客戶端程式和伺服器進行通訊，客戶端將客戶端使用者名稱（預設為作業系統使用者名稱）和密碼傳送到伺服器

伺服器會根據外部使用者名稱和客戶端連線的主機尋找符合的 MySQL 帳戶。PAM 外掛程式會使用 MySQL Server 傳遞給它的資訊（例如使用者名稱、主機名稱、密碼和驗證字串）。當您定義使用 PAM 驗證的 MySQL 帳戶時，驗證字串會包含

外掛程式會使用驗證字串中命名的 PAM 服務來檢查使用者憑證，並傳回 '驗證成功，使用者名稱為 user_name' 或 '驗證失敗'。密碼必須適用於 PAM 服務使用的密碼儲存區。範例

如果憑證檢查失敗，伺服器會拒絕連線。

否則，驗證字串會指出是否發生 Proxy。如果字串不包含 PAM 群組映射，則不會發生 Proxy。在此情況下，MySQL 使用者名稱與外部使用者名稱相同。

否則，會根據 PAM 群組映射來指出 Proxy，並根據映射清單中第一個相符的群組來判斷 MySQL 使用者名稱。「“PAM 群組”」的意義取決於 PAM 服務。範例

如果 Proxy 使用者（外部使用者）具有被 Proxy 的 MySQL 使用者名稱的 PROXY 權限，則會發生 Proxy，Proxy 使用者會取得被 Proxy 使用者的權限。

確認 Unix 身份驗證允許使用使用者名稱 antonio 和密碼 antonio_password 登入作業系統。

透過建立名為 /etc/pam.d/mysql-unix 的 mysql-unix PAM 服務檔案，設定 PAM 使用傳統的 Unix 密碼來驗證 MySQL 連線。檔案內容取決於系統，因此請檢查 /etc/pam.d 目錄中現有的登入相關檔案，以了解它們的外觀。在 Linux 上，mysql-unix 檔案可能看起來像這樣

#%PAM-1.0
auth            include         password-auth
account         include         password-auth

對於 macOS，請使用 login 而不是 password-auth。

在某些系統上，PAM 檔案格式可能不同。例如，在 Ubuntu 和其他基於 Debian 的系統上，請改為使用以下檔案內容

@include common-auth
@include common-account
@include common-session-noninteractive

建立一個與作業系統使用者名稱具有相同使用者名稱的 MySQL 帳戶，並將其定義為使用 PAM 外掛程式和 mysql-unix PAM 服務進行驗證

CREATE USER 'antonio'@'localhost'
  IDENTIFIED WITH authentication_pam
  AS 'mysql-unix';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'antonio'@'localhost';

在這裡，身份驗證字串僅包含 PAM 服務名稱 mysql-unix，該名稱會驗證 Unix 密碼。

使用 mysql 命令列用戶端以 antonio 的身分連線到 MySQL 伺服器。例如

$> mysql --user=antonio --password --enable-cleartext-plugin
Enter password: antonio_password

伺服器應允許連線，並且以下查詢會傳回如下所示的輸出

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+-------------------+--------------+
| USER()            | CURRENT_USER()    | @@proxy_user |
+-------------------+-------------------+--------------+
| antonio@localhost | antonio@localhost | NULL         |
+-------------------+-------------------+--------------+

這證明 antonio 作業系統使用者已通過驗證，可以擁有授予 antonio MySQL 使用者的權限，並且沒有發生任何代理。

確認 Unix 身份驗證允許使用使用者名稱 antonio 和密碼 antonio_password 登入作業系統。

透過建立名為 /etc/pam.d/mysql-ldap 的 mysql-ldap PAM 服務檔案，設定 PAM 使用 LDAP 來驗證 MySQL 連線。檔案內容取決於系統，因此請檢查 /etc/pam.d 目錄中現有的登入相關檔案，以了解它們的外觀。在 Linux 上，mysql-ldap 檔案可能看起來像這樣

#%PAM-1.0
auth        required    pam_ldap.so
account     required    pam_ldap.so

如果您的系統上的 PAM 物件檔案的尾碼與 .so 不同，請替換為正確的尾碼。

在某些系統上，PAM 檔案格式可能不同。

建立一個與作業系統使用者名稱具有相同使用者名稱的 MySQL 帳戶，並將其定義為使用 PAM 外掛程式和 mysql-ldap PAM 服務進行驗證

CREATE USER 'antonio'@'localhost'
  IDENTIFIED WITH authentication_pam
  AS 'mysql-ldap';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'antonio'@'localhost';

在這裡，身份驗證字串僅包含 PAM 服務名稱 mysql-ldap，該名稱使用 LDAP 進行驗證。

連線到伺服器與無代理使用者的 PAM Unix 密碼身份驗證中所述的相同。

確認 Unix 身份驗證允許使用使用者名稱 antonio 和密碼 antonio_password 登入作業系統。

確認 antonio 是 root 或 users PAM 群組的成員。

透過建立名為 /etc/pam.d/mysql-unix 的檔案，設定 PAM 透過作業系統使用者來驗證 mysql-unix PAM 服務。檔案內容取決於系統，因此請檢查 /etc/pam.d 目錄中現有的登入相關檔案，以了解它們的外觀。在 Linux 上，mysql-unix 檔案可能看起來像這樣

#%PAM-1.0
auth            include         password-auth
account         include         password-auth

對於 macOS，請使用 login 而不是 password-auth。

在某些系統上，PAM 檔案格式可能不同。例如，在 Ubuntu 和其他基於 Debian 的系統上，請改為使用以下檔案內容

@include common-auth
@include common-account
@include common-session-noninteractive

建立一個將外部 PAM 使用者對應到代理帳戶的預設代理使用者 (''@'')

CREATE USER ''@''
  IDENTIFIED WITH authentication_pam
  AS 'mysql-unix, root=developer, users=data_entry';

在此，身份驗證字串包含 PAM 服務名稱 mysql-unix，用於驗證 Unix 密碼。身份驗證字串也會將 root 和 users PAM 群組中的外部使用者，分別對應到 developer 和 data_entry MySQL 使用者名稱。

當您設定 Proxy 使用者時，PAM 服務名稱之後的 PAM 群組對應清單是必要的。否則，外掛程式無法判斷如何將外部使用者名稱對應到適當的 Proxy MySQL 使用者名稱。

建立 Proxy 帳戶，並授與每個帳戶應有的權限。

CREATE USER 'developer'@'localhost'
  IDENTIFIED WITH mysql_no_login;
CREATE USER 'data_entry'@'localhost'
  IDENTIFIED WITH mysql_no_login;

GRANT ALL PRIVILEGES
  ON mydevdb.*
  TO 'developer'@'localhost';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'data_entry'@'localhost';

Proxy 帳戶使用 mysql_no_login 身份驗證外掛程式，以防止用戶端使用這些帳戶直接登入 MySQL 伺服器。相反地，透過 PAM 驗證的使用者，預期會根據其 PAM 群組，以 Proxy 方式使用 developer 或 data_entry 帳戶。（這假設外掛程式已安裝。如需指示，請參閱第 8.4.1.8 節，「禁止登入的可插拔身份驗證」。）如需保護 Proxy 帳戶免於直接使用的替代方法，請參閱防止直接登入 Proxy 帳戶。

授與 Proxy 帳戶針對每個 Proxy 帳戶的PROXY權限。

GRANT PROXY
  ON 'developer'@'localhost'
  TO ''@'';
GRANT PROXY
  ON 'data_entry'@'localhost'
  TO ''@'';

使用 mysql 命令列用戶端以 antonio 的身分連接到 MySQL 伺服器。

$> mysql --user=antonio --password --enable-cleartext-plugin
Enter password: antonio_password

伺服器使用預設的 ''@'' Proxy 帳戶驗證連線。antonio 的結果權限取決於 antonio 是哪個 PAM 群組的成員。如果 antonio 是 root PAM 群組的成員，則 PAM 外掛程式會將 root 對應到 developer MySQL 使用者名稱，並將該名稱返回給伺服器。伺服器會驗證 ''@'' 是否擁有 developer 的 PROXY 權限，並允許連線。以下查詢會返回如下所示的輸出：

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+---------------------+--------------+
| USER()            | CURRENT_USER()      | @@proxy_user |
+-------------------+---------------------+--------------+
| antonio@localhost | developer@localhost | ''@''        |
+-------------------+---------------------+--------------+

這表明 antonio 作業系統使用者已通過驗證，擁有授予 developer MySQL 使用者的權限，且 Proxy 是透過預設的 Proxy 帳戶進行的。

如果 antonio 不是 root PAM 群組的成員，而是 users PAM 群組的成員，則會發生類似的過程，但外掛程式會將 user PAM 群組成員資格對應到 data_entry MySQL 使用者名稱，並將該名稱返回給伺服器。

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+----------------------+--------------+
| USER()            | CURRENT_USER()       | @@proxy_user |
+-------------------+----------------------+--------------+
| antonio@localhost | data_entry@localhost | ''@''        |
+-------------------+----------------------+--------------+

這表明 antonio 作業系統使用者已通過驗證，擁有 data_entry MySQL 使用者的權限，且 Proxy 是透過預設的 Proxy 帳戶進行的。