客户端程序和服务器通信，客户端将客户端用户名（默认情况下是操作系统用户名）和密码发送到服务器：

服务器根据外部用户名和客户端连接的主机找到匹配的 MySQL 帐户。PAM 插件使用 MySQL 服务器传递给它的信息（例如用户名、主机名、密码和身份验证字符串）。当您定义使用 PAM 身份验证的 MySQL 帐户时，身份验证字符串包含：

插件使用身份验证字符串中指定的 PAM 服务来检查用户凭据，并返回 '身份验证成功，用户名是 user_name' 或 '身份验证失败'。密码必须适合 PAM 服务使用的密码存储。示例：

如果凭据检查失败，服务器拒绝连接。

否则，身份验证字符串指示是否发生代理。如果字符串不包含 PAM 组映射，则不发生代理。在这种情况下，MySQL 用户名与外部用户名相同。

否则，基于 PAM 组映射的代理指示，MySQL 用户名根据映射列表中的第一个匹配组确定。PAM 组的含义取决于 PAM 服务。示例：

如果代理用户（外部用户）拥有 PROXY 权限的代理 MySQL 用户名，则发生代理，代理用户将获得代理用户的权限。

验证 Unix 身份验证是否允许使用用户名 antonio 和密码 antonio_password 登录操作系统。

设置 PAM 以使用传统 Unix 密码来身份验证 MySQL 连接，创建一个名为 /etc/pam.d/mysql-unix 的 mysql-unix PAM 服务文件。该文件的内容取决于系统，因此请检查 /etc/pam.d 目录中的现有登录相关文件，看看它们是什么样的。在 Linux 上，mysql-unix 文件可能如下所示：

#%PAM-1.0
auth            include         password-auth
account         include         password-auth

对于 macOS，请使用 login 而不是 password-auth。

PAM 文件格式可能在某些系统上不同。例如，在 Ubuntu 和其他基于 Debian 的系统上，请使用以下文件内容：

@include common-auth
@include common-account
@include common-session-noninteractive

创建一个 MySQL 帐户，用户名与操作系统用户名相同，并定义它使用 PAM 插件和 mysql-unix PAM 服务进行身份验证：

CREATE USER 'antonio'@'localhost'
  IDENTIFIED WITH authentication_pam
  AS 'mysql-unix';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'antonio'@'localhost';

这里，身份验证字符串仅包含 PAM 服务名称 mysql-unix，它身份验证 Unix 密码。

使用 mysql 命令行客户端连接到 MySQL 服务器作为 antonio。例如：

$> mysql --user=antonio --password --enable-cleartext-plugin
Enter password: antonio_password

服务器应该允许连接，并且以下查询返回输出，如下所示：

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+-------------------+--------------+
| USER()            | CURRENT_USER()    | @@proxy_user |
+-------------------+-------------------+--------------+
| antonio@localhost | antonio@localhost | NULL         |
+-------------------+-------------------+--------------+

这证明了操作系统用户 antonio 被身份验证为拥有 antonio MySQL 用户的权限，并且没有发生代理。

验证 Unix 身份验证是否允许使用用户名 antonio 和密码 antonio_password 登录操作系统。

通过创建名为 /etc/pam.d/mysql-ldap 的 PAM 服务文件来设置 PAM，以便使用 LDAP 进行 MySQL 连接身份验证。该文件的内容取决于系统，因此请检查 /etc/pam.d 目录中的现有登录相关文件，以了解它们的外观。在 Linux 上，mysql-ldap 文件可能如下所示：

#%PAM-1.0
auth        required    pam_ldap.so
account     required    pam_ldap.so

如果 PAM 对象文件的后缀不同于 .so，请将其替换为正确的后缀。

PAM 文件格式可能在某些系统上有所不同。

创建一个 MySQL 帐户，用户名与操作系统用户名相同，并定义其使用 PAM 插件和 mysql-ldap PAM 服务进行身份验证：

CREATE USER 'antonio'@'localhost'
  IDENTIFIED WITH authentication_pam
  AS 'mysql-ldap';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'antonio'@'localhost';

这里，身份验证字符串仅包含 PAM 服务名称 mysql-ldap，该服务使用 LDAP 进行身份验证。

连接到服务器的过程与 PAM Unix 密码身份验证无代理用户 中描述的相同。

验证 Unix 身份验证是否允许使用用户名 antonio 和密码 antonio_password 登录操作系统。

验证 antonio 是否是 root 或 users PAM 组的成员。

设置 PAM 以便使用操作系统用户身份验证 mysql-unix PAM 服务，通过创建名为 /etc/pam.d/mysql-unix 的文件。该文件的内容取决于系统，因此请检查 /etc/pam.d 目录中的现有登录相关文件，以了解它们的外观。在 Linux 上，mysql-unix 文件可能如下所示：

#%PAM-1.0
auth            include         password-auth
account         include         password-auth

对于 macOS，请使用 login 而不是 password-auth。

PAM 文件格式可能在某些系统上有所不同。例如，在 Ubuntu 和其他基于 Debian 的系统上，请使用以下文件内容：

@include common-auth
@include common-account
@include common-session-noninteractive

创建一个默认的代理用户 (''@'')，将外部 PAM 用户映射到代理帐户：

CREATE USER ''@''
  IDENTIFIED WITH authentication_pam
  AS 'mysql-unix, root=developer, users=data_entry';

这里，身份验证字符串包含 PAM 服务名称 mysql-unix，该服务使用 Unix 密码进行身份验证。身份验证字符串还将外部用户在 root 和 users PAM 组中映射到 developer 和 data_entry MySQL 用户名中，分别。

按照PAM服务名称设置代理用户时，需要PAM组映射列表。否则，插件无法确定如何将外部用户名映射到正确的代理MySQL用户名。

创建代理账户并授予每个账户相应的权限：

CREATE USER 'developer'@'localhost'
  IDENTIFIED WITH mysql_no_login;
CREATE USER 'data_entry'@'localhost'
  IDENTIFIED WITH mysql_no_login;

GRANT ALL PRIVILEGES
  ON mydevdb.*
  TO 'developer'@'localhost';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'data_entry'@'localhost';

代理账户使用mysql_no_login身份验证插件，以防止客户端直接登录到MySQL服务器。相反，使用PAM身份验证的用户预计使用developer或data_entry账户通过代理，基于其PAM组。（假设插件已安装。有关说明，请参阅第8.4.1.9节，“无登录可插拔身份验证”。）有关保护代理账户免受直接使用的替代方法，请参阅防止代理账户直接登录。

授予代理账户PROXY权限，以便每个代理账户：

GRANT PROXY
  ON 'developer'@'localhost'
  TO ''@'';
GRANT PROXY
  ON 'data_entry'@'localhost'
  TO ''@'';

使用mysql命令行客户端连接到MySQL服务器作为antonio。

$> mysql --user=antonio --password --enable-cleartext-plugin
Enter password: antonio_password

服务器使用默认的''@''代理账户进行身份验证。结果权限取决于antonio所属的PAM组。如果antonio是root PAM组的成员，则PAM插件将root映射到developer MySQL用户名，并将该名称返回给服务器。服务器验证''@''是否具有PROXY权限的developer，并允许连接。以下查询返回输出，如下所示：

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+---------------------+--------------+
| USER()            | CURRENT_USER()      | @@proxy_user |
+-------------------+---------------------+--------------+
| antonio@localhost | developer@localhost | ''@''        |
+-------------------+---------------------+--------------+

这表明antonio操作系统用户被身份验证为拥有developer MySQL用户的权限，并且代理发生通过默认代理账户。

如果antonio不是root PAM组的成员，但是users PAM组的成员，则类似的过程将发生，但插件将user PAM组成员映射到data_entry MySQL用户名，并将该名称返回给服务器：

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+----------------------+--------------+
| USER()            | CURRENT_USER()       | @@proxy_user |
+-------------------+----------------------+--------------+
| antonio@localhost | data_entry@localhost | ''@''        |
+-------------------+----------------------+--------------+

这表明antonio操作系统用户被身份验证为拥有data_entry MySQL用户的权限，并且代理发生通过默认代理账户。