客户端程序和服务器之间进行通信，客户端向服务器发送客户端用户名称（默认为操作系统用户名称）和密码：

服务器根据外部用户名称和客户端连接的主机找到一个匹配的MySQL账户。PAM插件使用MySQL Server提供的信息（如用户名称、主机名、密码和认证字符串）。当您为MySQL账户定义一个使用PAM进行认证时，认证字符串包含：

插件使用认证字符串中指定的PAM服务来检查用户凭据，并返回'认证成功，用户名为user_name'或'认证失败'。密码必须适用于由PAM服务使用的密码存储器。示例：

如果凭据检查失败，服务器拒绝连接。

否则，认证字符串指示是否发生代理。如果字符串中没有PAM组映射，代理不发生。这种情况下，MySQL用户名称与外部用户名称相同。

否则，根据PAM组映射进行代理，以确定基于第一个匹配的组在映射列表中的MySQL用户名称。"PAM组"的含义取决于PAM服务。示例：

如果代理用户（外部用户）具有对被代理MySQL用户名称的PROXY特权，代理发生，并且代理用户假设被代理用户的权限。

验证Unix身份验证是否允许使用用户名antonio和密码antonio_password登录操作系统。

通过创建一个名为/etc/pam.d/mysql-unix的mysql-unix PAM服务文件，设置PAM以使用传统的Unix密码验证MySQL连接。文件内容取决于系统，因此请检查/etc/pam.d目录中现有的与登录相关的文件，以了解它们的外观。在Linux上，mysql-unix文件可能如下所示：

#%PAM-1.0
auth            include         password-auth
account         include         password-auth

对于macOS，请使用login而不是password-auth。

在某些系统上，PAM文件格式可能有所不同。例如，在Ubuntu和其他基于Debian的系统上，请改用以下文件内容：

@include common-auth
@include common-account
@include common-session-noninteractive

创建一个与操作系统用户名相同的MySQL帐户，并将其定义为使用PAM插件和mysql-unix PAM服务进行身份验证：

CREATE USER 'antonio'@'localhost'
  IDENTIFIED WITH authentication_pam
  AS 'mysql-unix';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'antonio'@'localhost';

在这里，身份验证字符串仅包含PAM服务名称mysql-unix，它用于验证Unix密码。

使用mysql命令行客户端以antonio身份连接到MySQL服务器。例如：

$> mysql --user=antonio --password --enable-cleartext-plugin
Enter password: antonio_password

服务器应允许连接，以下查询返回如下所示的输出：

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+-------------------+--------------+
| USER()            | CURRENT_USER()    | @@proxy_user |
+-------------------+-------------------+--------------+
| antonio@localhost | antonio@localhost | NULL         |
+-------------------+-------------------+--------------+

这表明antonio操作系统用户已通过身份验证，拥有授予antonio MySQL用户的权限，并且没有发生代理。

验证操作系统用户名为antonio，密码为antonio_密码的Unix认证是否允许登录。

创建一个名为/etc/pam.d/mysql-ldap的PAM服务文件来为MySQL连接使用LDAP进行认证。该文件内容取决于系统，因此请检查/etc/pam.d目录中的现有登录相关文件，以了解它们是什么样子。在Linux上，mysql-ldap文件可能看起来像这样：

#%PAM-1.0
auth        required    pam_ldap.so
account     required    pam_ldap.so

如果PAM对象文件的后缀与.so不同于您的系统，请替换正确的后缀。

PAM文件格式可能在某些系统上有所不同。

使用与操作系统用户名相同的MySQL账户，并将其定义为使用PAM插件和mysql-ldapPAM服务进行身份验证：

CREATE USER 'antonio'@'localhost'
  IDENTIFIED WITH authentication_pam
  AS 'mysql-ldap';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'antonio'@'localhost';

这里，认证字符串仅包含PAM服务名称mysql-ldap，它使用LDAP进行身份验证。

连接到服务器与在PAM Unix Password Authentication without Proxy Users中描述的相同。

验证操作系统中用户名为antonio，密码为antonio_password的登录是否被允许。

验证antonio是PAM组root或users的成员。

将PAM配置为通过操作系统用户认证mysql-unixPAM服务，创建名为/etc/pam.d/mysql-unix的文件。该文件内容因系统而异，因此请查看/etc/pam.d目录中的登录相关文件以了解其格式。在Linux上，mysql-unix文件可能看起来像这样：

#%PAM-1.0
auth            include         password-auth
account         include         password-auth

在macOS上，请使用login而不是password-auth。

PAM文件格式可能在某些系统上有所不同。例如，在Ubuntu和其他基于Debian的系统上，使用以下内容代替：

@include common-auth
@include common-account
@include common-session-noninteractive

创建一个默认代理用户（''@''），将外部PAM用户映射到代理账户：

CREATE USER ''@''
  IDENTIFIED WITH authentication_pam
  AS 'mysql-unix, root=developer, users=data_entry';

这里，认证字符串包含PAM服务名称mysql-unix，它使用Unix密码进行身份验证。认证字符串还将root和usersPAM组的外部用户映射到MySQL账户developer和data_entry，分别。

在设置代理用户时，PAM组映射列表是必需的。否则，插件无法确定如何将外部用户名映射到适当的代理MySQL用户名。

创建代理账户并为每个账户授予其应有的权限：

CREATE USER 'developer'@'localhost'
  IDENTIFIED WITH mysql_no_login;
CREATE USER 'data_entry'@'localhost'
  IDENTIFIED WITH mysql_no_login;

GRANT ALL PRIVILEGES
  ON mydevdb.*
  TO 'developer'@'localhost';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'data_entry'@'localhost';

代理账户使用mysql_no_login认证插件来防止客户端直接使用这些账户登录到MySQL服务器。相反，通过PAM进行身份验证的用户被期望使用developer或data_entry账户作为代理，以基于其PAM组的方式。（假设插件已安装。有关说明，请参阅Section 8.4.1.9, “No-Login Pluggable Authentication”。）为了防止代理账户直接使用的替代方法，请参阅Preventing Direct Login to Proxied Accounts。

为每个代理账户授予PROXY权限：

GRANT PROXY
  ON 'developer'@'localhost'
  TO ''@'';
GRANT PROXY
  ON 'data_entry'@'localhost'
  TO ''@'';

使用mysql命令行客户端连接到MySQL服务器作为antonio。

$> mysql --user=antonio --password --enable-cleartext-plugin
Enter password: antonio_password

服务器使用默认的 ''@'' 代理账户来验证连接。对于 antonio，其权限取决于它是哪些 PAM 组的成员。如果 antonio 是 root PAM 组的成员，PAM 插件将 root 映射到 MySQL 用户名 developer 并将该名称返回给服务器。服务器验证 ''@'' 对 developer 有 PROXY 权限，并允许连接。以下查询返回显示如下：

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+---------------------+--------------+
| USER()            | CURRENT_USER()      | @@proxy_user |
+-------------------+---------------------+--------------+
| antonio@localhost | developer@localhost | ''@''        |
+-------------------+---------------------+--------------+

这表明操作系统用户 antonio 已经被授权拥有 developer MySQL 用户的权限，并且通过默认代理账户进行了代理。

如果 antonio 不是 root PAM 组的成员但是在 users PAM 组中，类似的过程会发生，但插件将 user PAM 组成员资格映射到 MySQL 用户名 data_entry 并返回该名称给服务器：

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+----------------------+--------------+
| USER()            | CURRENT_USER()       | @@proxy_user |
+-------------------+----------------------+--------------+
| antonio@localhost | data_entry@localhost | ''@''        |
+-------------------+----------------------+--------------+

这表明操作系统用户 antonio 已经被授权拥有 data_entry MySQL 用户的权限，并且通过默认代理账户进行了代理。