选项：

如果库默认值或ldap.conf 值未产生适当的选项值，则 LDAP 身份验证插件可能能够设置相关变量以直接影响 LDAP 配置。例如，LDAP 插件可以覆盖ldap.conf以下参数：

有关更多信息，ldap.conf 请参阅ldap.conf(5)手册页。

本节介绍如何使用 LDAP 可插入身份验证使 MySQL 帐户能够连接到 MySQL 服务器。假定服务器在启用适当的服务器端插件的情况下运行，如 安装 LDAP 可插入身份验证中所述，并且适当的客户端插件在客户端主机上可用。

本节不描述 LDAP 配置或管理。假定您熟悉这些主题。

这两个服务器端 LDAP 插件各自与特定的客户端插件一起工作：

MySQL用户LDAP认证总体要求：

此处的说明假定以下场景：

设置使用 LDAP 身份验证的帐户的说明取决于所使用的服务器端 LDAP 插件。以下部分描述了几种使用场景。

要为简单的 LDAP 身份验证配置 MySQL 帐户，CREATE USER语句指定authentication_ldap_simple 插件，并可选择命名 LDAP 用户专有名称 (DN)：

CREATE USER user
  IDENTIFIED WITH authentication_ldap_simple
  [BY 'LDAP user DN'];

假设 MySQL 用户betsy在 LDAP 目录中有这个条目：

uid=betsy_ldap,ou=People,dc=example,dc=com

然后创建 MySQL 帐户的语句 betsy如下所示：

CREATE USER 'betsy'@'localhost'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=betsy_ldap,ou=People,dc=example,dc=com';

该 BY子句中指定的身份验证字符串不包括 LDAP 密码。这必须由客户端用户在连接时提供。

客户端通过提供 MySQL 用户名和 LDAP 密码并启用客户端 mysql_clear_password插件来连接到 MySQL 服务器：

$> mysql --user=betsy --password --enable-cleartext-plugin
Enter password: betsy_password (betsy_ldap LDAP password)

身份验证过程如下：

如果匹配的 LDAP 条目包含组属性，则该属性值将是经过身份验证的用户名，如果该值不同于betsy，则将发生代理。有关使用组属性的示例，请参阅 使用代理进行 LDAP 身份验证。

如果该CREATE USER语句不包含BY指定 betsy_ldapLDAP 专有名称的子句，则身份验证尝试将使用客户端提供的用户名（在本例中为betsy）。在没有 LDAP 条目的情况下betsy，身份验证将失败。

要为 SASL LDAP 身份验证配置 MySQL 帐户，该 CREATE USER语句指定authentication_ldap_sasl插件，并可选择命名 LDAP 用户专有名称 (DN)：

CREATE USER user
  IDENTIFIED WITH authentication_ldap_sasl
  [BY 'LDAP user DN'];

假设 MySQL 用户boris在 LDAP 目录中有这个条目：

uid=boris_ldap,ou=People,dc=example,dc=com

然后创建 MySQL 帐户的语句 boris如下所示：

CREATE USER 'boris'@'localhost'
  IDENTIFIED WITH authentication_ldap_sasl
  AS 'uid=boris_ldap,ou=People,dc=example,dc=com';

该 BY子句中指定的身份验证字符串不包括 LDAP 密码。这必须由客户端用户在连接时提供。

客户端通过提供 MySQL 用户名和 LDAP 密码连接到 MySQL 服务器：

$> mysql --user=boris --password
Enter password: boris_password (boris_ldap LDAP password)

对于服务器端 authentication_ldap_sasl插件，客户端使用客户端 authentication_ldap_sasl_client插件。如果客户端程序找不到客户端插件，请指定一个--plugin-dir选项来命名安装插件库文件的目录。

身份验证过程boris类似于前面描述的 betsy简单 LDAP 身份验证，除了客户端和服务器端 SASL LDAP 插件使用 SASL 消息在 LDAP 协议内安全传输凭据，以避免在 LDAP 之间发送明文密码。 MySQL 客户端和服务器。

LDAP 身份验证插件支持代理，使用户能够作为一个用户连接到 MySQL 服务器，但承担不同用户的权限。本节描述基本的 LDAP 插件代理支持。LDAP 插件还支持组偏好和代理用户映射规范；请参阅 LDAP 身份验证组首选项和映射规范。

此处描述的代理实现基于使用 LDAP 组属性值将使用 LDAP 进行身份验证的连接 MySQL 用户映射到定义不同权限集的其他 MySQL 帐户。用户不通过定义权限的帐户直接连接。相反，它们通过使用 LDAP 进行身份验证的默认代理帐户进行连接，以便所有外部登录都映射到拥有特权的代理 MySQL 帐户。使用代理帐户连接的任何用户都映射到这些代理 MySQL 帐户之一，这些帐户的权限决定了允许外部用户进行的数据库操作。

此处的说明假定以下场景：

创建默认代理 MySQL 帐户：

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl;

代理帐户定义没有用于命名 LDAP 用户 DN 的子句。因此： AS 'auth_string'

创建代理帐户并授予每个代理帐户应有的权限：

CREATE USER 'accounting'@'localhost'
  IDENTIFIED WITH mysql_no_login;
CREATE USER 'front_office'@'localhost'
  IDENTIFIED WITH mysql_no_login;

GRANT ALL PRIVILEGES
  ON accountingdb.*
  TO 'accounting'@'localhost';
GRANT ALL PRIVILEGES
  ON frontdb.*
  TO 'front_office'@'localhost';

被代理的账户使用mysql_no_login 认证插件来防止客户端使用该账户直接登录MySQL服务器。相反，使用 LDAP 进行身份验证的用户应该使用默认''@'%'代理帐户。（这假定mysql_no_login安装了插件。有关说明，请参阅 第 6.4.1.9 节，“无登录可插入身份验证”。）有关保护代理帐户不被直接使用的替代方法，请参阅 防止直接登录到代理帐户。

向代理帐户 PROXY授予每个代理帐户的权限：

GRANT PROXY
  ON 'accounting'@'localhost'
  TO ''@'%';
GRANT PROXY
  ON 'front_office'@'localhost'
  TO ''@'%';

使用mysql命令行客户端以basha.

$> mysql --user=basha --password
Enter password: basha_password (basha LDAP password)

身份验证发生如下：

这表明basha使用授予代理 accountingMySQL 帐户的权限，并且通过默认代理用户帐户进行代理。

现在basil改为连接：

$> mysql --user=basil --password
Enter password: basil_password (basil LDAP password)

的身份验证过程basil与之前描述的类似 basha：

这表明basil使用授予代理 front_officeMySQL 帐户的权限，并且通过默认代理用户帐户进行代理。

如 使用代理的 LDAP 身份验证中所述，基本 LDAP 身份验证代理的工作原理是插件使用 LDAP 服务器返回的第一个组名作为 MySQL 代理用户帐户名。如果 LDAP 服务器返回多个组名，则此简单功能无法指定关于使用哪个组名的任何首选项，或指定组名以外的任何名称作为代理用户名。

从 MySQL 8.0.14 开始，对于使用 LDAP 身份验证的 MySQL 帐户，身份验证字符串可以指定以下信息以启用更大的代理灵活性：

考虑以下 MySQL 代理帐户定义：

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl
  AS '+ou=People,dc=example,dc=com#grp1=usera,grp2,grp3=userc';

ou=People,dc=example,dc=com身份验证字符串有一个以字符为前缀 的用户 DN 后缀 +。因此，如 LDAP 身份验证用户 DN 后缀中所述，完整的用户 DN 由指定的用户 DN 后缀加上作为 uid属性的客户端用户名构成。

认证字符串的剩余部分以 开头 #，表示组偏好和映射信息的开始。身份验证字符串的这一部分以 grp1, grp2, 的顺序列出组名grp3。LDAP 插件将该列表与 LDAP 服务器返回的一组组名称进行比较，以列表顺序查找与返回名称的匹配项。插件使用第一个匹配项，或者如果没有匹配项，则身份验证失败。

假设 LDAP 服务器返回组 grp3、grp2和 grp7。LDAP 插件之所以使用 grp2，是因为它是匹配的身份验证字符串中的第一个组，即使它不是 LDAP 服务器返回的第一个组。如果 LDAP 服务器返回grp4, grp2, 和 grp1，插件使用 grp1即使grp2 也匹配。grp1优先级高于grp2因为它在身份验证字符串中较早列出。

假设插件找到组名匹配，它执行从该组名到 MySQL 代理用户名的映射，如果有的话。对于示例代理帐户，映射发生如下：

如果 LDAP 服务器返回 DN 格式的组，LDAP 插件会解析组 DN 以从中提取组名。

要指定 LDAP 组首选项和映射信息，这些原则适用：

LDAP 身份验证插件允许提供用户 DN 信息的身份验证字符串以 +前缀字符开头：

该账号认证字符串没有 +开头，所以取为完整的用户DN：

CREATE USER 'baldwin'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=admin,ou=People,dc=example,dc=com';

baldwin客户端使用帐户 ( ) 中指定的用户名进行连接。在这种情况下，不使用该名称，因为身份验证字符串没有前缀，因此完全指定了用户 DN。

此帐户认证字符串确实有 +开头，因此它只是作为用户 DN 的一部分：

CREATE USER 'accounting'
  IDENTIFIED WITH authentication_ldap_simple
  AS '+ou=People,dc=example,dc=com';

客户端使用帐户 ( ) 中指定的用户名进行连接，在本例中，该用户名与身份验证字符串一起 accounting用作构造用户 DN 的属性：uiduid=accounting,ou=People,dc=example,dc=com

前面示例中的帐户具有非空用户名，因此客户端始终使用与帐户定义中指定的名称相同的名称连接到 MySQL 服务器。如果帐户的用户名为空，例如使用 代理进行LDAP 身份验证中''@'%'描述的默认匿名代理帐户 ，则客户端可能会使用不同的用户名连接到 MySQL 服务器。但原理是一样的：如果认证字符串以 开头，则插件使用客户端发送的用户名和认证字符串一起构造用户DN。 +

LDAP 身份验证插件使用可配置的身份验证方法。适当的系统变量和可用的方法选择是特定于插件的：

有关每种允许方法的信息，请参阅系统变量描述。此外，根据方法的不同，可能需要额外的配置，如以下部分所述。

通用安全服务应用程序接口 (GSSAPI) 是一种安全抽象接口。Kerberos 是可通过该抽象接口使用的特定安全协议的实例。使用 GSSAPI，应用程序向 Kerberos 进行身份验证以获取服务凭证，然后依次使用这些凭证来实现对其他服务的安全访问。

其中一项服务是 LDAP，它由客户端和服务器端 SASL LDAP 身份验证插件使用。当 authentication_ldap_sasl_auth_method_name 系统变量设置为 时GSSAPI，这些插件使用 GSSAPI/Kerberos 身份验证方法。在这种情况下，插件使用 Kerberos 安全通信，而不直接使用 LDAP 消息。服务器端插件然后与 LDAP 服务器通信以解释 LDAP 身份验证消息并检索 LDAP 组。

支持 GSSAPI/Kerberos 作为 Linux 上的 MySQL 服务器和客户端的 LDAP 身份验证方法。它在 Linux 环境中很有用，在 Linux 环境中，应用程序可以通过默认启用 Kerberos 的 Microsoft Active Directory 访问 LDAP。

以下讨论提供了有关使用 GSSAPI 方法的配置要求的信息。假定您熟悉 Kerberos 概念和操作。以下列表简要定义了几个常见的 Kerberos 术语。您可能还会发现RFC 4120的词汇表部分 很有帮助。

使用 Kerberos 的 LDAP 身份验证需要 KDC 服务器和 LDAP 服务器。可以通过不同的方式满足此要求：

Kerberos 也必须在客户端主机上可用。客户端使用密码联系 AS 以获得 TGT。然后，客户端使用 TGT 从 TGS 获取对其他服务（例如 LDAP）的访问权。

以下部分讨论在 MySQL 中使用 GSSAPI/Kerberos 进行 SASL LDAP 身份验证的配置步骤：

验证 Kerberos 和 LDAP 可用性

以下示例显示如何测试 Active Directory 中 Kerberos 的可用性。该示例做出以下假设：

满足这些假设后，请遵循以下过程：

为 GSSAPI/Kerberos 配置服务器端 SASL LDAP 身份验证插件

假设可以通过 Kerberos 访问 LDAP 服务器，如前所述，将服务器端 SASL LDAP 身份验证插件配置为使用 GSSAPI/Kerberos 身份验证方法。（有关一般 LDAP 插件安装信息，请参阅 安装 LDAP 可插入身份验证my.cnf。）以下是服务器文件可能包含 的插件相关设置示例 ：

[mysqld]
plugin-load-add=authentication_ldap_sasl.so
authentication_ldap_sasl_auth_method_name="GSSAPI"
authentication_ldap_sasl_server_host=198.51.100.10
authentication_ldap_sasl_server_port=389
authentication_ldap_sasl_bind_root_dn="cn=admin,cn=users,dc=MYSQL,dc=LOCAL"
authentication_ldap_sasl_bind_root_pwd="password"
authentication_ldap_sasl_bind_base_dn="cn=users,dc=MYSQL,dc=LOCAL"
authentication_ldap_sasl_user_search_attr="sAMAccountName"

这些选项文件设置将 SASL LDAP 插件配置如下：

创建一个使用 GSSAPI/Kerberos 进行 LDAP 身份验证的 MySQL 帐户

使用 SASL LDAP 身份验证插件和 GSSAPI/Kerberos 方法的 MySQL 身份验证基于作为 Kerberos 主体的用户。下面的讨论使用了一个名为bredon@MYSQL.LOCAL这个用户的主体，它必须在几个地方注册：

假设 Kerberos 主体和 LDAP 条目已由相应的服务管理员注册，并且如前所述 安装 LDAP 可插入身份验证和为 GSSAPI/Kerberos 配置服务器端 SASL LDAP 身份验证插件，MySQL 服务器已启动使用服务器端 SASL LDAP 插件的适当配置设置。然后，MySQL DBA 创建一个与 Kerberos 主体名称（包括域名）相对应的 MySQL 帐户。

以下语句创建一个名为 的代理用户 bredon@MYSQL.LOCAL，该用户具有名为 的代理用户的特权 proxied_krb_usr。其他应具有相同权限的 GSSAPI/Kerberos 用户可以类似地创建为同一代理用户的代理用户。

-- create proxy account
CREATE USER 'bredon@MYSQL.LOCAL'
  IDENTIFIED WITH authentication_ldap_sasl
  BY '#krb_grp=proxied_krb_user';

-- create proxied account and grant its privileges;
-- use mysql_no_login plugin to prevent direct login
CREATE USER 'proxied_krb_user'
  IDENTIFIED WITH mysql_no_login;
GRANT ALL
  ON krb_user_db.*
  TO 'proxied_krb_user';

-- grant to proxy account the
-- PROXY privilege for proxied account
GRANT PROXY
  ON 'proxied_krb_user'
  TO 'bredon@MYSQL.LOCAL';

仔细观察第一CREATE USER条语句和GRANT PROXY语句中对代理帐户名称的引用：

代理账号使用mysql_no_login 认证插件，防止客户端使用该账号直接登录MySQL服务器。相反，希望使用 LDAP 进行身份验证的用户使用 bredon@MYSQL.LOCAL代理帐户。（这假定mysql_no_login安装了插件。有关说明，请参阅 第 6.4.1.9 节，“无登录可插入身份验证”。）有关保护代理帐户不被直接使用的替代方法，请参阅 防止直接登录到代理帐户。

使用MySQL账号连接MySQL服务器

设置使用 GSSAPI/Kerberos 进行身份验证的 MySQL 帐户后，客户端可以使用它连接到 MySQL 服务器。Kerberos 身份验证可以在 MySQL 客户端程序调用之前或之时进行：

如果不确定TGT是否存在，可以使用 klist查看。

身份验证发生如下：

TGT一旦获得，就会缓存在客户端，可以一直使用到过期，无需再次指定密码。无论 TGT 是如何获得的，客户端插件都会使用它来获取服务票据并与服务器端插件进行通信。

服务器端插件无法访问 TGT 本身或用于获取它的 Kerberos 密码。

LDAP 身份验证插件无法控制缓存机制（存储在本地文件、内存等中），但 Kerberos 实用程序（例如 kswitch ）可用于此目的。

LDAP 身份验证的客户端配置参数

authentication_ldap_sasl_client 客户端 SASL LDAP 插件读取本地 /etc/krb5.conf文件 。如果此文件丢失或无法访问，则会发生错误。假设文件是​​可访问的，它可以包含一个可选 [appdefaults]部分来提供插件使用的信息。将信息放在该mysql部分的一部分内。例如：

[appdefaults]
  mysql = {
    ldap_server_host = "ldap_host.example.com"
    ldap_destroy_tgt = true
  }

客户端插件识别 mysql部分中的这些参数：

可以将 LDAP 服务器配置为将 LDAP 搜索委托给另一个 LDAP 服务器，该功能称为 LDAP 推荐。假设服务器a.example.com拥有"dc=example,dc=com"根 DN 并希望将搜索委托给另一台服务器 b.example.com。要启用此功能， a.example.com将配置一个具有以下属性的命名引用对象：

dn: dc=subtree,dc=example,dc=com
objectClass: referral
objectClass: extensibleObject
dc: subtree
ref: ldap://b.example.com/dc=subtree,dc=example,dc=com

启用 LDAP 引用的一个问题是，当搜索基础 DN 是根 DN 并且未设置引用对象时，搜索可能会因 LDAP 操作错误而失败。MySQL DBA 可能希望避免 LDAP 身份验证插件的此类引用错误，即使 LDAP 引用可能在ldap.conf配置文件中全局设置。要在特定于插件的基础上配置 LDAP 服务器在与每个插件通信时是否应使用 LDAP 引用，请设置 authentication_ldap_simple_referral 和 authentication_ldap_sasl_referral 系统变量。将变量设置为 ON或OFF导致相应的 LDAP 身份验证插件告诉 LDAP 服务器在 MySQL 身份验证期间是否使用引用。每个变量都有特定于插件的效果，不会影响与 LDAP 服务器通信的其他应用程序。这两个变量都是OFF默认的。