若要將 LDAP 可插拔驗證用於 MySQL，必須滿足以下先決條件：

本節概述 MySQL 和 LDAP 如何協同運作以驗證 MySQL 使用者。如需顯示如何設定 MySQL 帳戶以使用特定 LDAP 驗證外掛程式的範例，請參閱使用 LDAP 可插拔驗證。有關 LDAP 外掛程式可用的驗證方法資訊，請參閱 LDAP 驗證方法。

用戶端連線到 MySQL 伺服器，並提供 MySQL 用戶端使用者名稱和密碼。

如果用戶端使用者名稱和主機名稱與任何 MySQL 帳戶都不符，則會拒絕連線。

如果有符合的 MySQL 帳戶，則會對 LDAP 進行驗證。LDAP 伺服器會尋找符合使用者的項目，並根據 LDAP 密碼驗證該項目。

如果 LDAP 伺服器找不到任何符合項目或多個符合項目，則驗證失敗並拒絕用戶端連線。

如果 LDAP 伺服器找到單個符合項目，則 LDAP 驗證成功（假設密碼正確），LDAP 伺服器會傳回 LDAP 項目，且驗證外掛程式會根據該項目判斷已驗證使用者的名稱。

MySQL 伺服器會比較用戶端使用者名稱和已驗證的使用者名稱，以判斷是否為用戶端工作階段發生 Proxy。

本節說明如何安裝伺服器端 LDAP 驗證外掛程式。有關安裝外掛程式的一般資訊，請參閱 第 7.6.1 節「安裝和解除安裝外掛程式」。

若要讓伺服器使用，外掛程式程式庫檔案必須位於 MySQL 外掛程式目錄中（由 plugin_dir 系統變數指定的目錄）。如有必要，請在伺服器啟動時設定 plugin_dir 的值來設定外掛程式目錄位置。

伺服器端外掛程式程式庫檔案的基準名稱為 authentication_ldap_simple 和 authentication_ldap_sasl。檔案名稱字尾因平台而異（例如，Unix 和類 Unix 系統的 .so，Windows 的 .dll）。

若要在伺服器啟動時載入外掛程式，請使用 --plugin-load-add 選項來命名包含外掛程式的程式庫檔案。使用此外掛程式載入方法，每次伺服器啟動時都必須指定選項。此外，請指定您想要設定的任何外掛程式提供的系統變數的值。

每個伺服器端 LDAP 外掛程式都會公開一組系統變數，可用於設定其操作。設定其中大部分是選用的，但您必須設定指定 LDAP 伺服器主機的變數（以便外掛程式知道要連線的位置）以及 LDAP 繫結操作的基準識別名稱（以限制搜尋範圍並獲得更快的搜尋速度）。有關所有 LDAP 系統變數的詳細資訊，請參閱 第 8.4.1.13 節「可插拔驗證系統變數」。

若要載入外掛程式並設定 LDAP 伺服器主機和 LDAP 繫結操作的基準識別名稱，請將以下程式碼放入您的 my.cnf 檔案中，並根據您的平台調整 .so 字尾（如有必要）：

[mysqld]
plugin-load-add=authentication_ldap_simple.so
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
plugin-load-add=authentication_ldap_sasl.so
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

修改 my.cnf 後，請重新啟動伺服器以使新的設定生效。

或者，若要在執行階段載入外掛程式，請使用以下陳述式，並根據您的平台調整 .so 副檔名。

INSTALL PLUGIN authentication_ldap_simple
  SONAME 'authentication_ldap_simple.so';
INSTALL PLUGIN authentication_ldap_sasl
  SONAME 'authentication_ldap_sasl.so';

INSTALL PLUGIN 會立即載入外掛程式，並將其註冊到 mysql.plugins 系統資料表中，以便伺服器在每次後續正常啟動時載入它，而無需使用 --plugin-load-add。

在執行階段安裝外掛程式後，它們公開的系統變數會變為可用，您可以將這些變數的設定新增到您的 my.cnf 檔案中，以便在後續重新啟動時設定外掛程式。例如：

[mysqld]
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

修改 my.cnf 後，請重新啟動伺服器以使新的設定生效。

若要在執行階段而非啟動時設定並保留每個值，請使用以下陳述式：

SET PERSIST authentication_ldap_simple_server_host='127.0.0.1';
SET PERSIST authentication_ldap_simple_bind_base_dn='dc=example,dc=com';
SET PERSIST authentication_ldap_sasl_server_host='127.0.0.1';
SET PERSIST authentication_ldap_sasl_bind_base_dn='dc=example,dc=com';

SET PERSIST 會為正在執行的 MySQL 實例設定一個值。它也會儲存該值，使其在後續伺服器重新啟動時仍然存在。若要變更正在執行的 MySQL 實例的值，但不希望在後續重新啟動時保留該值，請使用 GLOBAL 關鍵字，而非 PERSIST。請參閱 第 15.7.6.1 節，「SET 變數賦值的語法」。

若要驗證外掛程式的安裝，請檢查 Information Schema 的 PLUGINS 表格，或使用 SHOW PLUGINS 陳述式 (請參閱 第 7.6.2 節，「取得伺服器外掛程式資訊」)。例如：

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME LIKE '%ldap%';
+----------------------------+---------------+
| PLUGIN_NAME                | PLUGIN_STATUS |
+----------------------------+---------------+
| authentication_ldap_sasl   | ACTIVE        |
| authentication_ldap_simple | ACTIVE        |
+----------------------------+---------------+

如果外掛程式初始化失敗，請檢查伺服器錯誤日誌以尋找診斷訊息。

若要將 MySQL 帳戶與 LDAP 外掛程式建立關聯，請參閱 使用 LDAP 可插拔驗證。

解除安裝 LDAP 驗證外掛程式的方法取決於您安裝它們的方式。

此外，請從您的 my.cnf 檔案中移除任何設定 LDAP 外掛程式相關系統變數的啟動選項。如果您使用 SET PERSIST 來保留 LDAP 系統變數，請使用 RESET PERSIST 來移除這些設定。

對於使用 OpenLDAP 的安裝，ldap.conf 檔案會為 LDAP 用戶端提供全域預設值。可以在此檔案中設定選項來影響 LDAP 用戶端，包括 LDAP 驗證外掛程式。OpenLDAP 會按照以下優先順序使用設定選項：

如果程式庫預設值或 ldap.conf 值沒有產生適當的選項值，則 LDAP 驗證外掛程式或許可以直接設定相關變數來影響 LDAP 設定。例如，LDAP 外掛程式可以覆寫 ldap.conf 的以下參數：

如需有關 ldap.conf 的詳細資訊，請參閱 ldap.conf(5) 手冊頁。

若要讓 MySQL 帳戶使用 LDAP 可插拔驗證連線到 MySQL 伺服器，LDAP 伺服器必須可用且可運作。MySQL 和 LDAP 伺服器之間的互動包含兩個步驟。首先，MySQL 伺服器透過 TCP 建立與 LDAP 伺服器的連線。其次，MySQL 伺服器透過連線將 LDAP 繫結要求傳送給 LDAP 伺服器，並等待回覆，然後再驗證帳戶。如果任何一個步驟失敗，則 MySQL 帳戶無法連線到 MySQL 伺服器。

預設情況下，短時間的逾時 (會覆蓋主機系統的逾時值) 會同時應用於連線和回應步驟。在所有情況下，如果逾時到期，帳戶使用者會收到連線到 MySQL 的嘗試被拒絕的通知。用戶端和伺服器端記錄可以提供額外資訊。在用戶端，設定以下環境變數以提高詳細程度，然後重新啟動 MySQL 用戶端：

AUTHENTICATION_LDAP_CLIENT_LOG=5
export AUTHENTICATION_LDAP_CLIENT_LOG

以下系統變數僅在 Linux 平台上支援基於 SASL 和簡單 LDAP 驗證的預設逾時。

LDAP 驗證的逾時值可以在伺服器啟動時和執行階段調整。如果您使用這些變數之一將逾時設定為零，則您實際上會停用它，並且 MySQL 伺服器會還原為使用主機系統的預設逾時。

本節說明如何啟用 MySQL 帳戶以使用 LDAP 可插拔驗證連線到 MySQL 伺服器。假設伺服器正在執行並已啟用適當的伺服器端外掛程式，如安裝 LDAP 可插拔驗證中所述，並且適當的用戶端外掛程式在用戶端主機上可用。

本節不說明 LDAP 設定或管理。假設您熟悉這些主題。

兩個伺服器端 LDAP 外掛程式分別與特定的用戶端外掛程式搭配使用：

MySQL 使用者 LDAP 驗證的整體需求：

此處的指示假設以下情境：

設定使用 LDAP 驗證的帳戶的指示取決於使用哪個伺服器端 LDAP 外掛程式。以下各節說明數種使用情境。

若要設定 MySQL 帳戶以進行簡單 LDAP 驗證，CREATE USER 陳述式會指定 authentication_ldap_simple 外掛程式，並可選擇性地命名 LDAP 使用者辨別名稱 (DN)。

CREATE USER user
  IDENTIFIED WITH authentication_ldap_simple
  [BY 'LDAP user DN'];

假設 MySQL 使用者 betsy 在 LDAP 目錄中有此項目：

uid=betsy_ldap,ou=People,dc=example,dc=com

那麼，建立 betsy 的 MySQL 帳戶的陳述式如下：

CREATE USER 'betsy'@'localhost'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=betsy_ldap,ou=People,dc=example,dc=com';

BY 子句中指定的驗證字串不包含 LDAP 密碼。該密碼必須由用戶端使用者在連線時提供。

用戶端會透過提供 MySQL 使用者名稱和 LDAP 密碼，並啟用用戶端 mysql_clear_password 外掛程式來連線到 MySQL 伺服器：

$> mysql --user=betsy --password --enable-cleartext-plugin
Enter password: betsy_password (betsy_ldap LDAP password)

驗證過程如下：

如果相符的 LDAP 項目包含群組屬性，則該屬性值將會是已驗證的使用者名稱，且如果該值與 betsy 不同，則會發生 Proxy。如需使用群組屬性的範例，請參閱使用 Proxy 的 LDAP 驗證。

如果 CREATE USER 陳述式未包含指定 betsy_ldap LDAP 識別名稱的 BY 子句，則驗證嘗試會使用用戶端提供的使用者名稱（在此情況下為 betsy）。如果沒有 betsy 的 LDAP 項目，驗證將會失敗。

若要設定用於 SASL LDAP 驗證的 MySQL 帳戶，CREATE USER 陳述式會指定 authentication_ldap_sasl 外掛程式，並且選擇性地命名 LDAP 使用者識別名稱 (DN)。

CREATE USER user
  IDENTIFIED WITH authentication_ldap_sasl
  [BY 'LDAP user DN'];

假設 MySQL 使用者 boris 在 LDAP 目錄中有此項目。

uid=boris_ldap,ou=People,dc=example,dc=com

那麼建立 boris 的 MySQL 帳戶的陳述式如下：

CREATE USER 'boris'@'localhost'
  IDENTIFIED WITH authentication_ldap_sasl
  AS 'uid=boris_ldap,ou=People,dc=example,dc=com';

BY 子句中指定的驗證字串不包含 LDAP 密碼。該密碼必須由用戶端使用者在連線時提供。

用戶端透過提供 MySQL 使用者名稱和 LDAP 密碼來連線至 MySQL 伺服器。

$> mysql --user=boris --password
Enter password: boris_password (boris_ldap LDAP password)

對於伺服器端 authentication_ldap_sasl 外掛程式，用戶端會使用用戶端 authentication_ldap_sasl_client 外掛程式。如果用戶端程式找不到用戶端外掛程式，請指定 --plugin-dir 選項，以命名安裝外掛程式函式庫檔案的目錄。

boris 的驗證過程與先前針對 betsy 使用簡易 LDAP 驗證所述的過程類似，不同之處在於用戶端和伺服器端 SASL LDAP 外掛程式會使用 SASL 訊息，以便在 LDAP 通訊協定中安全地傳輸認證，避免在 MySQL 用戶端和伺服器之間傳送明文密碼。

LDAP 驗證外掛程式支援 Proxy，讓使用者可以以一個使用者的身分連線到 MySQL 伺服器，但同時假設另一個使用者的權限。本節說明基本的 LDAP 外掛程式 Proxy 支援。LDAP 外掛程式也支援指定群組偏好設定和 Proxy 使用者對應；請參閱LDAP 驗證群組偏好設定和對應規格。

此處所述的 Proxy 實作基於使用 LDAP 群組屬性值，以將使用 LDAP 驗證的連線 MySQL 使用者對應至其他定義不同權限集的 MySQL 帳戶。使用者不會直接透過定義權限的帳戶連線。相反地，他們會透過使用 LDAP 驗證的預設 Proxy 帳戶連線，以便將所有外部登入對應至持有權限的 Proxy MySQL 帳戶。使用 Proxy 帳戶連線的任何使用者都會對應至其中一個 Proxy MySQL 帳戶，其權限會決定允許外部使用者執行的資料庫作業。

此處的指示假設以下情境：

建立預設 Proxy MySQL 帳戶

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl;

Proxy 帳戶定義沒有 AS 'auth_string' 子句來命名 LDAP 使用者 DN。因此：

建立 Proxy 帳戶，並向每個帳戶授予它應具有的權限。

CREATE USER 'accounting'@'localhost'
  IDENTIFIED WITH mysql_no_login;
CREATE USER 'front_office'@'localhost'
  IDENTIFIED WITH mysql_no_login;

GRANT ALL PRIVILEGES
  ON accountingdb.*
  TO 'accounting'@'localhost';
GRANT ALL PRIVILEGES
  ON frontdb.*
  TO 'front_office'@'localhost';

Proxy 帳戶使用 mysql_no_login 驗證外掛程式，以防止用戶端使用這些帳戶直接登入 MySQL 伺服器。相反地，使用 LDAP 驗證的使用者應該使用預設 ''@'%' Proxy 帳戶。（這假設已安裝 mysql_no_login 外掛程式。如需說明，請參閱第 8.4.1.9 節，「無登入可插拔驗證」。）如需保護 Proxy 帳戶免於直接使用的替代方法，請參閱防止直接登入 Proxy 帳戶。

向 Proxy 帳戶授予每個 Proxy 帳戶的 PROXY 權限。

GRANT PROXY
  ON 'accounting'@'localhost'
  TO ''@'%';
GRANT PROXY
  ON 'front_office'@'localhost'
  TO ''@'%';

使用 mysql 命令列用戶端以 basha 的身分連線至 MySQL 伺服器。

$> mysql --user=basha --password
Enter password: basha_password (basha LDAP password)

驗證過程如下：

這示範 basha 會使用授予 Proxy accounting MySQL 帳戶的權限，且 Proxy 會透過預設 Proxy 使用者帳戶發生。

現在改以 basil 的身分連線。

$> mysql --user=basil --password
Enter password: basil_password (basil LDAP password)

basil 的驗證過程與先前針對 basha 所述的過程類似。

這示範 basil 會使用授予 Proxy front_office MySQL 帳戶的權限，且 Proxy 會透過預設 Proxy 使用者帳戶發生。

如使用 Proxy 的 LDAP 驗證中所述，基本 LDAP 驗證 Proxy 的運作原理是外掛程式會使用 LDAP 伺服器傳回的第一個群組名稱作為 MySQL Proxy 使用者帳戶名稱。此簡單的功能無法指定在 LDAP 伺服器傳回多個群組名稱時要使用哪個群組名稱的任何偏好設定，也無法指定 Proxy 使用者名稱不是群組名稱的任何名稱。

對於使用 LDAP 驗證的 MySQL 帳戶，驗證字串可以指定以下資訊，以啟用更大的代理彈性：

考慮以下 MySQL 代理帳戶定義：

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl
  AS '+ou=People,dc=example,dc=com#grp1=usera,grp2,grp3=userc';

驗證字串有一個使用者 DN 後綴 ou=People,dc=example,dc=com，並以 + 字元作為前綴。因此，如LDAP 驗證使用者 DN 後綴中所述，完整的使用者 DN 是由指定的使用者 DN 後綴，加上用戶端使用者名稱作為 uid 屬性所構成。

驗證字串的其餘部分以 # 開頭，表示群組偏好和映射資訊的開始。驗證字串的這部分依序列出群組名稱 grp1、grp2、grp3。LDAP 插件會將此列表與 LDAP 伺服器傳回的群組名稱集合進行比較，並依列表順序查找與傳回名稱的匹配項。插件會使用第一個匹配項，如果沒有匹配項，則驗證失敗。

假設 LDAP 伺服器傳回群組 grp3、grp2 和 grp7。LDAP 插件會使用 grp2，因為它是驗證字串中第一個匹配的群組，即使它不是 LDAP 伺服器傳回的第一個群組。如果 LDAP 伺服器傳回 grp4、grp2 和 grp1，插件會使用 grp1，即使 grp2 也匹配。grp1 的優先順序高於 grp2，因為它在驗證字串中較早列出。

假設插件找到群組名稱匹配項，它會執行從該群組名稱到 MySQL 代理使用者名稱的映射（如果有的話）。對於範例代理帳戶，映射如下：

如果 LDAP 伺服器傳回 DN 格式的群組，LDAP 插件會解析群組 DN 以從中提取群組名稱。

要指定 LDAP 群組偏好和映射資訊，請套用以下原則：

LDAP 驗證插件允許提供使用者 DN 資訊的驗證字串以 + 前綴字元開頭：

此帳戶驗證字串的開頭沒有 +，因此會被視為完整的使用者 DN：

CREATE USER 'baldwin'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=admin,ou=People,dc=example,dc=com';

用戶端會使用帳戶中指定的使用者名稱 (baldwin) 連線。在這種情況下，不會使用該名稱，因為驗證字串沒有前綴，因此完整指定了使用者 DN。

此帳戶驗證字串的開頭有 +，因此會被視為使用者 DN 的一部分：

CREATE USER 'accounting'
  IDENTIFIED WITH authentication_ldap_simple
  AS '+ou=People,dc=example,dc=com';

用戶端會使用帳戶中指定的使用者名稱 (accounting) 連線，在此情況下，該名稱會與驗證字串一起作為 uid 屬性，以建構使用者 DN：uid=accounting,ou=People,dc=example,dc=com。

前面範例中的帳戶都有非空的使用者名稱，因此用戶端始終會使用與帳戶定義中指定的相同名稱連線到 MySQL 伺服器。如果帳戶具有空的使用者名稱，例如使用代理的 LDAP 驗證中描述的預設匿名 ''@'%' 代理帳戶，用戶端可能會使用不同的使用者名稱連線到 MySQL 伺服器。但原理相同：如果驗證字串以 + 開頭，則插件會使用用戶端傳送的使用者名稱，並結合驗證字串來建構使用者 DN。

LDAP 驗證插件使用可設定的驗證方法。適當的系統變數和可用的方法選擇是插件特定的。

有關每個允許方法的資訊，請參閱系統變數描述。此外，根據方法的不同，可能需要額外的設定，如下節所述。

通用安全服務應用程式介面 (GSSAPI) 是一種安全性抽象介面。Kerberos 是可以透過該抽象介面使用的特定安全性協定的一個實例。透過 GSSAPI，應用程式會向 Kerberos 驗證以取得服務憑證，然後依次使用這些憑證來啟用對其他服務的安全存取。

其中一個服務是 LDAP，用戶端和伺服器端 SASL LDAP 驗證插件會使用 LDAP。當 authentication_ldap_sasl_auth_method_name 系統變數設定為 GSSAPI 時，這些插件會使用 GSSAPI/Kerberos 驗證方法。在這種情況下，插件會使用 Kerberos 安全地進行通訊，而不會直接使用 LDAP 訊息。然後，伺服器端插件會與 LDAP 伺服器通訊，以解譯 LDAP 驗證訊息並擷取 LDAP 群組。

在 Linux 上，MySQL 伺服器和用戶端支援將 GSSAPI/Kerberos 作為 LDAP 驗證方法。它在應用程式透過 Microsoft Active Directory (預設啟用 Kerberos) 存取 LDAP 的 Linux 環境中非常有用。

以下討論提供了有關使用 GSSAPI 方法的設定需求資訊。假設您熟悉 Kerberos 概念和操作。以下列表簡要定義了幾個常見的 Kerberos 術語。您也可以在 RFC 4120 的詞彙表中找到有用的資訊。

使用 Kerberos 的 LDAP 驗證需要 KDC 伺服器和 LDAP 伺服器。此需求可以用不同的方式滿足。

Kerberos 也必須在用戶端主機上可用。用戶端使用密碼聯絡 AS 以取得 TGT。然後，用戶端使用 TGT 從 TGS 取得對其他服務（例如 LDAP）的存取權。

以下章節討論在 MySQL 中使用 GSSAPI/Kerberos 進行 SASL LDAP 驗證的設定步驟。

驗證 Kerberos 和 LDAP 的可用性

以下範例說明如何測試 Active Directory 中 Kerberos 的可用性。此範例有以下假設：

在滿足這些假設的情況下，請依照以下步驟進行：

為 GSSAPI/Kerberos 設定伺服器端 SASL LDAP 驗證外掛程式

假設 LDAP 伺服器如先前所述可透過 Kerberos 存取，請將伺服器端 SASL LDAP 驗證外掛程式設定為使用 GSSAPI/Kerberos 驗證方法。（如需一般 LDAP 外掛程式安裝資訊，請參閱安裝 LDAP 可插拔驗證。）以下是伺服器 my.cnf 檔案可能包含的外掛程式相關設定範例：

[mysqld]
plugin-load-add=authentication_ldap_sasl.so
authentication_ldap_sasl_auth_method_name="GSSAPI"
authentication_ldap_sasl_server_host=198.51.100.10
authentication_ldap_sasl_server_port=389
authentication_ldap_sasl_bind_root_dn="cn=admin,cn=users,dc=MYSQL,dc=LOCAL"
authentication_ldap_sasl_bind_root_pwd="password"
authentication_ldap_sasl_bind_base_dn="cn=users,dc=MYSQL,dc=LOCAL"
authentication_ldap_sasl_user_search_attr="sAMAccountName"

這些選項檔案設定會將 SASL LDAP 外掛程式設定如下：

建立使用 GSSAPI/Kerberos 進行 LDAP 驗證的 MySQL 帳戶

使用具有 GSSAPI/Kerberos 方法的 SASL LDAP 驗證外掛程式的 MySQL 驗證，是以 Kerberos 主體的使用者為基礎。以下討論使用名為 bredon@MYSQL.LOCAL 的主體作為此使用者，該使用者必須在多個地方註冊。

假設 Kerberos 主體和 LDAP 項目已由適當的服務管理員註冊，並且如先前在 安裝 LDAP 可插拔驗證和 為 GSSAPI/Kerberos 設定伺服器端 SASL LDAP 驗證外掛程式中所述，MySQL 伺服器已使用伺服器端 SASL LDAP 外掛程式的適當設定啟動。然後，MySQL DBA 會建立一個對應於 Kerberos 主體名稱（包括網域名稱）的 MySQL 帳戶。

以下陳述式會建立一個名為 bredon@MYSQL.LOCAL 的代理使用者，該使用者會承擔名為 proxied_krb_usr 的代理使用者的權限。其他應具有相同權限的 GSSAPI/Kerberos 使用者同樣可以建立為同一代理使用者的代理使用者。

-- create proxy account
CREATE USER 'bredon@MYSQL.LOCAL'
  IDENTIFIED WITH authentication_ldap_sasl
  BY '#krb_grp=proxied_krb_user';

-- create proxied account and grant its privileges;
-- use mysql_no_login plugin to prevent direct login
CREATE USER 'proxied_krb_user'
  IDENTIFIED WITH mysql_no_login;
GRANT ALL
  ON krb_user_db.*
  TO 'proxied_krb_user';

-- grant to proxy account the
-- PROXY privilege for proxied account
GRANT PROXY
  ON 'proxied_krb_user'
  TO 'bredon@MYSQL.LOCAL';

請仔細觀察第一個 CREATE USER 陳述式和 GRANT PROXY 陳述式中代理帳戶名稱的引號。

代理帳戶會使用 mysql_no_login 驗證外掛程式，以防止用戶端使用該帳戶直接登入 MySQL 伺服器。而是預期使用 LDAP 進行驗證的使用者會使用 bredon@MYSQL.LOCAL 代理帳戶。（這假設已安裝 mysql_no_login 外掛程式。如需指示，請參閱第 8.4.1.9 節「無登入可插拔驗證」。）如需保護代理帳戶免受直接使用的替代方法，請參閱防止直接登入代理帳戶。

使用 MySQL 帳戶連線至 MySQL 伺服器

在設定好使用 GSSAPI/Kerberos 驗證的 MySQL 帳戶後，用戶端可以使用它來連線至 MySQL 伺服器。Kerberos 驗證可以在 MySQL 用戶端程式叫用之前或當時發生。

如果您不確定是否存在 TGT，可以使用 klist 來檢查。

驗證過程如下：

一旦取得 TGT，它會快取在用戶端，並且可以重複使用，直到它過期，而無需再次指定密碼。無論如何取得 TGT，用戶端外掛程式都會使用它來取得服務票證並與伺服器端外掛程式通訊。

伺服器端外掛程式無法存取 TGT 本身或用於取得 TGT 的 Kerberos 密碼。

LDAP 驗證外掛程式無法控制快取機制 (在本機檔案中、記憶體中等儲存)，但 Kerberos 公用程式 (例如 kswitch) 可能可用於此目的。

LDAP 驗證的用戶端組態參數

authentication_ldap_sasl_client 用戶端 SASL LDAP 外掛程式會讀取本機 /etc/krb5.conf 檔案。如果此檔案遺失或無法存取，則會發生錯誤。假設可以存取該檔案，它可以包含一個可選的 [appdefaults] 區段，以提供外掛程式使用的資訊。將資訊放在區段的 mysql 部分中。例如

[appdefaults]
  mysql = {
    ldap_server_host = "ldap_host.example.com"
    ldap_destroy_tgt = true
  }

用戶端外掛程式會識別 mysql 區段中的這些參數

可以將 LDAP 伺服器設定為將 LDAP 搜尋委派給另一個 LDAP 伺服器，這項功能稱為 LDAP 轉介。假設伺服器 a.example.com 保有 "dc=example,dc=com" 根 DN，並希望將搜尋委派給另一個伺服器 b.example.com。若要啟用此功能，請在 a.example.com 上設定具有這些屬性的具名轉介物件

dn: dc=subtree,dc=example,dc=com
objectClass: referral
objectClass: extensibleObject
dc: subtree
ref: ldap://b.example.com/dc=subtree,dc=example,dc=com

啟用 LDAP 轉介的一個問題是，當搜尋基礎 DN 為根 DN，並且未設定轉介物件時，搜尋可能會因為 LDAP 操作錯誤而失敗。MySQL DBA 可能希望避免 LDAP 驗證外掛程式出現此類轉介錯誤，即使 LDAP 轉介可能是在 ldap.conf 組態檔中全域設定。若要針對每個外掛程式設定 LDAP 伺服器在與每個外掛程式通訊時是否應使用 LDAP 轉介，請設定 authentication_ldap_simple_referral 和 authentication_ldap_sasl_referral 系統變數。將任一變數設定為 ON 或 OFF 會導致對應的 LDAP 驗證外掛程式告知 LDAP 伺服器在 MySQL 驗證期間是否使用轉介。每個變數都有一個外掛程式特定效果，不會影響與 LDAP 伺服器通訊的其他應用程式。兩個變數依預設都是 OFF。