Для использования плагина аутентификации LDAP в MySQL необходимо выполнить следующие предварительные условия:

Этот раздел предоставляет общее описание взаимодействия MySQL и LDAP для аутентификации MySQL-пользователей. Примеры настройки MySQL-аккаунтов для использования конкретных плагинов аутентификации LDAP см. в разделе Использование плагинов аутентификации LDAP.

Клиент подключается к серверу MySQL, предоставляя имя пользователя MySQL-клиента и пароль LDAP:

Если имя пользователя и имя хоста клиента не соответствуют ни одному MySQL-аккаунту, подключение отклоняется.

Если существует соответствующий MySQL-аккаунт, происходит аутентификация против LDAP. Сервер LDAP ищет запись, соответствующую пользователю, и проверяет её по предоставленному клиентом паролю:

Если сервер LDAP не находит соответствие или находит несколько соответствий, аутентификация завершается неудачно, и подключение клиента отклоняется.

Если сервер LDAP находит единственное соответствие, LDAP-аутентификация успешна (при условии, что пароль верен), сервер LDAP возвращает запись LDAP, и плагин аутентификации определяет имя аутентифицированного пользователя на основе этой записи:

Сервер MySQL сравнивает имя пользователя клиента с именем аутентифицированного пользователя, чтобы определить, происходит ли проксирование для сессии клиента:

Этот раздел описывает, как установить плагины LDAP-аутентификации на стороне сервера. Общие сведения об установке плагинов см. в разделе Раздел 5.5.1, “Установка и удаление плагинов”.

Для использования плагином сервером, файлы библиотек плагинов должны находиться в каталоге плагинов MySQL (каталог, указанный переменной среды plugin_dir). При необходимости, конфигурируйте расположение каталога плагинов, установив значение переменной plugin_dir при запуске сервера.

Имена файлов библиотек плагинов на стороне сервера — authentication_ldap_simple и authentication_ldap_sasl. Суффикс имени файла зависит от платформы (например, .so для Unix и Unix-подобных систем, .dll для Windows).

Для загрузки плагинов при запуске сервера используйте опции --plugin-load-add, чтобы указать имена файлов библиотек, содержащие плагины. При этом способе загрузки плагины должны указываться каждый раз при запуске сервера. Также необходимо указать значения для всех переменных среды, предоставляемых плагином, которые вы хотите настроить.

Каждый плагин LDAP на стороне сервера предоставляет набор переменных среды, которые позволяют настроить его работу. Установка большинства из них необязательна, но вы должны установить переменные, указывающие хост LDAP-сервера (чтобы плагин знал, куда подключаться) и базовое отличительное имя для операций связывания LDAP (для ограничения области поиска и ускорения поиска). Подробную информацию обо всех переменных среды LDAP см. в разделе Раздел 6.4.1.13, “Переменные среды плагинов аутентификации”.

Чтобы загрузить плагины и установить хост LDAP-сервера и базовое отличительное имя для операций связывания LDAP, поместите строки, подобные этим, в свой файл my.cnf, скорректировав суффикс .so в зависимости от вашей платформы:

[mysqld]
plugin-load-add=authentication_ldap_simple.so
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
plugin-load-add=authentication_ldap_sasl.so
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

После изменения файла my.cnf перезапустите сервер, чтобы новые настройки вступили в силу.

В качестве альтернативы, чтобы загрузить плагины во время работы, используйте эти операторы, скорректировав суффикс .so в зависимости от вашей платформы:

INSTALL PLUGIN authentication_ldap_simple
  SONAME 'authentication_ldap_simple.so';
INSTALL PLUGIN authentication_ldap_sasl
  SONAME 'authentication_ldap_sasl.so';

INSTALL PLUGIN загружает плагин немедленно и также регистрирует его в таблице системы mysql.plugins, чтобы сервер загружал его при каждом последующем обычном запуске без необходимости в опциях --plugin-load-add.

После установки плагинов во время работы, их переменные среды становятся доступными, и вы можете добавить их настройки в файл my.cnf для последующей конфигурации при перезапуске. Например:

[mysqld]
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

После изменения файла my.cnf перезапустите сервер, чтобы новые настройки вступили в силу.

Для проверки установки плагинов, обратитесь к таблице Информационной Схемы PLUGINS или используйте оператор SHOW PLUGINS (см. Раздел 5.5.2, “Получение информации о плагинах сервера”). Например:

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME LIKE '%ldap%';
+----------------------------+---------------+
| PLUGIN_NAME                | PLUGIN_STATUS |
+----------------------------+---------------+
| authentication_ldap_sasl   | ACTIVE        |
| authentication_ldap_simple | ACTIVE        |
+----------------------------+---------------+

Если плагин не удаётся инициализировать, проверьте журнал ошибок сервера на наличие диагностических сообщений.

Чтобы связать MySQL-аккаунты с плагином LDAP, см. Использование плагинов аутентификации LDAP.

Метод удаления плагинов LDAP-аутентификации зависит от способа их установки:

Кроме того, удалите из файла my.cnf любые опции запуска, устанавливающие переменные среды, относящиеся к плагинам LDAP.

Для установок, использующих OpenLDAP, файл ldap.conf предоставляет глобальные значения по умолчанию для LDAP-клиентов. В этом файле можно задать параметры, влияющие на LDAP-клиентов, включая плагины аутентификации LDAP. OpenLDAP использует параметры конфигурации в указанном порядке приоритета:

Если значения по умолчанию библиотеки или значения ldap.conf не обеспечивают соответствующие значения параметров, плагин аутентификации LDAP может установить связанные переменные, чтобы напрямую повлиять на конфигурацию LDAP. Например, плагины LDAP могут перезаписывать параметры ldap.conf для конфигурации TLS: доступны системные переменные для включения TLS и управления конфигурацией CA, такие как authentication_ldap_simple_tls и authentication_ldap_simple_ca_path для простой аутентификации LDAP, и authentication_ldap_sasl_tls и authentication_ldap_sasl_ca_path для аутентификации LDAP с SASL.

Для получения дополнительной информации о ldap.conf обратитесь к странице справки ldap.conf(5).

В этом разделе описывается, как настроить учетные записи MySQL для подключения к серверу MySQL с помощью плагиновой аутентификации LDAP. Предполагается, что сервер работает с включенными соответствующими плагинами на стороне сервера, как описано в Установка плагиновой аутентификации LDAP, и что соответствующие плагины на стороне клиента доступны на клиентском узле.

Этот раздел не описывает конфигурацию или администрирование LDAP. Предполагается, что вы знакомы с этими темами.

Два плагина LDAP на стороне сервера работают с соответствующими плагинами на стороне клиента:

Общие требования к аутентификации LDAP для пользователей MySQL:

В этих инструкциях предполагается следующая сценарий:

Инструкции по настройке учетной записи, использующей аутентификацию LDAP, зависят от используемого плагина LDAP на стороне сервера. Следующие разделы описывают несколько сценариев использования.

Процедура, описанная в этом разделе, требует, чтобы authentication_ldap_simple_group_search_attr была установлена в пустую строку, как показано ниже:

SET GLOBAL.authentication_ldap_simple_group_search_attr='';

В противном случае проксирование используется по умолчанию.

Чтобы настроить MySQL-учетную запись для простой аутентификации LDAP, используйте оператор CREATE USER, чтобы указать плагин authentication_ldap_simple, необязательно включая имя выделенного пользователя LDAP (DN), как показано ниже:

CREATE USER user
  IDENTIFIED WITH authentication_ldap_simple
  [BY 'LDAP user DN'];

Предположим, что у MySQL-пользователя betsy есть такая запись в LDAP-каталоге:

uid=betsy_ldap,ou=People,dc=example,dc=com

Тогда оператор для создания MySQL-учетной записи для betsy будет таким:

CREATE USER 'betsy'@'localhost'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=betsy_ldap,ou=People,dc=example,dc=com';

Строка аутентификации, указанная в предложении BY, не включает LDAP-пароль. Он должен быть предоставлен пользователем клиента во время подключения.

Клиенты подключаются к MySQL-серверу, предоставляя имя MySQL-пользователя и LDAP-пароль и включив плагин mysql_clear_password на стороне клиента:

$> mysql --user=betsy --password --enable-cleartext-plugin
Enter password: betsy_ldap_password

Процесс аутентификации происходит следующим образом:

Если бы оператор CREATE USER не содержал предложения BY для указания имени выделенного LDAP-пользователя, попытки аутентификации использовали бы имя пользователя, предоставленное клиентом (в этом случае betsy). В отсутствие LDAP-записи для betsy аутентификация завершилась бы ошибкой.

Процедура, описанная в этом разделе, требует, чтобы authentication_ldap_sasl_group_search_attr было установлено в пустую строку, как показано ниже:

SET GLOBAL.authentication_ldap_sasl_group_search_attr='';

В противном случае, проксирование используется по умолчанию.

Для настройки учетной записи MySQL для аутентификации по SASL через LDAP используйте оператор CREATE USER для указания плагина authentication_ldap_sasl, необязательно включая имя различения LDAP пользователя (DN), как показано ниже:

CREATE USER user
  IDENTIFIED WITH authentication_ldap_sasl
  [BY 'LDAP user DN'];

Предположим, что пользователь MySQL boris имеет следующую запись в каталоге LDAP:

uid=boris_ldap,ou=People,dc=example,dc=com

Тогда оператор для создания учетной записи MySQL для boris будет выглядеть так:

CREATE USER 'boris'@'localhost'
  IDENTIFIED WITH authentication_ldap_sasl
  AS 'uid=boris_ldap,ou=People,dc=example,dc=com';

Строка аутентификации, указанная в разделе BY, не включает пароль LDAP. Он должен быть предоставлен пользователем-клиентом во время подключения.

Клиенты подключаются к серверу MySQL, предоставляя имя пользователя MySQL и пароль LDAP:

$> mysql --user=boris --password
Enter password: boris_ldap_password

Для плагина authentication_ldap_sasl со стороны сервера клиенты используют плагин authentication_ldap_sasl_client со стороны клиента. Если программа клиента не находит плагин со стороны клиента, укажите опцию --plugin-dir, которая называет директорию, где установлен файл библиотеки плагина.

Процесс аутентификации для boris аналогичен ранее описанному для betsy с простой аутентификацией через LDAP, за исключением того, что плагины SASL LDAP со стороны клиента и сервера используют сообщения SASL для безопасной передачи учетных данных в протоколе LDAP, чтобы избежать отправки пароля в открытом виде между клиентом и сервером MySQL.

Плагины аутентификации LDAP поддерживают проксирование, позволяя пользователю подключаться к серверу MySQL как одному пользователю, но получать права другого пользователя. Этот раздел описывает основную поддержку проксирования плагинами LDAP. Плагины LDAP также поддерживают указание предпочтения группы и сопоставления пользователей-прокси; см. Спецификацию предпочтения группы и сопоставления LDAP-аутентификации.

Реализация проксирования, описанная здесь, основана на использовании значений атрибутов группы LDAP для сопоставления подключающихся пользователей MySQL, которые проходят аутентификацию через LDAP, с другими учетными записями MySQL, определяющими разные наборы привилегий. Пользователи не подключаются напрямую через учетные записи, определяющие привилегии. Вместо этого они подключаются через учетную запись-прокси по умолчанию, аутентифицированную по LDAP, таким образом, все внешние логины сопоставляются с проксированными учетными записями MySQL, которые содержат привилегии. Любой пользователь, который подключается с помощью учетной записи-прокси, сопоставляется с одной из этих проксированных учетных записей MySQL, привилегии которой определяют разрешенные операции с базой данных для внешнего пользователя.

В данном описании предполагается следующая ситуация:

Создайте учетную запись-прокси MySQL по умолчанию:

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl;

Определение учетной записи-прокси не содержит раздела AS 'auth_string' для указания DN пользователя LDAP. Таким образом:

Создайте проксированные учетные записи и предоставьте каждой из них необходимые привилегии:

CREATE USER 'accounting'@'localhost'
  IDENTIFIED WITH mysql_no_login;
CREATE USER 'front_office'@'localhost'
  IDENTIFIED WITH mysql_no_login;

GRANT ALL PRIVILEGES
  ON accountingdb.*
  TO 'accounting'@'localhost';
GRANT ALL PRIVILEGES
  ON frontdb.*
  TO 'front_office'@'localhost';

Проксированные учетные записи используют плагин аутентификации mysql_no_login, чтобы предотвратить подключение клиентов непосредственно к серверу MySQL с помощью этих учетных записей. Вместо этого ожидается, что пользователи, прошедшие аутентификацию через LDAP, будут использовать учетную запись-прокси по умолчанию ''@'%'. (Предполагается, что плагин mysql_no_login установлен. Инструкции см. в Разделе 6.4.1.10, «Плагины аутентификации без входа».) Альтернативные методы защиты проксированных учетных записей от прямого входа см. в Разделе о предотвращении прямого входа в проксированные учетные записи.

Предоставьте учетной записи-прокси привилегию PROXY для каждой проксированной учетной записи:

GRANT PROXY
  ON 'accounting'@'localhost'
  TO ''@'%';
GRANT PROXY
  ON 'front_office'@'localhost'
  TO ''@'%';

Используйте командную строку mysql для подключения к серверу MySQL в качестве basha.

$> mysql --user=basha --password
Enter password: basha_password (basha LDAP password)

Аутентификация происходит следующим образом:

Это демонстрирует, что basha использует привилегии, предоставленные проксированной учетной записи MySQL accounting, и что проксирование происходит через учетную запись-прокси по умолчанию.

Теперь подключимся в качестве basil:

$> mysql --user=basil --password
Enter password: basil_password (basil LDAP password)

Процесс аутентификации для basil аналогичен ранее описанному для basha:

Это демонстрирует, что basil использует привилегии, предоставленные проксированной учетной записи MySQL front_office, и что проксирование происходит через учетную запись-прокси по умолчанию.

Как описано в LDAP-аутентификации с проксированием, базовая LDAP-аутентификация с проксированием работает по принципу, что плагин использует первое имя группы, возвращенное сервером LDAP, как имя учетной записи проксированного пользователя MySQL. Эта простая возможность не позволяет задавать предпочтения относительно имени группы для использования, если сервер LDAP возвращает несколько имен групп, или указывать имя, отличное от имени группы, в качестве имени проксированного пользователя.

Начиная с MySQL 5.7.25, для учетных записей MySQL, использующих LDAP-аутентификацию, строка аутентификации может содержать следующую информацию для повышения гибкости проксирования:

Рассмотрим следующее определение прокси-учетной записи MySQL:

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl
  AS '+ou=People,dc=example,dc=com#grp1=usera,grp2,grp3=userc';

Строка аутентификации имеет суффикс DN пользователя ou=People,dc=example,dc=com, предваряемый символом +. Таким образом, как описано в Суффиксах DN пользователей LDAP-аутентификации, полный DN пользователя строится из указанного суффикса DN пользователя и имени клиента как атрибута uid.

Остальная часть строки аутентификации начинается с #, что обозначает начало информации о предпочтении и сопоставлении групп. Эта часть строки аутентификации перечисляет имена групп в порядке grp1, grp2, grp3. LDAP-плагин сравнивает этот список с набором имен групп, возвращенных сервером LDAP, ищет совпадение в порядке списка с возвращенными именами. Плагин использует первое совпадение, или, если совпадения нет, аутентификация завершается неудачей.

Предположим, что сервер LDAP возвращает группы grp3, grp2 и grp7. LDAP-плагин использует grp2, потому что это первая группа в строке аутентификации, которая соответствует, даже если она не является первой группой, возвращенной сервером LDAP. Если сервер LDAP возвращает grp4, grp2 и grp1, плагин использует grp1, даже если grp2 тоже соответствует. grp1 имеет более высокий приоритет, чем grp2, потому что он указан раньше в строке аутентификации.

Предполагая, что плагин находит совпадение имени группы, он выполняет сопоставление этого имени группы с именем проксированного пользователя MySQL, если оно есть. Для примерной прокси-учетной записи сопоставление происходит следующим образом:

Если сервер LDAP возвращает группу в формате DN, LDAP-плагин анализирует DN группы, чтобы извлечь из него имя группы.

Для указания информации о предпочтении и сопоставлении групп LDAP применяются следующие принципы:

Начиная с MySQL 5.7.21, LDAP-плагины аутентификации позволяют строке аутентификации, предоставляющей информацию о DN пользователя, начинаться с префикса +:

В этой строке аутентификации учетной записи нет + в начале, поэтому она принимается как полный DN пользователя:

CREATE USER 'baldwin'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=admin,ou=People,dc=example,dc=com';

Клиент подключается с именем пользователя, указанным в учетной записи (baldwin). В этом случае это имя не используется, потому что строка аутентификации не имеет префикса и, таким образом, полностью определяет DN пользователя.

В этой строке аутентификации учетной записи есть + в начале, поэтому она принимается как часть DN пользователя:

CREATE USER 'accounting'
  IDENTIFIED WITH authentication_ldap_simple
  AS '+ou=People,dc=example,dc=com';

Клиент подключается с именем пользователя, указанным в учетной записи (accounting), которое в этом случае используется в качестве атрибута uid вместе со строкой аутентификации для построения DN пользователя: uid=accounting,ou=People,dc=example,dc=com

Учетные записи в предыдущих примерах имеют непустое имя пользователя, поэтому клиент всегда подключается к серверу MySQL с тем же именем, что и указано в определении учетной записи. Если учетная запись имеет пустое имя пользователя, например, стандартная анонимная ''@'%' учетная запись прокси, описанная в LDAP-аутентификации с проксированием, клиенты могут подключаться к серверу MySQL с различными именами пользователей. Но принцип остается тем же: Если строка аутентификации начинается с +, плагин использует имя пользователя, отправленное клиентом, вместе со строкой аутентификации для построения DN пользователя.

LDAP-плагины аутентификации используют настраиваемый метод аутентификации. Соответствующая системная переменная и доступные варианты методов зависят от конкретного плагина:

См. описания системных переменных для получения информации о каждом разрешенном методе.