客戶端程式和伺服器進行通訊，客戶端會將客戶端使用者名稱（預設為作業系統使用者名稱）和密碼傳送至伺服器

伺服器會根據外部使用者名稱和客戶端連線的主機，找到相符的 MySQL 帳戶。PAM 外掛程式會使用 MySQL Server 傳遞給它的資訊（例如使用者名稱、主機名稱、密碼和驗證字串）。當您定義使用 PAM 進行驗證的 MySQL 帳戶時，驗證字串包含

外掛程式會使用驗證字串中命名的 PAM 服務來檢查使用者憑證，並傳回 '驗證成功，使用者名稱為 user_name' 或 '驗證失敗'。密碼必須適用於 PAM 服務使用的密碼儲存。範例

如果憑證檢查失敗，伺服器會拒絕連線。

否則，驗證字串會指示是否發生 Proxy。如果字串未包含 PAM 群組對應，則不會發生 Proxy。在這種情況下，MySQL 使用者名稱與外部使用者名稱相同。

否則，會根據 PAM 群組對應來指示 Proxy，並根據對應清單中的第一個相符群組來判斷 MySQL 使用者名稱。「PAM 群組」的意義取決於 PAM 服務。範例

如果 Proxy 使用者（外部使用者）具有 Proxy 的 MySQL 使用者名稱的 PROXY 權限，則會發生 Proxy，Proxy 使用者會取得被 Proxy 使用者的權限。

確認 Unix 驗證允許使用使用者名稱 antonio 和密碼 antonio_password 登入作業系統。

設定 PAM 以透過建立名為 /etc/pam.d/mysql-unix 的 mysql-unix PAM 服務檔案，使用傳統 Unix 密碼驗證 MySQL 連線。檔案內容與系統相關，因此請檢查 /etc/pam.d 目錄中現有的登入相關檔案，以了解它們的外觀。在 Linux 上，mysql-unix 檔案可能如下所示

#%PAM-1.0
auth            include         password-auth
account         include         password-auth

對於 macOS，請使用 login 而不是 password-auth。

在某些系統上，PAM 檔案格式可能不同。例如，在 Ubuntu 和其他基於 Debian 的系統上，請改為使用以下檔案內容

@include common-auth
@include common-account
@include common-session-noninteractive

建立一個與作業系統使用者名稱相同的 MySQL 帳號，並將其定義為使用 PAM 外掛程式和 mysql-unix PAM 服務進行驗證

CREATE USER 'antonio'@'localhost'
  IDENTIFIED WITH authentication_pam
  AS 'mysql-unix';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'antonio'@'localhost';

在這裡，驗證字串僅包含 PAM 服務名稱 mysql-unix，它會驗證 Unix 密碼。

使用 mysql 命令列用戶端，以 antonio 身分連線到 MySQL 伺服器。例如

$> mysql --user=antonio --password --enable-cleartext-plugin
Enter password: antonio_password

伺服器應允許連線，且以下查詢會傳回如所示的輸出

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+-------------------+--------------+
| USER()            | CURRENT_USER()    | @@proxy_user |
+-------------------+-------------------+--------------+
| antonio@localhost | antonio@localhost | NULL         |
+-------------------+-------------------+--------------+

這說明 antonio 作業系統使用者已通過驗證，具有授予 antonio MySQL 使用者的權限，且未發生 Proxy 作業。

確認 Unix 驗證允許使用使用者名稱 antonio 和密碼 antonio_password 登入作業系統。

設定 PAM 以透過建立名為 /etc/pam.d/mysql-ldap 的 mysql-ldap PAM 服務檔案，使用 LDAP 驗證 MySQL 連線。檔案內容與系統相關，因此請檢查 /etc/pam.d 目錄中現有的登入相關檔案，以了解它們的外觀。在 Linux 上，mysql-ldap 檔案可能如下所示

#%PAM-1.0
auth        required    pam_ldap.so
account     required    pam_ldap.so

如果您的系統上的 PAM 物件檔案具有與 .so 不同的尾碼，請替換為正確的尾碼。

在某些系統上，PAM 檔案格式可能不同。

建立一個與作業系統使用者名稱相同的 MySQL 帳號，並將其定義為使用 PAM 外掛程式和 mysql-ldap PAM 服務進行驗證

CREATE USER 'antonio'@'localhost'
  IDENTIFIED WITH authentication_pam
  AS 'mysql-ldap';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'antonio'@'localhost';

在這裡，驗證字串僅包含 PAM 服務名稱 mysql-ldap，它會使用 LDAP 進行驗證。

連線至伺服器的操作與 不使用 Proxy 使用者的 PAM Unix 密碼驗證中所述相同。

確認 Unix 驗證允許使用使用者名稱 antonio 和密碼 antonio_password 登入作業系統。

確認 antonio 是 root 或 users PAM 群組的成員。

設定 PAM 以透過建立名為 /etc/pam.d/mysql-unix 的檔案，透過作業系統使用者驗證 mysql-unix PAM 服務。檔案內容與系統相關，因此請檢查 /etc/pam.d 目錄中現有的登入相關檔案，以了解它們的外觀。在 Linux 上，mysql-unix 檔案可能如下所示

#%PAM-1.0
auth            include         password-auth
account         include         password-auth

對於 macOS，請使用 login 而不是 password-auth。

在某些系統上，PAM 檔案格式可能不同。例如，在 Ubuntu 和其他基於 Debian 的系統上，請改為使用以下檔案內容

@include common-auth
@include common-account
@include common-session-noninteractive

建立將外部 PAM 使用者對應到 Proxy 帳號的預設 Proxy 使用者 (''@'')

CREATE USER ''@''
  IDENTIFIED WITH authentication_pam
  AS 'mysql-unix, root=developer, users=data_entry';

在這裡，驗證字串包含 PAM 服務名稱 mysql-unix，它會驗證 Unix 密碼。驗證字串也會將 root 和 users PAM 群組中的外部使用者分別對應到 developer 和 data_entry MySQL 使用者名稱。

設定 Proxy 使用者時，必須使用 PAM 服務名稱後的 PAM 群組對應清單。否則，外掛程式無法判斷如何將外部使用者名稱對應到正確的 Proxy MySQL 使用者名稱。

建立 Proxy 帳號，並將應具有的權限授予每個帳號

CREATE USER 'developer'@'localhost'
  IDENTIFIED WITH mysql_no_login;
CREATE USER 'data_entry'@'localhost'
  IDENTIFIED WITH mysql_no_login;

GRANT ALL PRIVILEGES
  ON mydevdb.*
  TO 'developer'@'localhost';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'data_entry'@'localhost';

Proxy 帳號使用 mysql_no_login 驗證外掛程式，以防止用戶端使用這些帳號直接登入 MySQL 伺服器。相反地，使用 PAM 驗證的使用者預期會根據其 PAM 群組，透過 Proxy 使用 developer 或 data_entry 帳號。(假設已安裝此外掛程式。如需相關指示，請參閱 第 8.4.1.9 節，「無登入可插入式驗證」。) 如需保護 Proxy 帳號免於直接使用的其他方法，請參閱 防止直接登入 Proxy 帳號。

授予每個被代理帳戶的代理帳戶 PROXY 權限

GRANT PROXY
  ON 'developer'@'localhost'
  TO ''@'';
GRANT PROXY
  ON 'data_entry'@'localhost'
  TO ''@'';

使用 mysql 命令列客戶端，以 antonio 身分連線到 MySQL 伺服器。

$> mysql --user=antonio --password --enable-cleartext-plugin
Enter password: antonio_password

伺服器使用預設的 ''@'' 代理帳戶驗證連線。 antonio 的結果權限取決於 antonio 所屬的 PAM 群組。如果 antonio 是 root PAM 群組的成員，PAM 外掛程式會將 root 對應到 developer MySQL 使用者名稱，並將該名稱返回給伺服器。伺服器會驗證 ''@'' 是否擁有 developer 的 PROXY 權限，並允許連線。以下查詢會傳回如下所示的輸出

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+---------------------+--------------+
| USER()            | CURRENT_USER()      | @@proxy_user |
+-------------------+---------------------+--------------+
| antonio@localhost | developer@localhost | ''@''        |
+-------------------+---------------------+--------------+

這表示已驗證 antonio 作業系統使用者擁有授予 developer MySQL 使用者的權限，並且代理是透過預設代理帳戶進行。

如果 antonio 不是 root PAM 群組的成員，而是 users PAM 群組的成員，則會發生類似的流程，但外掛程式會將 user PAM 群組成員資格對應到 data_entry MySQL 使用者名稱，並將該名稱返回給伺服器。

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+----------------------+--------------+
| USER()            | CURRENT_USER()       | @@proxy_user |
+-------------------+----------------------+--------------+
| antonio@localhost | data_entry@localhost | ''@''        |
+-------------------+----------------------+--------------+

這表示已驗證 antonio 作業系統使用者擁有 data_entry MySQL 使用者的權限，並且代理是透過預設代理帳戶進行。