要使用MySQL的LDAP插件式认证，必须满足以下前提条件：

本节提供了 MySQL 和 LDAP 之间如何协同身份验证的概述。有关设置 MySQL 账户以使用特定 LDAP 身份验证插件的示例，请见使用 LDAP 可插拔身份验证。有关 LDAP 插件可用的身份验证方法，请见LDAP 身份验证方法。

客户端连接到 MySQL 服务器，提供 MySQL 客户端用户名和密码：

如果客户端用户名和主机名与 MySQL 账户无匹配项，则连接将被拒绝。

如果存在匹配的 MySQL 账户，身份验证将对 LDAP 进行。LDAP 服务器将查找匹配用户并对其进行身份验证，以便使用 LDAP 密码：

如果LDAP服务器找不到匹配或多个匹配，身份验证失败，客户端连接被拒绝。

如果LDAP服务器找到单个匹配，LDAP身份验证成功（假设密码正确），LDAP服务器返回LDAP条目，身份验证插件根据该条目确定已认证用户的名称：

MySQL服务器将客户端用户名与已认证用户名进行比较，以确定是否对客户端会话进行代理：

本节描述了如何安装服务器端 LDAP 认证插件。关于安装插件的总体信息，请见第7.6.1节，“Installing and Uninstalling Plugins”。

为了使插件库文件可供服务器使用，插件库文件必须位于 MySQL 插件目录（由plugin_ dir系统变量指定的目录）中。如果必要，可以在服务器启动时设置插件目录位置，通过将plugin_ dir的值设置为所需的路径。

服务器端插件库文件的基本名称是authentication_ldap_simple和authentication_ldap_sasl。文件名后缀根据平台不同（例如，Unix 和 Unix 类似系统中为.so，Windows 中为.dll）。

在服务器启动时加载插件，使用--plugin-load-add选项指定包含它们的库文件。使用此插件加载方法，每次启动服务器都需要给出这些选项。此外，还需指定任何插件提供的系统变量的值。

每个 LDAP 插件 expose 一组系统变量，用于配置其操作。设置大多数这些变量是可选的，但您必须设置指定 LDAP 服务器主机（使插件知道连接目标）和 LDAP 绑定操作的基础 distinguished name（限制搜索范围并获得更快的搜索）的变量。有关所有 LDAP 系统变量的详细信息，请见第8.4.1.13节，“可插拔身份验证系统变量”。

要加载插件并设置 LDAP 服务器主机和 LDAP 绑定操作的基础 distinguished name，请将类似于这些行添加到您的my.cnf文件中，根据平台调整.so后缀为必要：

[mysqld]
plugin-load-add=authentication_ldap_simple.so
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
plugin-load-add=authentication_ldap_sasl.so
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

修改完毕my.cnf文件后，重新启动服务器以使新的设置生效。

或者，在运行时加载插件，可以使用这些语句，根据平台调整.so后缀为必要：

INSTALL PLUGIN authentication_ldap_simple
  SONAME 'authentication_ldap_simple.so';
INSTALL PLUGIN authentication_ldap_sasl
  SONAME 'authentication_ldap_sasl.so';

INSTALL PLUGIN 将插件立即加载，并将其注册到 mysql.plugins 系统表中，以便在每次正常启动时不需要使用--plugin-load-add。

在运行时安装插件后，这些插件暴露的系统变量将可用，您可以将其添加到您的 my.cnf 文件中，以便在下次重启时配置插件。例如：

[mysqld]
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

修改完毕 my. cnf 后，重新启动服务器以使新设置生效。

要在运行时而不是在启动时设置和持久每个值，请使用以下语句：

SET PERSIST authentication_ldap_simple_server_host='127.0.0.1';
SET PERSIST authentication_ldap_simple_bind_base_dn='dc=example,dc=com';
SET PERSIST authentication_ldap_sasl_server_host='127.0.0.1';
SET PERSIST authentication_ldap_sasl_bind_base_dn='dc=example,dc=com';

SET PERSIST 将值设置为当前 MySQL 实例。它还将保存该值，使其在下次重启时继续生效。要更改当前 MySQL 实例的值而不使其在下次重启时继续生效，请使用 GLOBAL 关键字，而不是 PERSIST。请参阅第15.7.6.1节，“SET 语法用于变量赋值”。

验证插件安装，查看信息_schema中的PLUGINS表或使用SHOW PLUGINS语句（见第7.6.2节，“获取服务器插件信息”）。例如：

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME LIKE '%ldap%';
+----------------------------+---------------+
| PLUGIN_NAME                | PLUGIN_STATUS |
+----------------------------+---------------+
| authentication_ldap_sasl   | ACTIVE        |
| authentication_ldap_simple | ACTIVE        |
+----------------------------+---------------+

如果插件无法初始化，请检查服务器错误日志以获取诊断消息。

要将 MySQL 账户与 LDAP 插件关联，请见Using LDAP Pluggable Authentication。

卸载 LDAP 认证插件的方法取决于您如何安装它们：

此外，在您的my. cnf文件中删除任何设置LDAP插件相关系统变量的启动选项。如果您使用SET PERSIST来持久化LDAP系统变量，请使用RESET PERSIST来删除设置。

对于使用OpenLDAP的安装，ldap.conf文件提供了LDAP客户端的全局默认值。可以在这个文件中设置选项，以影响LDAP客户端，包括LDAP身份验证插件。OpenLDAP使用以下顺序来确定配置选项的优先级：

如果库默认值或ldap.conf值不能产生合适的选项值，LDAP身份验证插件可能可以设置相关变量，以直接影响LDAP配置。例如，LDAP插件可以override ldap.conf以设置以下参数：

关于ldap.conf的更多信息，请参阅ldap.conf(5)手册页。

为了 MySQL 账户使用 LDAP 插件式认证连接到 MySQL 服务器，LDAP 服务器必须可用和操作正常。MySQL 服务器与 LDAP 服务器之间的交互涉及两个步骤。首先，MySQL 服务器通过 TCP 建立对 LDAP 服务器的连接。然后，MySQL 服务器将 LDAP 绑定请求发送到 LDAP 服务器，并等待回复后 authenticate 账户。如果任何一步失败，MySQL 账户就不能连接到 MySQL 服务器。

短暂超时时间将默认应用于连接和响应步骤，超时时间将在所有情况下超时后通知账户用户无法连接到MySQL。如果需要更多信息，可以在客户端和服务器端进行日志记录。在客户端-side，可以通过设置环境变量来提高详细级别，然后重新启动MySQL客户端：

AUTHENTICATION_LDAP_CLIENT_LOG=5
export AUTHENTICATION_LDAP_CLIENT_LOG

以下系统变量支持Linux平台上的SASL-基于和简单LDAP身份验证的默认超时时间。

LDAP身份验证的超时时间可以在服务器启动和运行时进行调整。如果使用这些变量将超时时间设置为零，您实际上是将其停用，MySQL服务器将重新使用主机系统的默认超时时间。

本节描述了如何使 MySQL 账户使用 LDAP 插件式认证连接到 MySQL 服务器。假设服务器正在运行适当的服务器端插件，正如安装 LDAP 插件式认证中所述，并且客户端主机上有适当的客户端插件可用。

本节不描述 LDAP 配置或管理。您被假设熟悉这些主题。

两个服务器端 LDAP 插件各自与特定的客户端插件工作：

MySQL用户LDAP身份验证的总体要求：

以下假设场景：

设置使用 LDAP 认证的账户需要根据服务器端 LDAP 插件的不同情况。以下几节描述了多种使用场景。

为简单 LDAP 认证配置 MySQL 账户，CREATE USER 语句指定 authentication_ldap_simple 插件，并可选地指定 LDAP 用户 distinguished name（DN）：

CREATE USER user
  IDENTIFIED WITH authentication_ldap_simple
  [BY 'LDAP user DN'];

假设 MySQL 用户 betsy 在 LDAP 目录中有以下条目：

uid=betsy_ldap,ou=People,dc=example,dc=com

然后，创建 betsy 的 MySQL 账户语句如下：

CREATE USER 'betsy'@'localhost'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=betsy_ldap,ou=People,dc=example,dc=com';

在 BY 子句中指定的认证字符串不包括 LDAP 密码。客户端用户必须在连接时提供该密码。

客户端连接到 MySQL 服务器，提供 MySQL 用户名和 LDAP 密码，并启用客户端 mysql_clear_password 插件：

$> mysql --user=betsy --password --enable-cleartext-plugin
Enter password: betsy_password (betsy_ldap LDAP password)

身份验证过程如下：

如果LDAP条目包含组属性，那么该属性值将是认证用户名称，如果该值与betsy不同，代理将发生。有关使用组属性的示例，请参阅LDAP身份验证与代理。

如果CREATE USER语句中没有指定BY子句来指定 LDAP distinguished name，认证尝试将使用客户端提供的用户名（在本例中是 betsy）。如果LDAP条目不存在于 betsy中，认证将失败。

要为SASL LDAP身份验证配置MySQL账户，CREATE USER语句指定authentication_ldap_sasl插件，并可选地命名LDAP用户 distinguished name（DN）：

CREATE USER user
  IDENTIFIED WITH authentication_ldap_sasl
  [BY 'LDAP user DN'];

假设MySQL用户boris在LDAP目录中有以下条目：

uid=boris_ldap,ou=People,dc=example,dc=com

然后，创建boris的MySQL账户语句如下：

CREATE USER 'boris'@'localhost'
  IDENTIFIED WITH authentication_ldap_sasl
  AS 'uid=boris_ldap,ou=People,dc=example,dc=com';

认证字符串指定在BY子句中不包括LDAP密码。客户端用户必须在连接时提供该密码。

客户端连接到MySQL服务器，提供MySQL用户名和LDAP密码：

$> mysql --user=boris --password
Enter password: boris_password (boris_ldap LDAP password)

为服务器端authentication_ldap_sasl插件，客户端使用客户端authentication_ldap_sasl_client插件。如果客户端程序找不到客户端插件，请指定一个--plugin-dir选项，该选项命名了插件库文件安装目录。

boris的身份验证过程类似于之前对betsy的简单LDAP身份验证，除了客户端和服务器端SASL LDAP插件使用SASL消息在LDAP协议中安全地传输凭证，以避免在MySQL客户端和服务器之间发送明文密码。

LDAP身份验证插件支持代理，允许用户连接到MySQL服务器作为一个用户，但假设另一个用户的权限。这部分描述了基本的LDAP插件代理支持。LDAP插件还支持组首选项和代理用户映射；请参阅LDAP身份验证组首选项和映射规范。

以下描述的代理实现基于使用LDAP组属性值将通过LDAP身份验证连接到MySQL的用户映射到其他MySQL账户，这些账户定义不同的权限集。用户不直接连接到定义权限的账户，而是通过默认代理账户 authenticated with LDAP，以便所有外部登录都映射到持有权限的代理MySQL账户。任何使用代理账户连接的用户都会被映射到其中一个代理MySQL账户，该账户的权限确定对外部用户的数据库操作。

以下指令假设以下场景：

创建默认代理MySQL账户：

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl;

代理账户定义中没有AS 'auth_string'子句，以命名LDAP用户DN。因此：

创建代理账户并授予每个账户应有的权限：

CREATE USER 'accounting'@'localhost'
  IDENTIFIED WITH mysql_no_login;
CREATE USER 'front_office'@'localhost'
  IDENTIFIED WITH mysql_no_login;

GRANT ALL PRIVILEGES
  ON accountingdb.*
  TO 'accounting'@'localhost';
GRANT ALL PRIVILEGES
  ON frontdb.*
  TO 'front_office'@'localhost';

代理账户使用mysql_no_login身份验证插件来防止客户端直接使用账户登录到 MySQL 服务器。相反，使用 LDAP 进行身份验证的用户需要使用默认的'@'%'代理账户。 (假设mysql_no_login插件已经安装。有关详细信息，请参阅第 8.4.1.9 节，“无登录可插拔身份验证”。) 对于保护代理账户的直接使用的 alternative 方法，请参阅防止代理账户直接登录。

将PROXY特权授予每个代理账户：

GRANT PROXY
  ON 'accounting'@'localhost'
  TO ''@'%';
GRANT PROXY
  ON 'front_office'@'localhost'
  TO ''@'%';

使用mysql命令行客户端连接到 MySQL 服务器作为basha。

$> mysql --user=basha --password
Enter password: basha_password (basha LDAP password)

身份验证过程如下：

这表明basha使用了授予代理accounting MySQL 账户的权限，并且代理是通过默认代理用户账户进行的。

现在连接为basil：

$> mysql --user=basil --password
Enter password: basil_password (basil LDAP password)

对basil的身份验证过程类似于之前描述的对basha的身份验证过程：

这表明basil使用了授予代理front_office MySQL 账户的权限，并且代理是通过默认代理用户账户进行的。

如LDAP身份验证与代理中所述，基本的LDAP身份验证代理工作原理是插件使用LDAP服务器返回的第一个组名作为MySQL代理用户账户名称。这是一个简单的能力，不支持指定LDAP服务器返回多个组名时选择哪个组名，也不支持将组名以外的名称作为代理用户名称。

对于使用LDAP身份验证的MySQL账户，可以在身份验证字符串中指定以下信息以启用更高级别的代理灵活性：

请考虑以下MySQL代理账户定义：

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl
  AS '+ou=People,dc=example,dc=com#grp1=usera,grp2,grp3=userc';

身份验证字符串中有一个DN后缀ou=People,dc=example,dc=com，以+字符前缀。因此，如LDAP身份验证DN后缀中所述，完整的用户DN是从指定的用户DN后缀构建的，plus客户端用户名作为uid属性。

身份验证字符串的剩余部分从#开始，这标志着组首选项和映射信息的开始。这部分身份验证字符串按顺序列出组名，如grp1、grp2、grp3。LDAP插件将该列表与LDAP服务器返回的组名集进行比较，按照列表顺序查找匹配项。如果找到匹配项，插件使用第一个匹配项；否则身份验证失败。

假设LDAP服务器返回组grp3、grp2和grp7。LDAP插件使用grp2，因为它是身份验证字符串中第一个匹配的组，即使不是LDAP服务器返回的第一个组。如果LDAP服务器返回grp4、grp2和grp1，插件使用grp1，即使grp2也匹配。因为grp1在身份验证字符串中排列顺序更高于grp2。

假设插件找到组名匹配项，它将对该组名进行映射，以获取MySQL代理用户名称，如果存在。对于示例代理账户，映射如下：

如果LDAP服务器返回一个以DN格式表示的组，LDAP插件将解析组DN以提取组名。

要指定LDAP组优先级和映射信息，这些原则适用：

LDAP身份验证插件允许身份验证字符串提供用户DN信息开始以+前缀字符：

这个账户认证字符串没有+开头，所以它被视为完整的用户DN：

CREATE USER 'baldwin'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=admin,ou=People,dc=example,dc=com';

客户端使用指定在账户中的用户名(baldwin)连接。在这种情况下，这个名称不被使用，因为认证字符串没有前缀，因此完全指定了用户DN。

这个账户认证字符串有+开头，所以它被视为用户DN的一部分：

CREATE USER 'accounting'
  IDENTIFIED WITH authentication_ldap_simple
  AS '+ou=People,dc=example,dc=com';

客户端使用指定在账户中的用户名(accounting），在这种情况下，这个名称被用作uid属性， zusammen mit dem Authentifizierungsstring um den Benutzer-DN zu konstruieren：uid=accounting,ou=People,dc=example,dc=com

前面的示例中，账户都有非空的用户名，因此客户端总是使用在账户定义中指定的名称连接到 MySQL 服务器。如果账户有空的用户名，如 LDAP 插件中描述的默认匿名''@'%'代理账户，客户端可能会以不同的用户名连接到 MySQL 服务器。但是原则是一致的：如果认证字符串以+开头，插件将使用客户端发送的用户名和认证字符串来构建用户 DN。

LDAP 认证插件使用可配置的认证方法。适当的系统变量和可用方法选择是插件特定的：

查看系统变量描述以获取每种允许方法的信息。此外，根据方法，可能需要额外的配置，如下节所述。

Generic Security Service Application Program Interface（GSSAPI）是一种安全抽象接口。Kerberos 是一种特定的安全协议的实例，可以通过该抽象接口使用。使用 GSSAPI，应用程序将身份验证到 Kerberos，以获取服务凭证，然后使用这些凭证来启用对其他服务的安全访问。

一种这样的服务是LDAP，它由客户端和服务器端SASL LDAP身份验证插件使用。当authentication_ldap_sasl_auth_method_name系统变量设置为GSSAPI时，这些插件使用GSSAPI/Kerberos身份验证方法。在这种情况下，插件使用Kerberos安全地通信，而不直接使用LDAP消息。服务器端插件然后与LDAP服务器通信，以解释LDAP身份验证消息和检索LDAP组。

GSSAPI/Kerberos在Linux上支持MySQL服务器和客户端的LDAP身份验证方法。在Linux环境中，应用程序可以通过Microsoft Active Directory访问LDAP，该环境默认启用Kerberos。

以下讨论提供了使用GSSAPI方法的配置要求信息。假设对Kerberos概念和操作有所了解。以下列表简要定义了一些常见的Kerberos术语。你可能还会找到RFC 4120中的Glossary部分有帮助。

使用Kerberos的LDAP身份验证需要同时存在KDC服务器和LDAP服务器。这可以通过以下方式满足：

Kerberos还需要在客户端主机上可用。客户端使用密码与AS联系以获取TGT，然后使用TGT从TGS获取对其他服务（如LDAP）的访问权限。

以下部分讨论了使用GSSAPI/Kerberos进行SASL LDAP身份验证的MySQL配置步骤：

Verify Kerberos and LDAP Availability

以下示例演示了如何测试 Active Directory 中 Kerberos 的可用性。该示例假设：

满足这些假设后，请按照以下步骤进行：

Configure the Server-Side SASL LDAP Authentication Plugin for GSSAPI/Kerberos

假设LDAP服务器通过Kerberos访问，如前所述，配置服务器端SASL LDAP身份验证插件以使用GSSAPI/Kerberos身份验证方法。 (有关一般LDAP插件安装信息，请参阅Installing LDAP Pluggable Authentication。)以下是服务器my.cnf文件可能包含的插件相关设置：

[mysqld]
plugin-load-add=authentication_ldap_sasl.so
authentication_ldap_sasl_auth_method_name="GSSAPI"
authentication_ldap_sasl_server_host=198.51.100.10
authentication_ldap_sasl_server_port=389
authentication_ldap_sasl_bind_root_dn="cn=admin,cn=users,dc=MYSQL,dc=LOCAL"
authentication_ldap_sasl_bind_root_pwd="password"
authentication_ldap_sasl_bind_base_dn="cn=users,dc=MYSQL,dc=LOCAL"
authentication_ldap_sasl_user_search_attr="sAMAccountName"

这些选项文件设置将SASL LDAP插件配置如下：

Create a MySQL Account That Uses GSSAPI/Kerberos for LDAP Authentication

使用 SASL LDAP 认证插件和 GSSAPI/Kerberos 方法的 MySQL 认证基于一个 Kerberos 主要身份。以下讨论使用主主要身份 bredon@MYSQL.LOCAL 作为用户，这个用户必须在多个地方注册：

假设Kerberos主体和LDAP条目已经由相应的服务管理员注册，并且，正如在安装LDAP可插拔身份验证和为GSSAPI/Kerberos配置服务器端SASL LDAP身份验证插件中描述的那样，MySQL服务器已经以适当的配置设置启动了服务器端SASL LDAP插件。然后，MySQL DBA创建一个对应Kerberos主体名称（包括域名）的MySQL账户。

以下语句创建一个名为 bredon@MYSQL.LOCAL 的代理用户，该用户继承了被代理用户 proxied_krb_usr 的权限。其他 GSSAPI/Kerberos 用户可以类似地作为同一被代理用户的代理用户创建。

-- create proxy account
CREATE USER 'bredon@MYSQL.LOCAL'
  IDENTIFIED WITH authentication_ldap_sasl
  BY '#krb_grp=proxied_krb_user';

-- create proxied account and grant its privileges;
-- use mysql_no_login plugin to prevent direct login
CREATE USER 'proxied_krb_user'
  IDENTIFIED WITH mysql_no_login;
GRANT ALL
  ON krb_user_db.*
  TO 'proxied_krb_user';

-- grant to proxy account the
-- PROXY privilege for proxied account
GRANT PROXY
  ON 'proxied_krb_user'
  TO 'bredon@MYSQL.LOCAL';

请注意在第一个CREATE USER语句和GRANT PROXY语句中的代理账户名称引号:

代理账户使用mysql_no_login身份验证插件来防止客户端直接使用账户登录到 MySQL 服务器。相反，期望使用 LDAP 进行身份验证的用户使用bredon@MYSQL.LOCAL代理账户。(假设mysql_no_login插件已安装。请参阅第 8.4.1.9 节，“无登录可插拔身份验证”。)为了保护代理账户免受直接使用的其他方法，请参阅防止代理账户直接登录。

Use the MySQL Account to Connect to the MySQL Server

在设置了使用GSSAPI/Kerberos身份验证的MySQL账户后，客户端可以使用它连接到MySQL服务器。Kerberos身份验证可以在MySQL客户端程序调用前或同时进行：

如果您不确定是否存在TGT，可以使用klist来检查。

身份验证过程如下：

一旦获得TGT，它将在客户端上缓存，并且可以在不需要再次指定密码的情况下使用，直到它过期。无论如何获得TGT，客户端插件都将其用来获取服务票据并与服务器端插件通信。

服务器端插件没有访问TGT本身或用于获得其的Kerberos密码的权限。

LDAP身份验证插件对缓存机制（在本地文件中、内存等）没有控制权，但Kerberos工具，如kswitch，可能可用于此目的。

Client Configuration Parameters for LDAP Authentication

客户端SASL LDAP插件authentication_ldap_sasl_client读取local/etc/krb5.conf文件。如果该文件不存在或不可访问，错误将发生。假设该文件可访问，它可以包含一个可选的[appdefaults]部分，以提供插件使用的信息。在该部分中，信息应该在mysql部分内。例如：

[appdefaults]
  mysql = {
    ldap_server_host = "ldap_host.example.com"
    ldap_destroy_tgt = true
  }

客户端插件在 mysql 部分中识别这些参数：

LDAP 服务器可以配置委派 LDAP 搜索到另一个 LDAP 服务器，这种功能称为 LDAP 引用。假设服务器 a.example.com 持有 "dc=example,dc=com" 根 DN，并想委派搜索到另一个服务器 b.example.com。要启用此功能，a.example.com 将被配置为具有以下属性的命名引用对象：

dn: dc=subtree,dc=example,dc=com
objectClass: referral
objectClass: extensibleObject
dc: subtree
ref: ldap://b.example.com/dc=subtree,dc=example,dc=com

启用LDAP引用时，搜索可能会因LDAP操作错误而失败，当搜索基础DN是根DN且引用对象未设置。MySQL DBA可能想避免LDAP引用错误，以便在LDAP身份验证插件中使用LDAP身份验证，即使LDAP引用已经在ldap.conf配置文件中全局设置。要根据插件来配置LDAP服务器是否在与每个插件通信时使用LDAP引用，可以设置authentication_ldap_simple_referral和authentication_ldap_sasl_referral系统变量。将任何一个变量设置为ON或OFF，使对应的LDAP身份验证插件告诉LDAP服务器是否在MySQL身份验证中使用引用。每个变量都有插件特定的效果，不会影响其他与LDAP服务器通信的应用程序。两个变量默认为OFF。