MySQL 和 LDAP 會協同運作以擷取使用者、認證和群組資訊。如需簡易 LDAP 驗證程序的概觀，請參閱MySQL 使用者的 LDAP 驗證運作方式。若要搭配 MySQL Shell 使用簡易 LDAP 驗證，必須符合下列條件

MySQL Server 能夠接受來自 LDAP 目錄中定義的 MySQL 授與表格外部的使用者的連線。用戶端和伺服器端 SASL LDAP 外掛程式會使用 SASL 訊息，以便在 LDAP 通訊協定內安全傳輸認證 (請參閱使用 LDAP 可外掛驗證)。

對於以 SASL 為基礎的驗證，必須使用 authentication_ldap_sasl 伺服器端外掛程式以及選擇性地使用 MySQL 帳戶對其進行驗證的 LDAP 項目來識別 MySQL 使用者。例如

CREATE USER 'sammy'@'localhost' 
   IDENTIFIED WITH authentication_ldap_sasl
   BY 'uid=sammy_ldap,ou=People,dc=my-domain,dc=com';

authentication_ldap_sasl_client 用戶端外掛程式隨附於 MySQL Server 套件，而非建置於 libmysqlclient 用戶端程式庫中。MySQL Shell 提供持續連線選項 shell.options.mysqlPluginDir，讓您定義所需外掛程式的位置。或者，您可以使用非持續性命令列選項 --mysql-plugin-dir 來覆寫持續性設定。例如，以下命令可讓您在 Linux 主機上，為先前範例中建立的使用者建立全域工作階段

$> mysqlsh sammy@localhost:3308 --mysql-plugin-dir="/usr/local/mysql/lib/plugin"
Please provide the password for 'sammy@localhost:3308': sammy_password (sammy_ldap LDAP password)

如需其他使用範例，請參閱使用 Proxy 的 LDAP 驗證和LDAP 驗證群組喜好設定和對應規格。

MySQL Shell 也支援透過 LDAP SASL 的 Kerberos 驗證。使用一般安全服務應用程式介面 (GSSAPI) 安全抽象化介面，此類型的連線會先向 Kerberos 驗證以取得服務認證，然後接著使用這些認證來啟用對其他服務的安全存取。GSSAPI/Kerberos 僅在 Linux 上支援做為 MySQL 伺服器和 MySQL Shell 的 LDAP 驗證方法。

GSSAPI 程式庫和 Kerberos 服務必須可供 MySQL Server 使用，連線才能成功。請參閱GSSAPI/Kerberos 驗證方法以取得伺服器端組態資訊。

以下一般範例會建立名為 lucy@MYSQL.LOCAL 的 Proxy 使用者，其會假設 Proxy 使用者 proxied_krb_usr 的權限。它會假定網域 MYSQL.LOCAL 已在 /etc/krb5.conf Kerberos 組態檔中進行組態。

CREATE USER 'lucy@MYSQL.LOCAL' 
   IDENTIFIED WITH authentication_ldap_sasl 
   BY '#krb_grp=proxied_krb_user';
CREATE USER 'proxied_krb_user';
GRANT ALL PRIVILEGES ON my_db.* TO 'proxied_krb_user';
GRANT PROXY on 'proxied_krb_user' TO 'lucy@MYSQL.LOCAL';

以下命令可讓您在 Linux 主機上，為先前範例中建立的使用者建立全域工作階段。您必須指定伺服器外掛程式目錄的位置，可以是持續性 shell.options.mysqlPluginDir 連線選項，或非持續性命令選項，例如

$> mysqlsh lucy%40MYSQL.LOCAL:password@localhost:3308/my_db 
--mysql-plugin-dir="/usr/local/mysql/lib/plugin"

在此範例中，百分比編碼 (%40) 會取代主體名稱中保留的 @ 字元，而且 password 是為 MySQL Server 變數 authentication_ldap_sasl_bind_root_pwd 設定的值。如需與透過 LDAP SASL 的 Kerberos 驗證相關的伺服器變數清單，請參閱為 GSSAPI/Kerberos 設定伺服器端 SASL LDAP 驗證外掛程式。

在叫用 MySQL Shell 之前，您可以獨立於 MySQL 從金鑰發佈中心取得和快取票證授予票證。在這種情況下，叫用 MySQL Shell 時請勿指定使用者名稱或密碼選項

$> mysqlsh localhost:3308/my_db --auth-method=authentication_ldap_sasl_client 
--mysql-plugin-dir="/usr/local/mysql/lib/plugin"

當省略使用者認證時，指定 --auth-method=authentication_ldap_sasl_client 選項是必要的。

MySQL Shell 能夠為使用 authentication_kerberos 伺服器端驗證外掛程式的帳戶建立連線，前提是必須有正確的 Kerberos 票證，或可從 Kerberos 取得。從 MySQL Enterprise Edition 8.0.27 開始，在執行 Linux 和 Windows 的主機上提供此功能 (8.0.26 版僅支援 Linux)。如需詳細的設定資訊，請參閱Kerberos 可外掛驗證。

Kerberos 驗證可以結合使用者名稱 (例如，lucy) 和使用者帳戶中指定的網域 (例如，MYSQL.LOCAL)，以建構使用者主體名稱 (UPN)，例如 lucy@MYSQL.LOCAL。若要建立對應於 UPN lucy@MYSQL.LOCAL 的 MySQL 帳戶，請使用此陳述式

CREATE USER 'lucy' 
   IDENTIFIED WITH authentication_kerberos 
   BY 'MYSQL.LOCAL';

用戶端外掛程式會使用 UPN 和密碼來取得票證授予票證 (TGT)，使用 TGT 來取得 MySQL 服務票證 (ST)，並使用 ST 來驗證至 MySQL 伺服器。

以下命令可讓您在 Linux 主機上，為先前範例中建立的使用者建立全域工作階段。您必須指定伺服器外掛程式目錄的位置，可以是持續性 shell.options.mysqlPluginDir 連線選項，或非持續性命令選項，例如

$> mysqlsh lucy:3308 --mysql-plugin-dir="/usr/local/mysql/lib/plugin"
Please provide the password for 'lucy@localhost:3308': UPN_password

在叫用 MySQL Shell 之前，您可以獨立於 MySQL 從金鑰發佈中心取得和快取 TGT。在這種情況下，叫用 MySQL Shell 時請勿指定使用者名稱或密碼選項

$> mysqlsh localhost:3308 --auth-method=authentication_kerberos_client
--mysql-plugin-dir="/usr/local/mysql/lib/plugin"

當省略使用者認證時，指定 --auth-method=authentication_kerberos_client 選項是必要的。

在 Microsoft Windows 平台上，您可以使用 plugin-authentication-kerberos-client-mode 連線選項來定義 Kerberos 用戶端模式，SSPI 或 GSSAPI。此選項可使用以下格式

您也可以在組態檔中指定 plugin-authentication-kerberos-client-mode。如果組態檔中存在此設定，則會將其用作預設值。

如果未定義 plugin-authentication-kerberos-client-mode，則預設會使用 SSPI。

使用 Kerberos 驗證連線至 MySQL 伺服器時，驗證模式的行為如下