要使用 Kerberos 可插拔身份验证，必须满足以下先决条件：

本节概述了 MySQL 和 Kerberos 如何共同工作以认证 MySQL 用户。有关设置 MySQL 帐户以使用 Kerberos 认证插件的示例，请参阅 使用 Kerberos 可插拔认证。

在这里，假设您熟悉 Kerberos 概念和操作。以下列表简要定义了几个常见的 Kerberos 术语。你也可以在 RFC 4120 的词汇表部分找到有助的信息。

使用 Kerberos 认证需要 KDC 服务器，例如 Microsoft Active Directory 提供的服务器。

MySQL 中的 Kerberos 认证使用通用安全服务应用程序接口（GSSAPI），这是一个安全抽象接口。Kerberos 是该抽象接口的一个特定安全协议实例。使用 GSSAPI，应用程序认证到 Kerberos，以获取服务凭证，然后使用这些凭证来启用对其他服务的安全访问。

在 Windows 上，authentication_kerberos_client 认证插件支持两种模式，客户端用户可以在运行时或在选项文件中指定：

使用 Kerberos 认证插件，应用程序和 MySQL 服务器能够使用 Kerberos 认证协议来相互认证用户和 MySQL 服务。这样，用户和服务器都可以验证对方的身份。密码不通过网络发送，Kerberos 协议消息受到窃听和重放攻击的保护。

Kerberos 认证遵循以下步骤，其中服务器端和客户端部分分别使用 authentication_kerberos 和 authentication_kerberos_client 认证插件：

应用程序可以使用提供的用户名和密码进行身份验证，也可以使用本地缓存的 TGT 或 ST（例如，使用 kinit 或类似命令创建）。因此，该设计涵盖了从完全无用户和无密码连接（其中 Kerberos 服务票据从本地存储的 Kerberos 缓存中获取）到提供用户名和密码以获取有效的 Kerberos 服务票据的连接。

如前述所示，MySQL Kerberos 身份验证使用两种类型的密钥文件：

有关密钥文件的信息，请参阅 https://web.mit.edu/kerberos/krb5-latest/doc/basic/keytab_def.html。

本节描述如何安装服务器端 Kerberos 身份验证插件。有关插件安装的一般信息，请参阅 第 7.6.1 节，“安装和卸载插件”。

要使插件可供服务器使用，插件库文件必须位于 MySQL 插件目录中（由 plugin_dir 系统变量指定的目录）。如果必要，请在服务器启动时配置插件目录的位置。

服务器端插件库文件的基本名称是 authentication_kerberos。Unix 和 Unix 类似系统上的文件名后缀是 .so。

要在服务器启动时加载插件，请使用 --plugin-load-add 选项来指定包含插件的库文件名。使用此插件加载方法，每次服务器启动时都需要指定该选项。此外，还需要指定要配置的插件提供的系统变量的值。

有关所有 Kerberos 身份验证系统变量的详细信息，请参阅 第 8.4.1.14 节，“可插拔身份验证系统变量”。

要加载插件并配置它，请在 my.cnf 文件中添加以下行，使用适合您安装的系统变量值：

[mysqld]
plugin-load-add=authentication_kerberos.so
authentication_kerberos_service_principal=mysql/krbauth.example.com@MYSQL.LOCAL
authentication_kerberos_service_key_tab=/var/mysql/data/mysql.keytab

修改 my.cnf 文件后，重新启动服务器以使新设置生效。

或者，要在运行时加载插件，请使用以下语句：

INSTALL PLUGIN authentication_kerberos
  SONAME 'authentication_kerberos.so';

INSTALL PLUGIN 立即加载插件，并在 mysql.plugins 系统表中注册它，以便在每次正常启动时加载插件，而不需要 --plugin-load-add。

当您在运行时安装插件，而不在 my.cnf 文件中配置其系统变量时，系统变量 authentication_kerberos_service_key_tab 将被设置为数据目录中的默认值 mysql.keytab。无法在运行时更改该系统变量的值，因此如果您需要指定不同的文件，需要将设置添加到 my.cnf 文件中，然后重新启动 MySQL 服务器。例如：

[mysqld]
authentication_kerberos_service_key_tab=/var/mysql/data/mysql.keytab

如果 keytab 文件不在正确的位置或不包含有效的 SPN 密钥，MySQL 服务器不会验证它，但客户端将返回身份验证错误，直到您解决问题。

系统变量 authentication_kerberos_service_principal 可以在运行时设置和持久化，不需要重新启动服务器，使用 SET PERSIST 语句：

SET PERSIST authentication_kerberos_service_principal='mysql/krbauth.example.com@MYSQL.LOCAL';

SET PERSIST 设置当前 MySQL 实例的值。它还保存该值，使其在后续服务器重新启动时保持不变。要更改当前 MySQL 实例的值，而不使其在后续重新启动时保持不变，请使用 GLOBAL 关键字，而不是 PERSIST。请参阅 第 15.7.6.1 节，“SET 语句 for 变量赋值”。

要验证插件安装，请检查 Information Schema PLUGINS 表或使用 SHOW PLUGINS 语句（请参阅 第 7.6.2 节，“获取服务器插件信息”）。例如：

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME = 'authentication_kerberos';
+-------------------------+---------------+
| PLUGIN_NAME             | PLUGIN_STATUS |
+-------------------------+---------------+
| authentication_kerberos | ACTIVE        |
+-------------------------+---------------+

如果插件无法初始化，请检查服务器错误日志以获取诊断信息。

要将 MySQL 帐户与 Kerberos 插件关联，请参阅 使用 Kerberos 可插拔身份验证。

本节描述了如何启用 MySQL 帐户使用 Kerberos 可插拔身份验证连接到 MySQL 服务器。假设服务器正在运行启用了服务器端插件，如 安装 Kerberos 可插拔身份验证 中所述，并且客户端插件可用在客户端主机上。

Verify Kerberos Availability

以下示例显示了如何在 Active Directory 中测试 Kerberos 的可用性。该示例假设：

假设这些假设满足，按照以下步骤进行：

Create a MySQL Account That Uses Kerberos Authentication

使用 authentication_kerberos 身份验证插件的 MySQL 身份验证基于 Kerberos 用户主体名（UPN）。以下说明假设 MySQL 用户名为 karl，使用 Kerberos 身份验证，Kerberos 领域名为 MYSQL.LOCAL，用户主体名为 karl@MYSQL.LOCAL。该 UPN 必须在多个地方注册：

假设 Kerberos 用户主体名已经由适当的服务管理员注册，并且，如前所述在 安装 Kerberos 可插拔身份验证 中，MySQL 服务器已经使用适当的服务器端 Kerberos 插件配置设置启动。要创建一个对应于 Kerberos UPN 的 MySQL 账户 user@realm_name，MySQL DBA 使用类似以下语句：

CREATE USER user
  IDENTIFIED WITH authentication_kerberos
  BY 'realm_name';

该账户名可以包括或省略主机名部分。如果省略主机名，默认为 %。该 realm_name 将被存储为账户的 authentication_string 值在 mysql.user 系统表中。

要创建一个对应于 UPN karl@MYSQL.LOCAL 的 MySQL 账户，使用以下语句：

CREATE USER 'karl'
  IDENTIFIED WITH authentication_kerberos
  BY 'MYSQL.LOCAL';

如果 MySQL 需要构建该账户的 UPN，例如，获取或验证票据（TGT 或 ST），它将通过组合账户名（忽略主机名部分）和领域名来实现。例如，来自前一个 CREATE USER 语句的完整账户名是 'karl'@'%'。MySQL 将从用户名部分 karl（忽略主机名部分）和领域名 MYSQL.LOCAL 构建 UPN karl@MYSQL.LOCAL。

设置账户后，客户端可以使用它连接到 MySQL 服务器。该过程取决于客户端主机是否运行 Linux 或 Windows，如下所述。

使用 authentication_kerberos 受到限制，即 UPN 的用户部分相同但领域部分不同的 UPN 不支持。例如，您不能创建对应于以下 UPN 的 MySQL 账户：

kate@MYSQL.LOCAL
kate@EXAMPLE.COM

这两个 UPN 都有用户部分 kate，但领域部分不同（MYSQL.LOCAL versus EXAMPLE.COM）。这不被允许。

Use the MySQL Account to Connect to the MySQL Server

在设置了使用Kerberos身份验证的MySQL账户后，客户端可以按照以下步骤连接到MySQL服务器：

第一步（对Kerberos的身份验证）可以通过多种方式进行：

客户端命令的详细信息因主机类型而异，因此每种主机类型将单独讨论，但这些命令属性适用于所有主机类型：

Linux客户端连接命令

在Linux上，适当的客户端命令因是否使用Kerberos缓存中的TGT或基于命令选项的MySQL用户名和UPN密码而异：

如果您不确定是否存在 TGT，可以使用 klist 来检查。

Windows 客户端在 SSPI 模式下的连接命令

在 Windows 上，使用默认的客户端插件选项（SSPI），客户端命令以连接到 MySQL 服务器取决于命令是否基于命令选项的 MySQL 用户名和 UPN 密码，或者是否使用 Windows 内存缓存中的 TGT。有关 Windows 上的 GSSAPI 模式的详细信息，请参阅 Windows 客户端在 GSSAPI 模式下的命令。

命令可以明确指定 MySQL 用户名和 UPN 密码的选项，或者命令可以省略这些选项：

Windows 客户端在 GSSAPI 模式下的连接命令

在 Windows 上，客户端用户必须使用 GSSAPI 模式明确指定使用 plugin_authentication_kerberos_client_mode 插件选项，以便通过 MIT Kerberos 库启用支持。默认模式是 SSPI（见 Windows 客户端命令 SSPI 模式）。

可以指定 GSSAPI 模式：

适当的客户端命令取决于是否使用 TGT 从 MIT Kerberos 缓存中进行身份验证，或者基于命令选项的 MySQL 用户名和 UPN 密码。通过 MIT 库在 Windows 上的 GSSAPI 支持类似于 Linux 上的 GSSAPI（见 Linux 客户端命令），但有以下例外：

Client Configuration Parameters for Kerberos Authentication

本节仅适用于 Linux 客户端主机，不适用于 Windows 客户端主机。

如果在 MySQL 客户端应用程序调用时没有有效的票据授予票据（TGT），则应用程序本身可能会获取和缓存 TGT。如果在 Kerberos 身份验证过程中客户端应用程序导致 TGT 被缓存，可以通过设置适当的配置参数来销毁不再需要的 TGT。

客户端插件 authentication_kerberos_client 读取本地 /etc/krb5.conf 文件。如果该文件缺失或不可访问，将发生错误。假设该文件可访问，可以包括一个可选的 [appdefaults] 部分，以提供插件使用的信息。将信息放在 mysql 部分中。例如：

[appdefaults]
  mysql = {
    destroy_tickets = true
  }

客户端插件识别 mysql 部分中的这些参数：

在客户端主机上，可以使用客户端密钥表文件来获取TGT和TS，而不需要提供密码。有关密钥表文件的信息，请参阅https://web.mit.edu/kerberos/krb5-latest/doc/basic/keytab_def.html。

环境变量AUTHENTICATION_KERBEROS_CLIENT_LOG启用或禁用Kerberos身份验证的调试输出。

在服务器端，允许的值为0（关闭）和1（开启）。日志消息将写入服务器错误日志，subject to服务器错误日志记录级别。例如，如果您使用基于优先级的日志过滤，可以使用log_error_verbosity系统变量控制详细程度，如第7.4.2.5节，“基于优先级的错误日志过滤（log_filter_internal）”所述。

在客户端，允许的值从1到5，将写入标准错误输出。以下表格显示了每个日志级别的含义。