Для использования подключаемого модуля аутентификации LDAP для MySQL необходимо выполнить следующие предварительные условия:

Этот раздел предоставляет обзор того, как MySQL и LDAP взаимодействуют для аутентификации пользователей MySQL. Примеры настройки учетных записей MySQL для использования определенных подключаемых модулей аутентификации LDAP см. в разделе Использование подключаемого модуля аутентификации LDAP. Сведения о методах аутентификации, доступных подключаемым модулям LDAP, см. в разделе Методы аутентификации LDAP.

Клиент подключается к серверу MySQL, предоставляя имя пользователя MySQL-клиента и пароль:

Если имя пользователя клиента и имя хоста не соответствуют никакой учетной записи MySQL, подключение отклоняется.

Если есть соответствующая учетная запись MySQL, происходит аутентификация с помощью LDAP. Сервер LDAP ищет запись, соответствующую пользователю, и аутентифицирует запись по паролю LDAP:

Если сервер LDAP не находит совпадение или находит несколько совпадений, аутентификация завершается неудачно, и подключение клиента отклоняется.

Если сервер LDAP находит единственное совпадение, аутентификация LDAP успешна (при условии, что пароль правильный), сервер LDAP возвращает запись LDAP, и подключаемый модуль аутентификации определяет имя аутентифицированного пользователя на основе этой записи:

Сервер MySQL сравнивает имя пользователя клиента с именем аутентифицированного пользователя, чтобы определить, происходит ли переадресация для сеанса клиента:

В этом разделе описано, как установить плагины аутентификации LDAP на стороне сервера. Для общей информации об установке плагинов см. Раздел 7.6.1, «Установка и удаление плагинов».

Для использования сервером, файлы библиотек плагинов должны располагаться в каталоге плагинов MySQL (каталоге, имя которого задается переменной среды plugin_dir). При необходимости, настройте расположение каталога плагинов, установив значение plugin_dir при запуске сервера.

Базовые имена файлов библиотек плагинов на стороне сервера — authentication_ldap_simple и authentication_ldap_sasl. Суффикс имени файла отличается в зависимости от платформы (например, .so для систем Unix и Unix-подобных систем, .dll для Windows).

Для загрузки плагинов при запуске сервера используйте опции --plugin-load-add для указания имён файлов библиотек, содержащих плагины. С этим методом загрузки плагинов, опции должны быть указаны каждый раз при запуске сервера. Также укажите значения для любых переменных среды, предоставляемых плагином, которые вы хотите настроить.

Каждый серверный плагин LDAP предоставляет набор переменных среды, которые позволяют настроить его работу. Установка большинства из них необязательна, но вы должны установить переменные, указывающие хост сервера LDAP (чтобы плагин знал, куда подключаться) и базовое имя различия для операций LDAP bind (чтобы ограничить область поиска и получить более быстрый поиск). Подробности о всех переменных среды LDAP см. в Разделе 8.4.1.13, «Переменные среды подключаемой аутентификации».

Для загрузки плагинов и установки хоста сервера LDAP и базового имени различия для операций LDAP bind, поместите строки, подобные этим, в ваш файл my.cnf, корректируя суффикс .so в зависимости от вашей платформы:

[mysqld]
plugin-load-add=authentication_ldap_simple.so
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
plugin-load-add=authentication_ldap_sasl.so
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

После изменения файла my.cnf перезапустите сервер, чтобы новые настройки вступили в силу.

В качестве альтернативы, для загрузки плагинов во время выполнения используйте следующие инструкции, корректируя суффикс .so для вашей платформы:

INSTALL PLUGIN authentication_ldap_simple
  SONAME 'authentication_ldap_simple.so';
INSTALL PLUGIN authentication_ldap_sasl
  SONAME 'authentication_ldap_sasl.so';

INSTALL PLUGIN загружает плагин немедленно и также регистрирует его в таблице системной информации mysql.plugins, что заставляет сервер загружать его при каждом последующем обычном запуске без необходимости в --plugin-load-add.

После установки плагинов во время выполнения, доступными становятся переменные среды, которые они предоставляют, и вы можете добавить настройки для них в свой файл my.cnf, чтобы настроить плагины для последующих перезапусков. Например:

[mysqld]
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

После изменения файла my.cnf перезапустите сервер, чтобы новые настройки вступили в силу.

Для установки и сохранения каждого значения во время выполнения, а не при запуске, используйте следующие инструкции:

SET PERSIST authentication_ldap_simple_server_host='127.0.0.1';
SET PERSIST authentication_ldap_simple_bind_base_dn='dc=example,dc=com';
SET PERSIST authentication_ldap_sasl_server_host='127.0.0.1';
SET PERSIST authentication_ldap_sasl_bind_base_dn='dc=example,dc=com';

SET PERSIST устанавливает значение для работающего экземпляра MySQL. Он также сохраняет значение, что обеспечивает его сохранение при последующих перезапусках сервера. Чтобы изменить значение для работающего экземпляра MySQL без сохранения его для последующих перезапусков, используйте ключевое слово GLOBAL, а не PERSIST. См. Раздел 15.7.6.1, «Синтаксис SET для присваивания переменных».

Для проверки установки плагинов, просмотрите таблицу Справочника информации PLUGINS или используйте оператор SHOW PLUGINS (см. Раздел 7.6.2, «Получение информации о серверных плагинах»). Например:

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME LIKE '%ldap%';
+----------------------------+---------------+
| PLUGIN_NAME                | PLUGIN_STATUS |
+----------------------------+---------------+
| authentication_ldap_sasl   | ACTIVE        |
| authentication_ldap_simple | ACTIVE        |
+----------------------------+---------------+

Если плагин не удаётся инициализировать, проверьте лог ошибок сервера на наличие диагностических сообщений.

Для ассоциации учетных записей MySQL с плагином LDAP, см. Использование подключаемого модуля аутентификации LDAP.

Способ удаления плагинов аутентификации LDAP зависит от способа их установки:

Кроме того, удалите из вашего файла my.cnf любые опции запуска, устанавливающие переменные среды, связанные с плагинами LDAP. Если вы использовали SET PERSIST для сохранения переменных среды LDAP, используйте RESET PERSIST для удаления настроек.

Для установок, использующих OpenLDAP, файл ldap.conf предоставляет глобальные значения по умолчанию для LDAP-клиентов. Параметры могут быть установлены в этом файле для влияния на LDAP-клиенты, включая плагины аутентификации LDAP. OpenLDAP использует параметры конфигурации в следующем порядке приоритетов:

Если значения по умолчанию библиотеки или ldap.conf не дают подходящих значений параметров, плагин аутентификации LDAP может установить соответствующие переменные, чтобы напрямую повлиять на конфигурацию LDAP. Например, плагины LDAP могут переопределять ldap.conf для параметров, таких как:

Для получения дополнительной информации о ldap.conf обратитесь к странице руководства ldap.conf(5).

Для подключения учетных записей MySQL к серверу MySQL с использованием подключаемого модуля аутентификации LDAP, сервер LDAP должен быть доступен и работоспособен. Взаимодействие между серверами MySQL и LDAP включает два шага. Во-первых, сервер MySQL устанавливает соединение с сервером LDAP по протоколу TCP. Во-вторых, сервер MySQL отправляет запрос на привязку LDAP по установленному соединению серверу LDAP и ожидает ответа перед аутентификацией учетной записи. Если любой из шагов завершается неудачно, учетная запись MySQL не может подключиться к серверу MySQL.

По умолчанию применяются таймауты с коротким интервалом, которые имеют приоритет над значениями таймаутов системы-хоста, как для шага подключения, так и для шага ответа. Во всех случаях, если таймаут истекает, пользователь учетной записи получает уведомление о том, что попытка подключения к MySQL отклонена. Клиентский и серверный логирование могут предоставить дополнительную информацию. На стороне клиента установите следующую переменную окружения, чтобы повысить уровень детализации, а затем перезапустите клиент MySQL:

AUTHENTICATION_LDAP_CLIENT_LOG=5
export AUTHENTICATION_LDAP_CLIENT_LOG

Следующие системные переменные поддерживают значения таймаутов по умолчанию для аутентификации LDAP на основе SASL и простой аутентификации LDAP только на платформах Linux.

Значения таймаутов для аутентификации LDAP можно настроить при запуске сервера и во время работы. Если вы установите таймаут в ноль с помощью одной из этих переменных, вы фактически отключите его, и сервер MySQL вернется к использованию значения таймаута по умолчанию системы-хоста.

Этот раздел описывает, как разрешить учетным записям MySQL подключаться к серверу MySQL с использованием подключаемого модуля аутентификации LDAP. Предполагается, что сервер работает с включенными соответствующими плагинами серверной стороны, как описано в Установка подключаемого модуля аутентификации LDAP, и что соответствующие плагины клиентской стороны доступны на клиентском хосте.

В данном разделе не рассматривается настройка или администрирование LDAP. Предполагается, что вы знакомы с этими темами.

Два плагина LDAP серверной стороны работают с конкретным плагином клиентской стороны:

Общие требования для аутентификации пользователей MySQL с использованием LDAP:

Здесь предполагается следующая сценарий:

Инструкции по настройке учетной записи, использующей аутентификацию LDAP, зависят от используемого плагина LDAP серверной стороны. В следующих разделах описаны несколько сценариев использования.

В данном разделе описанная процедура требует, чтобы authentication_ldap_simple_group_search_attr было установлено в пустую строку, как показано ниже:

SET GLOBAL.authentication_ldap_simple_group_search_attr='';

В противном случае по умолчанию используется проксирование.

Для настройки учетной записи MySQL для простой аутентификации LDAP используйте оператор CREATE USER для указания плагина authentication_ldap_simple, необязательно включая имя пользователя LDAP (DN), как показано ниже:

CREATE USER user
  IDENTIFIED WITH authentication_ldap_simple
  [BY 'LDAP user DN'];

Предположим, что пользователь MySQL betsy имеет такую запись в каталоге LDAP:

uid=betsy_ldap,ou=People,dc=example,dc=com

Тогда оператор создания учетной записи MySQL для betsy выглядит следующим образом:

CREATE USER 'betsy'@'localhost'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=betsy_ldap,ou=People,dc=example,dc=com';

Строка аутентификации, указанная в части BY, не включает пароль LDAP. Его должен предоставить пользователь-клиент во время подключения.

Клиенты подключаются к серверу MySQL, предоставляя имя пользователя MySQL и пароль LDAP, а также включив плагин mysql_clear_password со стороны клиента:

$> mysql --user=betsy --password --enable-cleartext-plugin
Enter password: betsy_ldap_password

Процесс аутентификации происходит следующим образом:

Если оператор CREATE USER не содержал части BY для указания имени пользователя LDAP (DN), попытки аутентификации использовали бы имя пользователя, предоставленное клиентом (в данном случае, betsy). В отсутствие записи LDAP для betsy аутентификация завершилась бы неудачей.

В данном разделе описанная процедура требует, чтобы authentication_ldap_sasl_group_search_attr было установлено в пустую строку, как показано ниже:

SET GLOBAL.authentication_ldap_sasl_group_search_attr='';

В противном случае по умолчанию используется проксирование.

Для настройки учетной записи MySQL для аутентификации LDAP с помощью SASL используйте оператор CREATE USER для указания плагина authentication_ldap_sasl, необязательно включая имя пользователя LDAP (DN), как показано ниже:

CREATE USER user
  IDENTIFIED WITH authentication_ldap_sasl
  [BY 'LDAP user DN'];

Предположим, что пользователь MySQL boris имеет такую запись в каталоге LDAP:

uid=boris_ldap,ou=People,dc=example,dc=com

Тогда оператор создания учетной записи MySQL для boris выглядит следующим образом:

CREATE USER 'boris'@'localhost'
  IDENTIFIED WITH authentication_ldap_sasl
  AS 'uid=boris_ldap,ou=People,dc=example,dc=com';

Строка аутентификации, указанная в части BY, не включает пароль LDAP. Его должен предоставить пользователь-клиент во время подключения.

Клиенты подключаются к серверу MySQL, предоставляя имя пользователя MySQL и пароль LDAP:

$> mysql --user=boris --password
Enter password: boris_ldap_password

Для плагина authentication_ldap_sasl со стороны сервера клиенты используют плагин authentication_ldap_sasl_client со стороны клиента. Если клиентская программа не находит плагин со стороны клиента, укажите опцию --plugin-dir, которая указывает каталог, где установлен файл библиотеки плагина.

Процесс аутентификации для boris аналогичен описанному ранее для betsy с простой аутентификацией LDAP, за исключением того, что плагины SASL LDAP со стороны клиента и сервера используют сообщения SASL для безопасной передачи учетных данных по протоколу LDAP, чтобы избежать передачи пароля в открытом виде между клиентом MySQL и сервером.

Плагины аутентификации LDAP поддерживают проксирование, позволяя пользователю подключаться к серверу MySQL как одному пользователю, но использовать привилегии другого. Этот раздел описывает основную поддержку проксирования плагинов LDAP. Плагины LDAP также поддерживают указание предпочтений группы и сопоставления прокси-пользователей; см. Спецификацию предпочтений и сопоставления групп для аутентификации LDAP.

Реализация проксирования, описанная здесь, основана на использовании значений атрибута группы LDAP для сопоставления подключаемых пользователей MySQL, которые проходят аутентификацию с помощью LDAP, с другими учетными записями MySQL, определяющими различные наборы привилегий. Пользователи не подключаются напрямую через учетные записи, определяющие привилегии. Вместо этого они подключаются через стандартную прокси-учетную запись, аутентифицированную с помощью LDAP, таким образом, все внешние подключения сопоставляются с проксированными учетными записями MySQL, которые хранят привилегии. Любой пользователь, подключающийся с помощью прокси-учетной записи, сопоставляется с одной из этих проксированных учетных записей MySQL, привилегии которой определяют разрешенные операции с базой данных для внешнего пользователя.

Здесь предполагается следующая сценарий:

Создайте стандартную прокси-учетную запись MySQL:

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl;

Определение прокси-учетной записи не содержит пункта AS 'auth_string' для указания DN пользователя LDAP. Таким образом:

Создайте проксированные учетные записи и предоставьте каждой из них необходимые привилегии:

CREATE USER 'accounting'@'localhost'
  IDENTIFIED WITH mysql_no_login;
CREATE USER 'front_office'@'localhost'
  IDENTIFIED WITH mysql_no_login;

GRANT ALL PRIVILEGES
  ON accountingdb.*
  TO 'accounting'@'localhost';
GRANT ALL PRIVILEGES
  ON frontdb.*
  TO 'front_office'@'localhost';

Проксированные учетные записи используют плагин аутентификации mysql_no_login, чтобы предотвратить подключение клиентов напрямую к серверу MySQL с помощью этих учетных записей. Вместо этого ожидается, что пользователи, которые проходят аутентификацию с помощью LDAP, будут использовать стандартную прокси-учетную запись ''@'%'. (Это предполагает установку плагина mysql_no_login. Инструкции см. в разделе Раздел 8.4.1.9, «Плагины аутентификации без входа».) Альтернативные способы защиты проксированных учетных записей от прямого использования см. в разделе Предотвращение прямого входа в проксированные учетные записи.

Предоставьте прокси-учетной записи привилегию PROXY для каждой проксированной учетной записи:

GRANT PROXY
  ON 'accounting'@'localhost'
  TO ''@'%';
GRANT PROXY
  ON 'front_office'@'localhost'
  TO ''@'%';

Используйте командную строку mysql для подключения к серверу MySQL как basha.

$> mysql --user=basha --password
Enter password: basha_password (basha LDAP password)

Процесс аутентификации происходит следующим образом:

Это демонстрирует, что basha использует привилегии, предоставленные проксированной учетной записи MySQL accounting, и что проксирование происходит через стандартную прокси-учетную запись.

Теперь подключитесь как basil:

$> mysql --user=basil --password
Enter password: basil_password (basil LDAP password)

Процесс аутентификации для basil аналогичен ранее описанному для basha:

Это демонстрирует, что basil использует привилегии, предоставленные проксированной учетной записи MySQL front_office, и что проксирование происходит через стандартную прокси-учетную запись.

Как описано в LDAP-аутентификация с проксированием, базовая LDAP-аутентификация с проксированием работает по принципу, что плагин использует первое имя группы, возвращенное сервером LDAP, в качестве имени учетной записи пользователя MySQL с проксированием. Эта простая возможность не позволяет указать какие-либо предпочтения о том, какое имя группы использовать, если сервер LDAP возвращает несколько имен групп, или указать какое-либо имя, отличное от имени группы, в качестве имени прокси-пользователя.

Для учетных записей MySQL, использующих LDAP-аутентификацию, строка аутентификации может содержать следующую информацию для повышения гибкости проксирования:

Рассмотрим следующее определение прокси-учетной записи MySQL:

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl
  AS '+ou=People,dc=example,dc=com#grp1=usera,grp2,grp3=userc';

Строка аутентификации имеет суффикс DN пользователя ou=People,dc=example,dc=com, предваряемый символом +. Таким образом, как описано в Суффиксы DN пользователей LDAP-аутентификации, полный DN пользователя строится из указанного суффикса DN пользователя плюс имя пользователя клиента в качестве атрибута uid.

Остальная часть строки аутентификации начинается с #, что обозначает начало информации о предпочтениях групп и сопоставлениях. В этой части строки аутентификации перечислены имена групп в порядке grp1, grp2, grp3. Плагин LDAP сравнивает этот список со списком имен групп, возвращенных сервером LDAP, ищет совпадение в порядке списка по отношению к возвращенным именам. Плагин использует первое совпадение, или, если совпадения нет, аутентификация завершается неудачей.

Предположим, что сервер LDAP возвращает группы grp3, grp2 и grp7. Плагин LDAP использует grp2, потому что это первая группа в строке аутентификации, которая совпадает, даже если это не первая группа, возвращенная сервером LDAP. Если сервер LDAP возвращает grp4, grp2 и grp1, плагин использует grp1, даже если grp2 также совпадает. grp1 имеет более высокий приоритет, чем grp2, потому что он указан раньше в строке аутентификации.

Предполагая, что плагин находит совпадение имени группы, он выполняет сопоставление этого имени группы с именем прокси-пользователя MySQL, если оно есть. Для примера прокси-аккаунта сопоставление происходит следующим образом:

Если сервер LDAP возвращает группу в формате DN, плагин LDAP анализирует DN группы, чтобы извлечь из него имя группы.

Для указания предпочтения и сопоставления LDAP-групп применяются следующие принципы:

Плагины LDAP-аутентификации допускают, чтобы строка аутентификации, содержащая информацию о DN пользователя, начиналась с префикса +:

У данной строки аутентификации нет + в начале, поэтому она рассматривается как полный DN пользователя:

CREATE USER 'baldwin'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=admin,ou=People,dc=example,dc=com';

Клиент подключается с именем пользователя, указанным в аккаунте (baldwin). В этом случае это имя не используется, потому что строка аутентификации не имеет префикса и, следовательно, полностью определяет DN пользователя.

У этой строки аутентификации есть + в начале, поэтому она рассматривается как часть DN пользователя:

CREATE USER 'accounting'
  IDENTIFIED WITH authentication_ldap_simple
  AS '+ou=People,dc=example,dc=com';

Клиент подключается с именем пользователя, указанным в аккаунте (accounting), которое в данном случае используется как атрибут uid вместе со строкой аутентификации для построения DN пользователя: uid=accounting,ou=People,dc=example,dc=com

Учётные записи в предыдущих примерах имеют непустое имя пользователя, поэтому клиент всегда подключается к серверу MySQL с тем же именем, что указано в определении аккаунта. Если у аккаунта пустое имя пользователя, например, у прокси-учётной записи по умолчанию без анонимности ''@'%', описанной в LDAP-аутентификации с проксированием, клиенты могут подключаться к MySQL-серверу с различными именами пользователей. Но принцип тот же: если строка аутентификации начинается с +, плагин использует имя пользователя, отправленное клиентом, вместе со строкой аутентификации для построения DN пользователя.

LDAP-плагины аутентификации используют настраиваемый метод аутентификации. Соответствующая системная переменная и доступные варианты методов зависят от конкретного плагина:

Подробную информацию о каждом допустимом методе см. в описаниях системных переменных. Кроме того, в зависимости от метода могут потребоваться дополнительные настройки, как описано в следующих разделах.

Сервер LDAP может быть настроен для делегирования запросов LDAP другому серверу LDAP, функция, известная как пересылка запросов LDAP. Предположим, что сервер a.example.com хранит корневой DN "dc=example,dc=com" и хочет делегировать запросы другому серверу b.example.com. Для этого a.example.com будет настроен с объектом пересылки с именем, имеющим эти атрибуты:

dn: dc=subtree,dc=example,dc=com
objectClass: referral
objectClass: extensibleObject
dc: subtree
ref: ldap://b.example.com/dc=subtree,dc=example,dc=com

Проблема с включением пересылки запросов LDAP заключается в том, что запросы могут завершаться ошибками операций LDAP при поиске по корневому DN, и объекты пересылки не установлены. MySQL DBA может захотеть избежать таких ошибок пересылки для плагинов аутентификации LDAP, даже если пересылка запросов LDAP может быть установлена глобально в файле конфигурации ldap.conf. Чтобы настроить на основе плагина, должен ли сервер LDAP использовать пересылку LDAP при общении с каждым плагином, установите системные переменные authentication_ldap_simple_referral и authentication_ldap_sasl_referral. Установка любой из переменных в ON или OFF сообщает соответствующему плагину аутентификации LDAP серверу LDAP, следует ли использовать пересылку во время аутентификации MySQL. Каждая переменная имеет действие, специфичное для плагина, и не влияет на другие приложения, которые взаимодействуют с сервером LDAP. Обе переменные по умолчанию OFF.