若要對 MySQL 使用 Kerberos 可插拔身份驗證，必須滿足以下先決條件

本節概述 MySQL 和 Kerberos 如何協同運作以驗證 MySQL 使用者。如需顯示如何設定 MySQL 帳戶以使用 Kerberos 身份驗證外掛程式的範例，請參閱使用 Kerberos 可插拔身份驗證。

這裡假設您已熟悉 Kerberos 的概念和運作方式。以下列表簡要定義了幾個常見的 Kerberos 術語。您也可以參考RFC 4120 的詞彙表章節。

使用 Kerberos 進行身份驗證需要 KDC 伺服器，例如 Microsoft Active Directory 提供的伺服器。

MySQL 中的 Kerberos 身份驗證使用通用安全服務應用程式介面 (GSSAPI)，這是一個安全性抽象介面。Kerberos 是可透過該抽象介面使用的特定安全性通訊協定的實例。透過使用 GSSAPI，應用程式會向 Kerberos 進行身份驗證以取得服務憑證，然後輪流使用這些憑證來啟用對其他服務的安全存取。

在 Windows 上，authentication_kerberos_client 身份驗證外掛程式支援兩種模式，用戶端使用者可以在執行階段設定，或在選項檔案中指定。

透過 Kerberos 身份驗證外掛程式，應用程式和 MySQL 伺服器能夠使用 Kerberos 身份驗證通訊協定來相互驗證使用者和 MySQL 服務。這樣一來，使用者和伺服器都能驗證彼此的身份。網路中不會傳送密碼，而 Kerberos 通訊協定訊息會受到保護，以防止竊聽和重播攻擊。

Kerberos 身份驗證遵循以下步驟，其中伺服器端和用戶端部分分別使用 authentication_kerberos 和 authentication_kerberos_client 身份驗證外掛程式執行。

應用程式能夠使用提供的使用者名稱和密碼或使用本機快取的 TGT 或 ST 進行身份驗證（例如，使用 kinit 或類似工具建立）。因此，此設計涵蓋了從完全無使用者且無密碼的連線（從本機儲存的 Kerberos 快取取得 Kerberos 服務票證）到提供使用者名稱和密碼並用於從 KDC 取得有效的 Kerberos 服務票證，並將其傳送至 MySQL 伺服器的連線等使用案例。

如前述說明所示，MySQL Kerberos 身份驗證使用兩種金鑰表檔案

如需金鑰表檔案的相關資訊，請參閱https://web.mit.edu/kerberos/krb5-latest/doc/basic/keytab_def.html。

本節說明如何安裝伺服器端 Kerberos 身份驗證外掛程式。關於安裝外掛程式的一般資訊，請參閱第 7.6.1 節「安裝和解除安裝外掛程式」。

若要讓伺服器可以使用，外掛程式程式庫檔案必須位於 MySQL 外掛程式目錄中（由 plugin_dir 系統變數命名的目錄）。如有必要，請透過在伺服器啟動時設定 plugin_dir 的值來設定外掛程式目錄位置。

伺服器端外掛程式程式庫檔案基本名稱為 authentication_kerberos。Unix 和類 Unix 系統的檔案名稱後綴為 .so。

若要在伺服器啟動時載入外掛程式，請使用 --plugin-load-add 選項來命名包含外掛程式的程式庫檔案。使用此外掛程式載入方法時，每次伺服器啟動時都必須提供選項。此外，請指定您希望設定的任何外掛程式提供的系統變數的值。外掛程式會公開這些系統變數，以啟用其操作的設定。

關於所有 Kerberos 身份驗證系統變數的詳細資訊，請參閱第 8.4.1.13 節「可插拔身份驗證系統變數」。

若要載入外掛程式並設定它，請將如下所示的程式碼行放入您的 my.cnf 檔案中，並使用適合您安裝的系統變數值。

[mysqld]
plugin-load-add=authentication_kerberos.so
authentication_kerberos_service_principal=mysql/krbauth.example.com@MYSQL.LOCAL
authentication_kerberos_service_key_tab=/var/mysql/data/mysql.keytab

修改 my.cnf 後，請重新啟動伺服器，使新設定生效。

或者，若要在執行階段載入外掛程式，請使用此陳述式

INSTALL PLUGIN authentication_kerberos
  SONAME 'authentication_kerberos.so';

INSTALL PLUGIN 會立即載入外掛程式，並將其註冊在 mysql.plugins 系統表中，以使伺服器在後續每次正常啟動時都載入它，而無需 --plugin-load-add。

當您在執行階段安裝外掛程式，而未在 my.cnf 檔案中設定其系統變數時，系統變數 authentication_kerberos_service_key_tab 會設定為資料目錄中 mysql.keytab 的預設值。此系統變數的值無法在執行階段變更，因此如果您需要指定不同的檔案，您需要將設定新增至您的 my.cnf 檔案，然後重新啟動 MySQL 伺服器。例如：

[mysqld]
authentication_kerberos_service_key_tab=/var/mysql/data/mysql.keytab

如果 keytab 檔案不在正確的位置或未包含有效的 SPN 金鑰，MySQL 伺服器不會驗證此情況，但用戶端會傳回驗證錯誤，直到您解決此問題為止。

系統變數 authentication_kerberos_service_principal 可以在執行階段設定和持久化，而無需重新啟動伺服器，方法是使用 SET PERSIST 陳述式。

SET PERSIST authentication_kerberos_service_principal='mysql/krbauth.example.com@MYSQL.LOCAL';

SET PERSIST 會為正在執行的 MySQL 執行個體設定值。它也會儲存該值，使其保留到後續的伺服器重新啟動。若要變更正在執行的 MySQL 執行個體的值，而不使其保留到後續的重新啟動，請使用 GLOBAL 關鍵字，而不是 PERSIST。請參閱 第 15.7.6.1 節「SET 變數指派語法」。

若要驗證外掛程式安裝，請檢查資訊綱要 PLUGINS 表格，或使用 SHOW PLUGINS 陳述式（請參閱 第 7.6.2 節「取得伺服器外掛程式資訊」）。例如：

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME = 'authentication_kerberos';
+-------------------------+---------------+
| PLUGIN_NAME             | PLUGIN_STATUS |
+-------------------------+---------------+
| authentication_kerberos | ACTIVE        |
+-------------------------+---------------+

如果外掛程式無法初始化，請檢查伺服器錯誤記錄檔以取得診斷訊息。

若要將 MySQL 帳戶與 Kerberos 外掛程式建立關聯，請參閱 使用 Kerberos 可插拔驗證。

本節說明如何讓 MySQL 帳戶能夠使用 Kerberos 可插拔驗證連線至 MySQL 伺服器。假設伺服器正在執行伺服器端外掛程式，如 安裝 Kerberos 可插拔驗證 中所述，並且用戶端外掛程式可在用戶端主機上使用。

驗證 Kerberos 可用性

以下範例顯示如何測試 Active Directory 中 Kerberos 的可用性。此範例做出以下假設：

在滿足這些假設條件下，請遵循此程序：

建立使用 Kerberos 驗證的 MySQL 帳戶

使用 authentication_kerberos 驗證外掛程式的 MySQL 驗證是基於 Kerberos 使用者主體名稱 (UPN)。此處的指示假設名為 karl 的 MySQL 使用者使用 Kerberos 驗證至 MySQL，Kerberos 領域名為 MYSQL.LOCAL，且使用者主體名稱為 karl@MYSQL.LOCAL。此 UPN 必須在多個位置註冊：

假設 Kerberos 使用者主體名稱已由適當的服務管理員註冊，並且如先前在 安裝 Kerberos 可插拔驗證 中所述，MySQL 伺服器已使用伺服器端 Kerberos 外掛程式的適當組態設定啟動。若要建立與 user@realm_name 的 Kerberos UPN 對應的 MySQL 帳戶，MySQL DBA 會使用類似以下的陳述式：

CREATE USER user
  IDENTIFIED WITH authentication_kerberos
  BY 'realm_name';

以 user 命名的帳戶可以包含或省略主機名稱部分。如果省略主機名稱，則會像平常一樣預設為 %。realm_name 會儲存為 mysql.user 系統表格中該帳戶的 authentication_string 值。

若要建立與 UPN karl@MYSQL.LOCAL 對應的 MySQL 帳戶，請使用此陳述式：

CREATE USER 'karl'
  IDENTIFIED WITH authentication_kerberos
  BY 'MYSQL.LOCAL';

如果 MySQL 必須建構此帳戶的 UPN，例如，取得或驗證票證（TGT 或 ST），它會藉由結合帳戶名稱（忽略任何主機名稱部分）和領域名稱來執行此操作。例如，前述 CREATE USER 陳述式產生的完整帳戶名稱為 'karl'@'%'。MySQL 會從使用者名稱部分 karl（忽略主機名稱部分）和領域名稱 MYSQL.LOCAL 建構 UPN，以產生 karl@MYSQL.LOCAL。

設定帳戶後，用戶端可以使用它來連線至 MySQL 伺服器。程序取決於用戶端主機執行 Linux 還是 Windows，如下面的討論所示。

authentication_kerberos 的使用受到限制，即不支援具有相同使用者部分但領域部分不同的 UPN。例如，您無法建立與以下這兩個 UPN 對應的 MySQL 帳戶：

kate@MYSQL.LOCAL
kate@EXAMPLE.COM

這兩個 UPN 的使用者部分都是 kate，但在領域部分不同（MYSQL.LOCAL 與 EXAMPLE.COM）。這是被禁止的。

使用 MySQL 帳戶連線至 MySQL 伺服器

在設定使用 Kerberos 驗證的 MySQL 帳戶後，用戶端可以按照以下方式使用它來連線至 MySQL 伺服器：

第一步（驗證至 Kerberos）可以透過各種方式執行：

連線至 MySQL 伺服器的用戶端命令詳細資訊在 Linux 和 Windows 上有所不同，因此會分別討論每種主機類型，但這些命令屬性無論主機類型為何都適用。

Linux 用戶端的連線命令

在 Linux 上，連線至 MySQL 伺服器的適當用戶端命令會有所不同，具體取決於該命令是使用 Kerberos 快取中的 TGT 進行驗證，還是基於 MySQL 使用者名稱和 UPN 密碼的命令選項進行驗證。

如果您不確定是否存在 TGT，可以使用 klist 來檢查。

SSPI 模式中 Windows 用戶端的連線命令

在 Windows 上，使用預設的用戶端外掛程式選項 (SSPI) 時，連線至 MySQL 伺服器的適當用戶端命令會有所不同，具體取決於該命令是基於 MySQL 使用者名稱和 UPN 密碼的命令選項進行驗證，還是改為使用 Windows 記憶體快取中的 TGT。如需 Windows 上 GSSAPI 模式的詳細資訊，請參閱GSSAPI 模式中 Windows 用戶端的命令。

命令可以明確指定 MySQL 使用者名稱和 UPN 密碼的選項，或者該命令可以省略這些選項。

GSSAPI 模式中 Windows 用戶端的連線命令

在 Windows 上，用戶端使用者必須使用 plugin_authentication_kerberos_client_mode 外掛程式選項明確指定 GSSAPI 模式，才能透過 MIT Kerberos 程式庫啟用支援。預設模式為 SSPI (請參閱SSPI 模式中 Windows 用戶端的命令)。

可以指定 GSSAPI 模式。

連線至 MySQL 伺服器的適當用戶端命令會有所不同，具體取決於該命令是使用 MIT Kerberos 快取中的 TGT 進行驗證，還是基於 MySQL 使用者名稱和 UPN 密碼的命令選項進行驗證。透過 Windows 上 MIT 程式庫的 GSSAPI 支援與 Linux 上的 GSSAPI 類似 (請參閱Linux 用戶端的命令)，但以下例外情況除外：

Kerberos 驗證的用戶端組態參數

本節僅適用於執行 Linux 的用戶端主機，不適用於執行 Windows 的用戶端主機。

如果 MySQL 用戶端應用程式調用時不存在有效的票證授予票證 (TGT)，則應用程式本身可能會取得並快取 TGT。如果在 Kerberos 驗證過程中，用戶端應用程式導致快取 TGT，則可以在不再需要後，透過設定適當的組態參數，銷毀任何新增的 TGT。

authentication_kerberos_client 用戶端 Kerberos 外掛程式會讀取本機 /etc/krb5.conf 檔案。如果此檔案遺失或無法存取，則會發生錯誤。假設檔案可存取，它可以包含選用的 [appdefaults] 區段，以提供外掛程式使用的資訊。將資訊放置在區段的 mysql 部分中。例如

[appdefaults]
  mysql = {
    destroy_tickets = true
  }

用戶端外掛程式會識別 mysql 區段中的這些參數

在用戶端主機上，可以使用用戶端金鑰表檔案來取得 TGT 和 TS，而無需提供密碼。有關金鑰表檔案的資訊，請參閱 https://web.mit.edu/kerberos/krb5-latest/doc/basic/keytab_def.html。

AUTHENTICATION_KERBEROS_CLIENT_LOG 環境變數啟用或停用 Kerberos 驗證的偵錯輸出。

在伺服器端，允許的值為 0 (關閉) 和 1 (開啟)。記錄訊息會寫入伺服器錯誤記錄檔，受伺服器錯誤記錄詳細程度的限制。例如，如果您使用基於優先順序的記錄篩選，log_error_verbosity 系統變數會控制詳細程度，如第 7.4.2.5 節「基於優先順序的錯誤記錄篩選 (log_filter_internal)」中所述。

在用戶端，允許的值為 1 到 5，並且會寫入標準錯誤輸出。下表顯示每個記錄層級值的含義。