若要使用 MySQL 的 LDAP 可插拔驗證，必須滿足這些先決條件

本節概述 MySQL 和 LDAP 如何協同工作以驗證 MySQL 使用者。如需範例，說明如何設定 MySQL 帳戶以使用特定的 LDAP 驗證外掛程式，請參閱使用 LDAP 可插拔驗證。有關 LDAP 外掛程式可用的驗證方法的資訊，請參閱LDAP 驗證方法。

用戶端連線到 MySQL 伺服器，並提供 MySQL 用戶端使用者名稱和密碼

如果用戶端使用者名稱和主機名稱與任何 MySQL 帳戶都不符，則會拒絕連線。

如果存在相符的 MySQL 帳戶，則會針對 LDAP 進行驗證。LDAP 伺服器會尋找符合該使用者的項目，並根據 LDAP 密碼驗證該項目

如果 LDAP 伺服器找不到相符項目或找到多個相符項目，則驗證會失敗，且會拒絕用戶端連線。

如果 LDAP 伺服器找到單一相符項目，則 LDAP 驗證成功（假設密碼正確），LDAP 伺服器會傳回 LDAP 項目，並且驗證外掛程式會根據該項目決定已驗證使用者的名稱

MySQL 伺服器會將用戶端使用者名稱與已驗證的使用者名稱進行比較，以判斷是否對用戶端工作階段進行 Proxy

本節說明如何安裝伺服器端 LDAP 驗證外掛程式。有關安裝外掛程式的一般資訊，請參閱第 7.6.1 節「安裝和解除安裝外掛程式」。

若要讓伺服器可以使用，外掛程式程式庫檔案必須位於 MySQL 外掛程式目錄中（由 plugin_dir 系統變數命名的目錄）。如有必要，請在伺服器啟動時設定 plugin_dir 的值來設定外掛程式目錄位置。

伺服器端外掛程式程式庫檔案基本名稱為 authentication_ldap_simple 和 authentication_ldap_sasl。檔案名稱後綴因平台而異（例如，Unix 和類 Unix 系統的 .so，Windows 的 .dll）。

若要在伺服器啟動時載入外掛程式，請使用 --plugin-load-add 選項來命名包含它們的程式庫檔案。使用此外掛程式載入方法，每次伺服器啟動時都必須提供選項。此外，請為您想要設定的任何外掛程式提供的系統變數指定值。

每個伺服器端 LDAP 外掛程式都會公開一組系統變數，以啟用其操作的設定。設定其中大多數是可選的，但您必須設定指定 LDAP 伺服器主機的變數（以便外掛程式知道要連線的位置）和 LDAP 繫結操作的基準識別名稱（以限制搜尋範圍並獲得更快的搜尋速度）。有關所有 LDAP 系統變數的詳細資訊，請參閱第 8.4.1.12 節「可插拔驗證系統變數」。

若要載入外掛程式並設定 LDAP 伺服器主機和用於 LDAP 繫結操作的基礎識別名稱，請在您的 my.cnf 檔案中放入類似以下的行，並根據您的平台調整 .so 後綴

[mysqld]
plugin-load-add=authentication_ldap_simple.so
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
plugin-load-add=authentication_ldap_sasl.so
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

修改 my.cnf 後，重新啟動伺服器以使新設定生效。

或者，若要在執行時載入外掛程式，請使用以下陳述式，並根據您的平台調整 .so 後綴

INSTALL PLUGIN authentication_ldap_simple
  SONAME 'authentication_ldap_simple.so';
INSTALL PLUGIN authentication_ldap_sasl
  SONAME 'authentication_ldap_sasl.so';

INSTALL PLUGIN 會立即載入外掛程式，並將其註冊在 mysql.plugins 系統表格中，以使伺服器在每次後續正常啟動時載入它，而無需使用 --plugin-load-add。

在執行時安裝外掛程式後，它們公開的系統變數會變成可用，您可以將這些變數的設定新增至您的 my.cnf 檔案中，以便為後續重新啟動配置外掛程式。例如

[mysqld]
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

修改 my.cnf 後，重新啟動伺服器以使新設定生效。

若要在執行時而非在啟動時設定並保留每個值，請使用以下陳述式

SET PERSIST authentication_ldap_simple_server_host='127.0.0.1';
SET PERSIST authentication_ldap_simple_bind_base_dn='dc=example,dc=com';
SET PERSIST authentication_ldap_sasl_server_host='127.0.0.1';
SET PERSIST authentication_ldap_sasl_bind_base_dn='dc=example,dc=com';

SET PERSIST 會為執行中的 MySQL 實例設定一個值。它也會儲存該值，使其能延續到後續的伺服器重新啟動。若要變更執行中 MySQL 實例的值，而不使其延續到後續的重新啟動，請使用 GLOBAL 關鍵字，而非 PERSIST。請參閱第 15.7.6.1 節，「設定變數的 SET 語法」。

若要驗證外掛程式安裝，請檢查資訊綱要 PLUGINS 表格或使用 SHOW PLUGINS 陳述式（請參閱第 7.6.2 節，「取得伺服器外掛程式資訊」）。例如

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME LIKE '%ldap%';
+----------------------------+---------------+
| PLUGIN_NAME                | PLUGIN_STATUS |
+----------------------------+---------------+
| authentication_ldap_sasl   | ACTIVE        |
| authentication_ldap_simple | ACTIVE        |
+----------------------------+---------------+

如果外掛程式初始化失敗，請檢查伺服器錯誤日誌中是否有診斷訊息。

若要將 MySQL 帳戶與 LDAP 外掛程式建立關聯，請參閱使用 LDAP 可插拔驗證。

解除安裝 LDAP 驗證外掛程式的方法取決於您安裝它們的方式

此外，請從您的 my.cnf 檔案中移除任何設定與 LDAP 外掛程式相關系統變數的啟動選項。如果您使用 SET PERSIST 來保留 LDAP 系統變數，請使用 RESET PERSIST 來移除這些設定。

對於使用 OpenLDAP 的安裝，ldap.conf 檔案會為 LDAP 用戶端提供全域預設值。您可以在此檔案中設定選項，以影響 LDAP 用戶端，包括 LDAP 驗證外掛程式。OpenLDAP 會依以下優先順序使用組態選項

如果程式庫預設值或 ldap.conf 值無法產生適當的選項值，則 LDAP 驗證外掛程式或許能夠設定相關的變數，以直接影響 LDAP 組態。例如，LDAP 外掛程式可以覆寫 ldap.conf 中的以下參數

如需有關 ldap.conf 的更多資訊，請參閱 ldap.conf(5) 手冊頁。

為了使 MySQL 帳戶使用 LDAP 可插拔驗證連線至 MySQL 伺服器，LDAP 伺服器必須可用且正常運作。MySQL 和 LDAP 伺服器之間的互動包含兩個步驟。首先，MySQL 伺服器會透過 TCP 建立與 LDAP 伺服器的連線。其次，MySQL 伺服器會透過連線將 LDAP 繫結要求傳送至 LDAP 伺服器，並等待回覆，然後驗證帳戶。如果任何一個步驟失敗，MySQL 帳戶都無法連線至 MySQL 伺服器。

依預設，會將短時間的逾時套用至連線和回應步驟，而覆蓋主機系統的逾時值。在所有情況下，如果逾時到期，帳戶使用者都會收到其嘗試連線至 MySQL 的要求遭到拒絕的通知。用戶端和伺服器端記錄可以提供其他資訊。在用戶端，請設定以下環境變數以提高詳細等級，然後重新啟動 MySQL 用戶端

AUTHENTICATION_LDAP_CLIENT_LOG=5
export AUTHENTICATION_LDAP_CLIENT_LOG

以下系統變數僅在 Linux 平台上支援基於 SASL 和簡單 LDAP 驗證的預設逾時。

LDAP 驗證的逾時值可以在伺服器啟動時和執行時調整。如果您使用其中一個變數將逾時設定為零，您實際上會取消啟用它，而 MySQL 伺服器會還原為使用主機系統的預設逾時。

本節說明如何使 MySQL 帳戶能夠使用 LDAP 可插拔驗證連線至 MySQL 伺服器。假設伺服器正在執行時已啟用適當的伺服器端外掛程式，如安裝 LDAP 可插拔驗證中所述，並且在用戶端主機上提供了適當的用戶端外掛程式。

本節不說明 LDAP 組態或管理。假設您熟悉這些主題。

兩個伺服器端 LDAP 外掛程式各自與一個特定的用戶端外掛程式搭配運作

MySQL 使用者 LDAP 驗證的整體需求

此處的指示假設以下情境

設定使用 LDAP 驗證的帳戶的指示取決於使用的伺服器端 LDAP 外掛程式。以下各節說明幾種使用案例。

若要為簡單 LDAP 驗證配置 MySQL 帳戶，CREATE USER 陳述式會指定 authentication_ldap_simple 外掛程式，並可選擇性地命名 LDAP 使用者識別名稱 (DN)

CREATE USER user
  IDENTIFIED WITH authentication_ldap_simple
  [BY 'LDAP user DN'];

假設 MySQL 使用者 betsy 在 LDAP 目錄中有此項目

uid=betsy_ldap,ou=People,dc=example,dc=com

然後建立 betsy 的 MySQL 帳戶的陳述式如下所示

CREATE USER 'betsy'@'localhost'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=betsy_ldap,ou=People,dc=example,dc=com';

在 BY 子句中指定的驗證字串不包含 LDAP 密碼。該密碼必須由客戶端使用者在連線時提供。

客戶端透過提供 MySQL 使用者名稱和 LDAP 密碼，並啟用客戶端 mysql_clear_password 外掛程式來連線至 MySQL 伺服器。

$> mysql --user=betsy --password --enable-cleartext-plugin
Enter password: betsy_password (betsy_ldap LDAP password)

驗證過程如下：

如果比對的 LDAP 條目包含群組屬性，則該屬性值會是已驗證的使用者名稱，且如果該值與 betsy 不同，則會發生 Proxy。如需使用群組屬性的範例，請參閱使用 Proxy 的 LDAP 驗證。

如果 CREATE USER 陳述式不包含 BY 子句來指定 betsy_ldap LDAP 識別名稱，則驗證嘗試會使用客戶端提供的使用者名稱（在此例中為 betsy）。在沒有 betsy 的 LDAP 條目的情況下，驗證將會失敗。

若要設定用於 SASL LDAP 驗證的 MySQL 帳戶，CREATE USER 陳述式會指定 authentication_ldap_sasl 外掛程式，並選擇性地命名 LDAP 使用者的識別名稱 (DN)。

CREATE USER user
  IDENTIFIED WITH authentication_ldap_sasl
  [BY 'LDAP user DN'];

假設 MySQL 使用者 boris 在 LDAP 目錄中有這個條目：

uid=boris_ldap,ou=People,dc=example,dc=com

那麼，建立 boris 的 MySQL 帳戶的陳述式看起來像這樣：

CREATE USER 'boris'@'localhost'
  IDENTIFIED WITH authentication_ldap_sasl
  AS 'uid=boris_ldap,ou=People,dc=example,dc=com';

在 BY 子句中指定的驗證字串不包含 LDAP 密碼。該密碼必須由客戶端使用者在連線時提供。

客戶端透過提供 MySQL 使用者名稱和 LDAP 密碼來連線至 MySQL 伺服器。

$> mysql --user=boris --password
Enter password: boris_password (boris_ldap LDAP password)

對於伺服器端 authentication_ldap_sasl 外掛程式，客戶端會使用客戶端 authentication_ldap_sasl_client 外掛程式。如果客戶端程式找不到客戶端外掛程式，請指定 --plugin-dir 選項，以指定安裝外掛程式程式庫檔案的目錄。

boris 的驗證過程與先前描述的 betsy 使用簡單 LDAP 驗證的過程類似，只是客戶端和伺服器端 SASL LDAP 外掛程式會使用 SASL 訊息，以便在 LDAP 通訊協定內安全地傳輸認證，以避免在 MySQL 客戶端和伺服器之間傳送明文密碼。

LDAP 驗證外掛程式支援 Proxy，讓使用者能夠以一個使用者身分連線至 MySQL 伺服器，但承擔不同使用者的權限。本節說明基本的 LDAP 外掛程式 Proxy 支援。LDAP 外掛程式也支援指定群組喜好設定和 Proxy 使用者對應；請參閱LDAP 驗證群組喜好設定和對應規格。

此處描述的 Proxy 實作是以使用 LDAP 群組屬性值為基礎，將使用 LDAP 驗證的連線 MySQL 使用者對應到定義不同權限集的其他 MySQL 帳戶。使用者不會透過定義權限的帳戶直接連線。相反地，他們會透過使用 LDAP 驗證的預設 Proxy 帳戶連線，以便將所有外部登入對應到擁有權限的 Proxy MySQL 帳戶。使用 Proxy 帳戶連線的任何使用者都會對應到其中一個 Proxy MySQL 帳戶，其權限決定了外部使用者允許的資料庫操作。

此處的指示假設以下情境

建立預設 Proxy MySQL 帳戶：

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl;

Proxy 帳戶定義沒有 AS 'auth_string' 子句來命名 LDAP 使用者 DN。因此：

建立 Proxy 帳戶，並授予每個帳戶應具有的權限：

CREATE USER 'accounting'@'localhost'
  IDENTIFIED WITH mysql_no_login;
CREATE USER 'front_office'@'localhost'
  IDENTIFIED WITH mysql_no_login;

GRANT ALL PRIVILEGES
  ON accountingdb.*
  TO 'accounting'@'localhost';
GRANT ALL PRIVILEGES
  ON frontdb.*
  TO 'front_office'@'localhost';

Proxy 帳戶使用 mysql_no_login 驗證外掛程式，以防止客戶端使用這些帳戶直接登入 MySQL 伺服器。相反地，使用 LDAP 驗證的使用者應使用預設的 ''@'%' Proxy 帳戶。（這假設已安裝 mysql_no_login 外掛程式。如需說明，請參閱第 8.4.1.8 節，「無登入可插拔驗證」。）如需保護 Proxy 帳戶免受直接使用的其他方法，請參閱防止直接登入 Proxy 帳戶。

授予 Proxy 帳戶每個 Proxy 帳戶的 PROXY 權限：

GRANT PROXY
  ON 'accounting'@'localhost'
  TO ''@'%';
GRANT PROXY
  ON 'front_office'@'localhost'
  TO ''@'%';

使用 mysql 命令列用戶端，以 basha 身分連線至 MySQL 伺服器。

$> mysql --user=basha --password
Enter password: basha_password (basha LDAP password)

驗證過程如下：

這表示 basha 使用授予 Proxy accounting MySQL 帳戶的權限，並且透過預設 Proxy 使用者帳戶進行 Proxy。

現在以 basil 身分連線：

$> mysql --user=basil --password
Enter password: basil_password (basil LDAP password)

basil 的驗證過程與先前描述的 basha 類似：

這表示 basil 使用授予 Proxy front_office MySQL 帳戶的權限，並且透過預設 Proxy 使用者帳戶進行 Proxy。

如使用代理的 LDAP 驗證中所述，基本的 LDAP 驗證代理運作原理是外掛程式使用 LDAP 伺服器傳回的第一個群組名稱作為 MySQL 代理使用者帳戶名稱。這種簡單的功能無法指定偏好使用哪個群組名稱 (如果 LDAP 伺服器傳回多個群組名稱)，或指定群組名稱以外的任何名稱作為代理使用者名稱。

對於使用 LDAP 驗證的 MySQL 帳戶，驗證字串可以指定以下資訊，以實現更大的代理彈性：

請考慮以下 MySQL 代理帳戶定義：

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl
  AS '+ou=People,dc=example,dc=com#grp1=usera,grp2,grp3=userc';

驗證字串具有使用者 DN 字尾 ou=People,dc=example,dc=com，並以 + 字元作為前綴。因此，如LDAP 驗證使用者 DN 字尾中所述，完整的使用者 DN 是由指定的使用者 DN 字尾，加上用戶端使用者名稱作為 uid 屬性所建構的。

驗證字串的其餘部分以 # 開頭，表示群組偏好和對應資訊的開始。驗證字串的這部分依序列出群組名稱 grp1、grp2、grp3。LDAP 外掛程式會將該清單與 LDAP 伺服器傳回的群組名稱集合進行比較，依清單順序尋找與傳回名稱相符的項目。外掛程式會使用第一個相符的項目，如果沒有相符的項目，驗證將會失敗。

假設 LDAP 伺服器傳回群組 grp3、grp2 和 grp7。LDAP 外掛程式會使用 grp2，因為它是驗證字串中第一個相符的群組，即使它不是 LDAP 伺服器傳回的第一個群組。如果 LDAP 伺服器傳回 grp4、grp2 和 grp1，外掛程式會使用 grp1，即使 grp2 也符合。 grp1 的優先順序高於 grp2，因為它在驗證字串中列在較早的位置。

假設外掛程式找到群組名稱的相符項，它會執行從該群組名稱到 MySQL 代理使用者名稱的對應 (如果有的話)。對於範例代理帳戶，對應方式如下：

如果 LDAP 伺服器傳回 DN 格式的群組，LDAP 外掛程式會剖析群組 DN，從中提取群組名稱。

若要指定 LDAP 群組偏好和對應資訊，這些原則適用：

LDAP 驗證外掛程式允許提供使用者 DN 資訊的驗證字串以 + 前綴字元開頭。

此帳戶驗證字串的開頭沒有 +，因此會被視為完整的使用者 DN：

CREATE USER 'baldwin'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=admin,ou=People,dc=example,dc=com';

用戶端會使用帳戶中指定的使用者名稱 (baldwin) 連線。在此情況下，不會使用該名稱，因為驗證字串沒有前綴，因此完整指定了使用者 DN。

此帳戶驗證字串的開頭確實有 +，因此它只會被視為使用者 DN 的一部分：

CREATE USER 'accounting'
  IDENTIFIED WITH authentication_ldap_simple
  AS '+ou=People,dc=example,dc=com';

用戶端會使用帳戶中指定的使用者名稱 (accounting) 連線，在此情況下，該名稱會用作 uid 屬性，並與驗證字串一起建構使用者 DN：uid=accounting,ou=People,dc=example,dc=com。

在上述範例中的帳戶都具有非空的使用者名稱，因此用戶端始終使用帳戶定義中指定的相同名稱連線到 MySQL 伺服器。如果帳戶具有空的使用者名稱，例如使用代理的 LDAP 驗證中所述的預設匿名 ''@'%' 代理帳戶，則用戶端可能會使用不同的使用者名稱連線到 MySQL 伺服器。但原理是相同的：如果驗證字串以 + 開頭，外掛程式會使用用戶端傳送的使用者名稱以及驗證字串來建構使用者 DN。

LDAP 驗證外掛程式使用可設定的驗證方法。適當的系統變數和可用的方法選擇是外掛程式專有的。

請參閱系統變數描述，以取得有關每個允許方法的資訊。此外，根據不同的方法，可能需要額外的設定，如下列各節所述。

通用安全性服務應用程式介面 (GSSAPI) 是一種安全性抽象介面。Kerberos 是可透過該抽象介面使用的特定安全性協定的一個實例。使用 GSSAPI，應用程式會驗證 Kerberos 以取得服務認證，然後依次使用這些認證來啟用對其他服務的安全存取。

其中一項服務是 LDAP，客戶端和伺服器端 SASL LDAP 驗證外掛程式都會使用它。當 authentication_ldap_sasl_auth_method_name 系統變數設定為 GSSAPI 時，這些外掛程式會使用 GSSAPI/Kerberos 驗證方法。在這種情況下，外掛程式會使用 Kerberos 安全地通訊，而不會直接使用 LDAP 訊息。伺服器端外掛程式接著會與 LDAP 伺服器通訊，以解譯 LDAP 驗證訊息並擷取 LDAP 群組。

GSSAPI/Kerberos 支援作為 Linux 上 MySQL 伺服器和用戶端的 LDAP 驗證方法。它在應用程式可透過 Microsoft Active Directory 存取 LDAP 的 Linux 環境中很有用，Active Directory 預設已啟用 Kerberos。

以下討論提供有關使用 GSSAPI 方法的組態需求資訊。假設您已熟悉 Kerberos 的概念和運作方式。以下清單簡要定義了幾個常見的 Kerberos 術語。您也可以參考 RFC 4120 的詞彙表部分。

使用 Kerberos 的 LDAP 驗證需要 KDC 伺服器和 LDAP 伺服器。此需求可以透過不同的方式滿足。

Kerberos 也必須在用戶端主機上可用。用戶端使用密碼聯絡 AS 以取得 TGT。然後用戶端使用 TGT 從 TGS 取得對其他服務（例如 LDAP）的存取權。

以下章節討論在 MySQL 中使用 GSSAPI/Kerberos 進行 SASL LDAP 驗證的組態步驟。

驗證 Kerberos 和 LDAP 的可用性

以下範例顯示如何測試 Active Directory 中 Kerberos 的可用性。此範例做出以下假設：

在滿足這些假設的情況下，請依照下列步驟操作：

設定伺服器端 SASL LDAP 驗證外掛程式以使用 GSSAPI/Kerberos

假設 LDAP 伺服器如前述透過 Kerberos 存取，請設定伺服器端 SASL LDAP 驗證外掛程式以使用 GSSAPI/Kerberos 驗證方法。（如需一般 LDAP 外掛程式安裝資訊，請參閱安裝 LDAP 外掛程式驗證。）以下是伺服器 my.cnf 檔案可能包含的外掛程式相關設定範例：

[mysqld]
plugin-load-add=authentication_ldap_sasl.so
authentication_ldap_sasl_auth_method_name="GSSAPI"
authentication_ldap_sasl_server_host=198.51.100.10
authentication_ldap_sasl_server_port=389
authentication_ldap_sasl_bind_root_dn="cn=admin,cn=users,dc=MYSQL,dc=LOCAL"
authentication_ldap_sasl_bind_root_pwd="password"
authentication_ldap_sasl_bind_base_dn="cn=users,dc=MYSQL,dc=LOCAL"
authentication_ldap_sasl_user_search_attr="sAMAccountName"

這些選項檔案設定會將 SASL LDAP 外掛程式設定如下：

建立使用 GSSAPI/Kerberos 進行 LDAP 驗證的 MySQL 帳戶

使用具有 GSSAPI/Kerberos 方法的 SASL LDAP 驗證外掛程式進行 MySQL 驗證，是根據一個身為 Kerberos 主體的使用者。以下討論使用名為 bredon@MYSQL.LOCAL 的主體作為此使用者，該使用者必須在多個地方註冊。

假設 Kerberos 主體和 LDAP 項目已由適當的服務管理員註冊，並且如先前在 安裝 LDAP 外掛程式驗證和 設定伺服器端 SASL LDAP 驗證外掛程式以使用 GSSAPI/Kerberos 中所述，MySQL 伺服器已使用適用於伺服器端 SASL LDAP 外掛程式的適當組態設定啟動。然後 MySQL DBA 會建立一個對應於 Kerberos 主體名稱（包含網域名稱）的 MySQL 帳戶。

以下陳述式會建立一個名為 bredon@MYSQL.LOCAL 的代理使用者，該使用者會承擔名為 proxied_krb_usr 的受代理使用者的權限。同樣地，其他應具有相同權限的 GSSAPI/Kerberos 使用者可以建立為同一個受代理使用者的代理使用者。

-- create proxy account
CREATE USER 'bredon@MYSQL.LOCAL'
  IDENTIFIED WITH authentication_ldap_sasl
  BY '#krb_grp=proxied_krb_user';

-- create proxied account and grant its privileges;
-- use mysql_no_login plugin to prevent direct login
CREATE USER 'proxied_krb_user'
  IDENTIFIED WITH mysql_no_login;
GRANT ALL
  ON krb_user_db.*
  TO 'proxied_krb_user';

-- grant to proxy account the
-- PROXY privilege for proxied account
GRANT PROXY
  ON 'proxied_krb_user'
  TO 'bredon@MYSQL.LOCAL';

請仔細觀察第一個 CREATE USER 陳述式和 GRANT PROXY 陳述式中代理帳戶名稱的引號。

被代理的帳戶使用 mysql_no_login 驗證外掛程式，以防止用戶直接使用該帳戶登入 MySQL 伺服器。相反地，預期使用 LDAP 驗證的使用者會使用 bredon@MYSQL.LOCAL 代理帳戶。(這假設已安裝 mysql_no_login 外掛程式。有關說明，請參閱第 8.4.1.8 節，「無登入可插拔驗證」。) 如需保護被代理帳戶免受直接使用的其他方法，請參閱防止直接登入被代理帳戶。

使用 MySQL 帳戶連線至 MySQL 伺服器

在設定好使用 GSSAPI/Kerberos 驗證的 MySQL 帳戶後，用戶端可以使用該帳戶連線至 MySQL 伺服器。Kerberos 驗證可以在 MySQL 用戶端程式啟動之前或啟動時進行

如果您不確定是否存在 TGT，可以使用 klist 來檢查。

驗證過程如下：

TGT 一旦取得就會在用戶端快取，並且可以重複使用，直到過期，而無需再次指定密碼。無論 TGT 如何取得，用戶端外掛程式都會使用它來取得服務票證，並與伺服器端外掛程式進行通訊。

伺服器端外掛程式無法存取 TGT 本身或用於取得 TGT 的 Kerberos 密碼。

LDAP 驗證外掛程式無法控制快取機制（儲存在本機檔案、記憶體等中），但 Kerberos 公用程式 (例如 kswitch) 可能可用於此目的。

LDAP 驗證的用戶端組態參數

authentication_ldap_sasl_client 用戶端 SASL LDAP 外掛程式會讀取本機 /etc/krb5.conf 檔案。如果此檔案遺失或無法存取，則會發生錯誤。假設檔案可存取，則它可以包含一個可選的 [appdefaults] 區段，以提供外掛程式使用的資訊。將資訊放在區段的 mysql 部分內。例如

[appdefaults]
  mysql = {
    ldap_server_host = "ldap_host.example.com"
    ldap_destroy_tgt = true
  }

用戶端外掛程式會識別 mysql 區段中的這些參數

可以將 LDAP 伺服器設定為將 LDAP 搜尋委派給另一個 LDAP 伺服器，此功能稱為 LDAP 轉介。假設伺服器 a.example.com 保留 "dc=example,dc=com" 根 DN，並且想要將搜尋委派給另一個伺服器 b.example.com。為了啟用此功能，a.example.com 將設定為具有這些屬性的具名轉介物件

dn: dc=subtree,dc=example,dc=com
objectClass: referral
objectClass: extensibleObject
dc: subtree
ref: ldap://b.example.com/dc=subtree,dc=example,dc=com

啟用 LDAP 轉介的一個問題是，當搜尋基本 DN 是根 DN 且未設定轉介物件時，搜尋可能會因 LDAP 作業錯誤而失敗。即使 LDAP 轉介可能在 ldap.conf 組態檔案中全域設定，MySQL DBA 也可能希望避免 LDAP 驗證外掛程式發生此類轉介錯誤。若要針對外掛程式特定地組態 LDAP 伺服器在與每個外掛程式通訊時是否應使用 LDAP 轉介，請設定 authentication_ldap_simple_referral 和 authentication_ldap_sasl_referral 系統變數。將任一變數設定為 ON 或 OFF 會導致對應的 LDAP 驗證外掛程式告知 LDAP 伺服器在 MySQL 驗證期間是否使用轉介。每個變數都有外掛程式特定的效果，並且不會影響與 LDAP 伺服器通訊的其他應用程式。預設情況下，兩個變數都為 OFF。