若要將 Kerberos 可插拔式身份驗證用於 MySQL，必須符合以下必要條件

本節概述 MySQL 和 Kerberos 如何協同運作以驗證 MySQL 使用者。如需範例說明如何設定 MySQL 帳戶以使用 Kerberos 驗證外掛程式，請參閱使用 Kerberos 可插拔驗證。

此處假設您熟悉 Kerberos 的概念和操作。以下列表簡要定義了幾個常見的 Kerberos 術語。您可能也會發現 RFC 4120 的詞彙表章節很有幫助。

使用 Kerberos 進行驗證需要 KDC 伺服器，例如，由 Microsoft Active Directory 提供。

MySQL 中的 Kerberos 驗證使用通用安全性服務應用程式介面 (GSSAPI)，這是一個安全性抽象介面。Kerberos 是可以透過該抽象介面使用的特定安全性協定的實例。透過 GSSAPI，應用程式向 Kerberos 驗證以取得服務憑證，然後依次使用這些憑證來啟用對其他服務的安全存取。

在 Windows 上，authentication_kerberos_client 驗證外掛程式支援兩種模式，用戶端使用者可以在執行階段設定或在選項檔案中指定

使用 Kerberos 驗證外掛程式，應用程式和 MySQL 伺服器可以使用 Kerberos 驗證協定來相互驗證使用者和 MySQL 服務。這樣，使用者和伺服器都能夠驗證彼此的身份。密碼不會透過網路傳送，並且 Kerberos 協定訊息會受到保護，避免竊聽和重播攻擊。

Kerberos 驗證遵循以下步驟，其中伺服器端和用戶端部分分別使用 authentication_kerberos 和 authentication_kerberos_client 驗證外掛程式執行

應用程式可以使用提供的使用者名稱和密碼，或使用本機快取的 TGT 或 ST（例如，使用 kinit 或類似工具建立）進行驗證。因此，此設計涵蓋從完全無使用者且無需密碼的連線（其中從本機儲存的 Kerberos 快取取得 Kerberos 服務票證）到同時提供使用者名稱和密碼，並使用其從 KDC 取得有效的 Kerberos 服務票證以傳送至 MySQL 伺服器的連線的各種使用案例。

如前述說明所示，MySQL Kerberos 驗證使用兩種金鑰表檔案

有關金鑰表檔案的資訊，請參閱 https://web.mit.edu/kerberos/krb5-latest/doc/basic/keytab_def.html。

本節說明如何安裝伺服器端 Kerberos 驗證外掛程式。有關安裝外掛程式的一般資訊，請參閱第 7.6.1 節「安裝和解除安裝外掛程式」。

若要讓伺服器可以使用該外掛程式，外掛程式程式庫檔案必須位於 MySQL 外掛程式目錄中（由 plugin_dir 系統變數命名的目錄）。如有必要，請在伺服器啟動時設定 plugin_dir 的值來設定外掛程式目錄位置。

伺服器端外掛程式程式庫檔案的基本名稱為 authentication_kerberos。Unix 和類 Unix 系統的檔案名稱後綴為 .so。

若要在伺服器啟動時載入外掛程式，請使用 --plugin-load-add 選項來命名包含它的程式庫檔案。使用此外掛程式載入方法時，每次伺服器啟動時都必須提供該選項。此外，請指定您要設定的任何外掛程式提供的系統變數的值。外掛程式會公開這些系統變數，以設定其操作

有關所有 Kerberos 驗證系統變數的詳細資訊，請參閱第 8.4.1.12 節「可插拔驗證系統變數」。

若要載入外掛程式並設定它，請將以下行放入您的 my.cnf 檔案中，並使用適合您安裝的系統變數值

[mysqld]
plugin-load-add=authentication_kerberos.so
authentication_kerberos_service_principal=mysql/krbauth.example.com@MYSQL.LOCAL
authentication_kerberos_service_key_tab=/var/mysql/data/mysql.keytab

修改 my.cnf 後，重新啟動伺服器以使新設定生效。

或者，若要在執行階段載入外掛程式，請使用此語句

INSTALL PLUGIN authentication_kerberos
  SONAME 'authentication_kerberos.so';

INSTALL PLUGIN 會立即載入外掛程式，並將其註冊到 mysql.plugins 系統表格中，以使伺服器在每次後續正常啟動時載入它，而無需使用 --plugin-load-add。

當您在執行階段安裝外掛程式，而未在 my.cnf 檔案中設定其系統變數時，系統變數 authentication_kerberos_service_key_tab 會設定為資料目錄中 mysql.keytab 的預設值。此系統變數的值無法在執行階段變更，因此如果您需要指定其他檔案，則需要在您的 my.cnf 檔案中新增設定，然後重新啟動 MySQL 伺服器。例如

[mysqld]
authentication_kerberos_service_key_tab=/var/mysql/data/mysql.keytab

如果金鑰表檔案不在正確的位置或不包含有效的 SPN 金鑰，MySQL 伺服器不會驗證此情況，但用戶端會傳回驗證錯誤，直到您修正問題為止。

系統變數 authentication_kerberos_service_principal 可以在執行階段設定並保存，而無需重新啟動伺服器，方法是使用 SET PERSIST 語句

SET PERSIST authentication_kerberos_service_principal='mysql/krbauth.example.com@MYSQL.LOCAL';

SET PERSIST 會為正在執行的 MySQL 執行個體設定值。它也會儲存該值，使其可延續至後續的伺服器重新啟動。若要變更正在執行的 MySQL 執行個體的值，而不使其延續至後續重新啟動，請使用 GLOBAL 關鍵字，而不是 PERSIST。請參閱第 15.7.6.1 節「SET 變數賦值的語法」。

若要驗證外掛程式安裝，請檢查資訊綱要 PLUGINS 表格或使用 SHOW PLUGINS 語句（請參閱第 7.6.2 節「取得伺服器外掛程式資訊」）。例如

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME = 'authentication_kerberos';
+-------------------------+---------------+
| PLUGIN_NAME             | PLUGIN_STATUS |
+-------------------------+---------------+
| authentication_kerberos | ACTIVE        |
+-------------------------+---------------+

如果外掛程式無法初始化，請檢查伺服器錯誤記錄檔是否有診斷訊息。

若要將 MySQL 帳戶與 Kerberos 外掛程式關聯，請參閱使用 Kerberos 可插拔驗證。

本節說明如何啟用 MySQL 帳戶以使用 Kerberos 可插拔驗證連線至 MySQL 伺服器。假設伺服器正在執行，並且已啟用伺服器端外掛程式，如安裝 Kerberos 可插拔驗證中所述，且用戶端外掛程式在用戶端主機上可用。

驗證 Kerberos 可用性

以下範例展示如何在 Active Directory 中測試 Kerberos 的可用性。此範例做出以下假設

在滿足這些假設的條件下，請依照以下步驟

建立使用 Kerberos 驗證的 MySQL 帳戶

使用 authentication_kerberos 驗證外掛程式的 MySQL 驗證，是基於 Kerberos 使用者主體名稱 (UPN)。此處的說明假設名為 karl 的 MySQL 使用者使用 Kerberos 向 MySQL 進行驗證，Kerberos 領域名為 MYSQL.LOCAL，並且使用者主體名稱為 karl@MYSQL.LOCAL。此 UPN 必須在多個位置註冊

假設 Kerberos 使用者主體名稱已由適當的服務管理員註冊，並且如先前在安裝 Kerberos 可插拔驗證中所述，MySQL 伺服器已使用伺服器端 Kerberos 外掛程式的適當設定啟動。若要建立與 UPN 為 user@realm_name 的 Kerberos 對應的 MySQL 帳戶，MySQL DBA 會使用如下的陳述式

CREATE USER user
  IDENTIFIED WITH authentication_kerberos
  BY 'realm_name';

由 user 命名的帳戶可以包含或省略主機名稱部分。如果省略主機名稱，則預設為 %，與往常一樣。realm_name 會以 mysql.user 系統資料表中帳戶的 authentication_string 值儲存。

若要建立對應於 UPN karl@MYSQL.LOCAL 的 MySQL 帳戶，請使用此陳述式

CREATE USER 'karl'
  IDENTIFIED WITH authentication_kerberos
  BY 'MYSQL.LOCAL';

如果 MySQL 必須為此帳戶建構 UPN（例如，取得或驗證票證 (TGT 或 ST)），則會結合帳戶名稱（忽略任何主機名稱部分）和領域名稱。例如，從上述 CREATE USER 陳述式產生的完整帳戶名稱為 'karl'@'%'。MySQL 會從使用者名稱部分 karl（忽略主機名稱部分）和領域名稱 MYSQL.LOCAL 建構 UPN，以產生 karl@MYSQL.LOCAL。

設定好帳戶後，用戶端可以使用它來連線到 MySQL 伺服器。此程序取決於用戶端主機執行 Linux 還是 Windows，如下面的討論所示。

authentication_kerberos 的使用受限於不支援具有相同使用者部分但不同領域部分的 UPN。例如，您無法建立對應於這兩個 UPN 的 MySQL 帳戶

kate@MYSQL.LOCAL
kate@EXAMPLE.COM

這兩個 UPN 的使用者部分都是 kate，但在領域部分有所不同（MYSQL.LOCAL 與 EXAMPLE.COM）。這是被禁止的。

使用 MySQL 帳戶連線到 MySQL 伺服器

在設定好使用 Kerberos 驗證的 MySQL 帳戶後，用戶端可以按照以下步驟使用它來連線到 MySQL 伺服器

第一步（向 Kerberos 驗證）可以透過多種方式執行

用於連線到 MySQL 伺服器的用戶端命令詳細資料在 Linux 和 Windows 上有所不同，因此每個主機類型都會分別討論，但這些命令屬性無論主機類型為何都適用

Linux 用戶端的連線命令

在 Linux 上，用於連線到 MySQL 伺服器的適當用戶端命令會因命令是使用來自 Kerberos 快取的 TGT 驗證，還是基於 MySQL 使用者名稱和 UPN 密碼的命令選項驗證而有所不同

如果您不確定是否存在 TGT，可以使用 klist 來檢查。

SSPI 模式下 Windows 用戶端的連線命令

在 Windows 上，使用預設的用戶端外掛程式選項 (SSPI)，連線到 MySQL 伺服器的適當用戶端命令會因命令是根據 MySQL 使用者名稱和 UPN 密碼的命令選項進行身份驗證，還是改為使用 Windows 記憶體快取中的 TGT 而有所不同。關於 Windows 上 GSSAPI 模式的詳細資訊，請參閱GSSAPI 模式下 Windows 用戶端的命令。

命令可以明確指定 MySQL 使用者名稱和 UPN 密碼的選項，也可以省略這些選項。

GSSAPI 模式下 Windows 用戶端的連線命令

在 Windows 上，用戶端使用者必須使用 plugin_authentication_kerberos_client_mode 外掛程式選項明確指定 GSSAPI 模式，以透過 MIT Kerberos 程式庫啟用支援。預設模式為 SSPI（請參閱SSPI 模式下 Windows 用戶端的命令）。

可以指定 GSSAPI 模式。

連線到 MySQL 伺服器的適當用戶端命令會因命令是使用 MIT Kerberos 快取中的 TGT 進行身份驗證，還是根據 MySQL 使用者名稱和 UPN 密碼的命令選項進行身份驗證而有所不同。透過 Windows 上的 MIT 程式庫對 GSSAPI 的支援與 Linux 上的 GSSAPI 類似（請參閱Linux 用戶端的命令），但有以下例外情況：

Kerberos 身份驗證的用戶端組態參數

本節僅適用於執行 Linux 的用戶端主機，不適用於執行 Windows 的用戶端主機。

如果叫用 MySQL 用戶端應用程式時沒有有效的票證授權票證 (TGT)，應用程式本身可能會取得並快取 TGT。如果在 Kerberos 身份驗證過程中，用戶端應用程式導致 TGT 被快取，則在不再需要任何這類新增的 TGT 後，可以透過設定適當的組態參數來銷毀它。

authentication_kerberos_client 用戶端 Kerberos 外掛程式會讀取本機 /etc/krb5.conf 檔案。如果此檔案遺失或無法存取，則會發生錯誤。假設檔案可以存取，它可以包含選用的 [appdefaults] 區段來提供外掛程式使用的資訊。將資訊放置在區段的 mysql 部分中。例如：

[appdefaults]
  mysql = {
    destroy_tickets = true
  }

用戶端外掛程式會辨識 mysql 區段中的這些參數。

在用戶端主機上，可以使用用戶端金鑰表檔案來取得 TGT 和 TS，而無需提供密碼。如需金鑰表檔案的相關資訊，請參閱https://web.mit.edu/kerberos/krb5-latest/doc/basic/keytab_def.html。

AUTHENTICATION_KERBEROS_CLIENT_LOG 環境變數會啟用或停用 Kerberos 身份驗證的偵錯輸出。

在伺服器端，允許的值為 0（關閉）和 1（開啟）。記錄訊息會寫入伺服器錯誤記錄，但須視伺服器錯誤記錄詳細程度而定。例如，如果您正在使用以優先順序為基礎的記錄篩選，則log_error_verbosity系統變數會控制詳細程度，如第 7.4.2.5 節「以優先順序為基礎的錯誤記錄篩選 (log_filter_internal)」中所述。

在用戶端，允許的值為 1 到 5，並會寫入標準錯誤輸出。下表顯示每個記錄層級值的意義。