Этот раздел предоставляет общий обзор взаимодействия MySQL и PAM при аутентификации пользователей MySQL. Примеры настройки учётных записей MySQL для использования конкретных служб PAM см. в разделе «Использование модуля аутентификации PAM».

В этом разделе описано, как установить подключаемый модуль аутентификации PAM на стороне сервера. Для общей информации об установке подключаемых модулей см. Раздел 5.5.1, «Установка и удаление подключаемых модулей».

Для использования сервером, библиотечный файл подключаемого модуля должен находиться в каталоге подключаемых модулей MySQL (каталог, указанный переменной системы plugin_dir). При необходимости, настройте расположение каталога подключаемых модулей, задав значение переменной plugin_dir при запуске сервера.

Имя базового файла библиотеки подключаемого модуля — authentication_pam. Суффикс имени файла отличается в зависимости от платформы (например, .so для Unix и Unix-подобных систем, .dll для Windows).

Для загрузки подключаемого модуля при запуске сервера используйте опцию --plugin-load-add для указания имени библиотечного файла, содержащего модуль. При таком способе загрузки подключаемого модуля, опция должна указываться каждый раз при запуске сервера. Например, поместите эти строки в файл конфигурации сервера my.cnf, подстроив суффикс .so под вашу платформу:

[mysqld]
plugin-load-add=authentication_pam.so

После изменения my.cnf перезапустите сервер, чтобы новые настройки вступили в силу.

В качестве альтернативы, для загрузки подключаемого модуля во время работы, используйте следующее утверждение, подстроив суффикс .so под вашу платформу:

INSTALL PLUGIN authentication_pam SONAME 'authentication_pam.so';

INSTALL PLUGIN загружает подключаемый модуль сразу и также регистрирует его в таблице системы mysql.plugins, чтобы сервер загружал его при каждом последующем нормальном запуске без необходимости использования опции --plugin-load-add.

Для проверки установки подключаемого модуля, просмотрите таблицу Информационной Схемы PLUGINS или используйте оператор SHOW PLUGINS (см. Раздел 5.5.2, «Получение информации о подключаемых модулях сервера»). Например:

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME LIKE '%pam%';
+--------------------+---------------+
| PLUGIN_NAME        | PLUGIN_STATUS |
+--------------------+---------------+
| authentication_pam | ACTIVE        |
+--------------------+---------------+

Если подключаемый модуль не может быть инициализирован, проверьте журнал ошибок сервера на наличие диагностических сообщений.

Для сопоставления учетных записей MySQL с подключаемым модулем PAM см. Использование подключаемого модуля аутентификации PAM.

Способ удаления подключаемого модуля аутентификации PAM зависит от способа его установки:

В этом разделе в общих чертах описано, как использовать плагин аутентификации PAM для подключения клиентских программ MySQL к серверу. В следующих разделах приведены инструкции по использованию аутентификации PAM различными способами. Предполагается, что сервер работает с включенным плагином аутентификации PAM на стороне сервера, как описано в Установка плагина аутентификации PAM.

Для обращения к плагину аутентификации PAM в предложении CREATE USER в подразделе IDENTIFIED WITH используйте имя authentication_pam. Например:

CREATE USER user
  IDENTIFIED WITH authentication_pam
  AS 'auth_string';

Строка аутентификации определяет следующие типы информации:

Например, если учетная запись использует имя службы PAM mysql-unix и должна отображать пользователей операционной системы в группах PAM root и users соответственно на пользователей MySQL developer и data_entry, используйте такое предложение:

CREATE USER user
  IDENTIFIED WITH authentication_pam
  AS 'mysql-unix, root=developer, users=data_entry';

Синтаксис строки аутентификации для плагина аутентификации PAM соответствует следующим правилам:

Если плагин успешно аутентифицирует имя внешнего пользователя (переданное клиентом), он ищет список отображения групп PAM в строке аутентификации и, если он присутствует, использует его для возврата MySQL серверу другого имени пользователя MySQL в зависимости от того, участником каких групп PAM является внешний пользователь:

В следующих разделах описано, как настроить несколько сценариев аутентификации, использующих плагин аутентификации PAM:

Возможны вариации этих сценариев:

В примерах сделаны следующие предположения. Вам, возможно, потребуется внести некоторые коррективы, если ваша система настроена иначе.

Плагин аутентификации PAM проверяет при инициализации, установлено ли значение переменной среды AUTHENTICATION_PAM_LOG в среде запуска сервера. Если да, то плагин включает протоколирование диагностических сообщений в стандартный вывод. В зависимости от способа запуска сервера, сообщение может отображаться на консоли или в журнале ошибок. Эти сообщения могут быть полезны для отладки проблем, связанных с PAM, которые возникают при выполнении плагином аутентификации. Дополнительную информацию см. в Отладка аутентификации PAM.

Этот сценарий аутентификации использует PAM для проверки внешних пользователей, определенных в терминах имён пользователей операционной системы и паролей Unix, без проксирования. Каждый такой внешний пользователь, которому разрешено подключение к MySQL Server, должен иметь соответствующую MySQL учётную запись, определённую для использования аутентификации PAM через традиционный хранилище паролей Unix.

Этот сценарий аутентификации использует PAM для проверки внешних пользователей, определенных в терминах имён пользователей операционной системы и паролей LDAP, без проксирования. Каждый такой внешний пользователь, которому разрешено подключение к MySQL Server, должен иметь соответствующую MySQL учётную запись, определённую для использования аутентификации PAM через LDAP.

Для использования плагина аутентификации PAM LDAP в MySQL должны быть выполнены следующие предварительные условия:

Настройте MySQL для аутентификации PAM LDAP следующим образом:

Схема аутентификации, описанная здесь, использует проксирование и сопоставление групп PAM для сопоставления подключающихся пользователей MySQL, которые проходят аутентификацию с помощью PAM, с другими учетными записями MySQL, определяющими разные наборы привилегий. Пользователи подключаются не напрямую к учетным записям, определяющим привилегии. Вместо этого они подключаются через стандартную прокси-учетную запись, авторизованную с помощью PAM, так что все внешние пользователи сопоставляются с учетными записями MySQL, которые содержат привилегии. Любой пользователь, подключающийся с помощью прокси-учетной записи, сопоставляется с одной из этих учетных записей MySQL, привилегии которой определяют разрешенные операции с базой данных для внешнего пользователя.

В данном случае используется аутентификация паролей Unix. Чтобы использовать LDAP вместо этого, обратитесь к начальным шагам в PAM LDAP-аутентификации без прокси-пользователей.

В некоторых системах аутентификация Unix использует хранилище паролей, например /etc/shadow, файл, который обычно имеет ограниченные разрешения доступа. Это может привести к сбою аутентификации MySQL на основе PAM. К сожалению, реализация PAM не позволяет различать сообщение «пароль не удалось проверить» (например, из-за невозможности чтения /etc/shadow) и сообщение «пароль не соответствует». Если вы используете хранилище паролей Unix для аутентификации PAM, вы можете включить доступ к нему из MySQL, используя один из следующих методов:

Плагин аутентификации PAM при инициализации проверяет, установлено ли значение среды AUTHENTICATION_PAM_LOG. В MySQL 5.7 и в MySQL NDB Cluster до NDB 7.5.33 и NDB 7.6.29 значение не имеет значения. Плагин позволяет регистрировать диагностические сообщения в стандартный вывод, включая пароли. Эти сообщения могут быть полезны для отладки проблем, связанных с PAM, возникающих при выполнении аутентификации плагином.

В MySQL NDB Cluster, начиная с версий 7.5.33 и 7.6.29, пароли не включаются, если вы установите AUTHENTICATION_PAM_LOG=1 (или какое-либо другое произвольное значение); вы можете включить протоколирование сообщений отладки, включая пароли, установив AUTHENTICATION_PAM_LOG=PAM_LOG_WITH_SECRET_INFO.

Некоторые сообщения включают ссылку на исходные файлы плагина PAM и номера строк, что позволяет более тесно связать действия плагина с местоположением в коде, где они происходят.

Другой метод отладки сбоев соединения и определения того, что происходит во время попыток подключения, заключается в настройке аутентификации PAM для разрешения всех подключений, а затем проверке системных журналов. Этот метод следует использовать только в временном режиме и не на сервере производства.

Настройте файл службы PAM с именем /etc/pam.d/mysql-any-password со следующим содержимым (формат может отличаться на некоторых системах):

#%PAM-1.0
auth        required    pam_permit.so
account     required    pam_permit.so

Создайте учетную запись, использующую плагин PAM и назовите службу PAM mysql-any-password:

CREATE USER 'testuser'@'localhost'
  IDENTIFIED WITH authentication_pam
  AS 'mysql-any-password';

Файл службы mysql-any-password заставляет любую попытку аутентификации возвращать true, даже для неправильных паролей. Если попытка аутентификации завершается неудачей, это означает, что проблема конфигурации находится на стороне MySQL. В противном случае проблема находится на стороне операционной системы/PAM. Чтобы увидеть, что происходит, проверьте системные журналы, такие как /var/log/secure, /var/log/audit.log, /var/log/syslog или /var/log/messages.

После определения проблемы удалите файл службы PAM mysql-any-password, чтобы отключить доступ с любым паролем.