В этом разделе представлен обзор совместной работы MySQL и PAM для аутентификации пользователей MySQL. Примеры настройки учетных записей MySQL для использования конкретных PAM-сервисов см. в разделе Использование PAM-подключаемой аутентификации.

В этом разделе описывается, как установить плагин проверки подлинности PAM на стороне сервера. Для получения общей информации об установке плагинов см. Раздел 7.6.1, «Установка и удаление плагинов».

Для использования плагином сервером, библиотечный файл плагина должен находиться в каталоге плагинов MySQL (каталог, указанный переменной системы plugin_dir). При необходимости, настройте расположение каталога плагинов, установив значение переменной plugin_dir при запуске сервера.

Базовое имя файла библиотеки плагина — authentication_pam, и обычно оно компилируется с суффиксом .so.

Для загрузки плагина при запуске сервера используйте опцию --plugin-load-add для указания имени библиотечного файла, содержащего плагин. С этим методом загрузки плагина, опция должна указываться каждый раз при запуске сервера. Например, добавьте эти строки в файл конфигурации сервера my.cnf:

[mysqld]
plugin-load-add=authentication_pam.so

После изменения my.cnf перезапустите сервер, чтобы новые настройки вступили в силу.

В качестве альтернативы, для загрузки плагина во время выполнения используйте это утверждение, соответственно изменив суффикс .so:

INSTALL PLUGIN authentication_pam SONAME 'authentication_pam.so';

INSTALL PLUGIN загружает плагин немедленно и также регистрирует его в системной таблице mysql.plugins, чтобы сервер загружал его при каждом последующем нормальном запуске без необходимости использования --plugin-load-add.

Для проверки установки плагина, проверьте таблицу схемы информации PLUGINS или используйте утверждение SHOW PLUGINS (см. Раздел 7.6.2, «Получение информации о плагинах сервера»). Например:

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME LIKE '%pam%';
+--------------------+---------------+
| PLUGIN_NAME        | PLUGIN_STATUS |
+--------------------+---------------+
| authentication_pam | ACTIVE        |
+--------------------+---------------+

Если плагин не удается инициализировать, проверьте журнал ошибок сервера на наличие диагностических сообщений.

Для связывания учетных записей MySQL с плагином PAM см. Использование плагина PAM для проверки подлинности.

Метод удаления плагина проверки подлинности PAM зависит от способа его установки:

В этом разделе в общих чертах описывается, как использовать плагин аутентификации PAM для подключения от клиентских программ MySQL к серверу. В следующих разделах приведены инструкции по использованию аутентификации PAM различными способами. Предполагается, что сервер работает с включенным плагином PAM на стороне сервера, как описано в Установка подключаемого модуля аутентификации PAM.

Для ссылки на плагин аутентификации PAM в разделе IDENTIFIED WITH оператора CREATE USER используйте имя authentication_pam. Например:

CREATE USER user
  IDENTIFIED WITH authentication_pam
  AS 'auth_string';

Строка аутентификации указывает следующие типы информации:

Например, если учетная запись использует имя службы PAM mysql-unix и должна отображать пользователей операционной системы в группах PAM root и users в пользователей MySQL developer и data_entry соответственно, используйте такое утверждение:

CREATE USER user
  IDENTIFIED WITH authentication_pam
  AS 'mysql-unix, root=developer, users=data_entry';

Синтаксис строки аутентификации для плагина аутентификации PAM подчиняется следующим правилам:

Если плагин успешно выполняет аутентификацию имени внешнего пользователя (имя, переданное клиентом), он ищет список отображения групп PAM в строке аутентификации и, если он присутствует, использует его для возврата имени пользователя MySQL, отличного от внешнего, в зависимости от того, к каким группам PAM принадлежит внешний пользователь:

В следующих разделах описываются различные сценарии аутентификации, использующие плагин аутентификации PAM:

Возможны и другие варианты этих сценариев:

В примерах делаются следующие предположения. Возможно, вам потребуется внести некоторые коррективы, если ваша система настроена по-другому.

Плагин аутентификации PAM проверяет при инициализации, установлено ли значение переменной среды AUTHENTICATION_PAM_LOG в среде запуска сервера. Если да, плагин включает протоколирование диагностических сообщений в стандартный вывод. В зависимости от того, как запущен ваш сервер, сообщение может появиться на консоли или в журнале ошибок. Эти сообщения могут быть полезны для отладки проблем, связанных с PAM, которые возникают при выполнении аутентификации плагином. Дополнительные сведения см. в разделе Отладка аутентификации PAM.

Этот сценарий аутентификации использует PAM для проверки внешних пользователей, определенных с помощью имен операционных систем и паролей Unix, без проксирования. Каждый такой внешний пользователь, которому разрешен доступ к серверу MySQL, должен иметь соответствующую учетную запись MySQL, настроенную для использования аутентификации PAM через традиционный хранилище паролей Unix.

Этот сценарий аутентификации использует PAM для проверки внешних пользователей, определённых с помощью имён пользователей операционной системы и LDAP-паролей, без проксирования. Каждый такой внешний пользователь, которому разрешен доступ к серверу MySQL, должен иметь соответствующую учетную запись MySQL, настроенную для использования аутентификации PAM через LDAP.

Для использования подключаемой аутентификации PAM LDAP для MySQL должны быть выполнены следующие предварительные условия:

Настройка MySQL для аутентификации PAM LDAP выполняется следующим образом:

Схема аутентификации, описанная здесь, использует проксирование и сопоставление групп PAM для сопоставления подключаемых пользователей MySQL, которые проходят аутентификацию с помощью PAM, с другими учетными записями MySQL, которые определяют разные наборы привилегий. Пользователи не подключаются напрямую через учетные записи, определяющие привилегии. Вместо этого они подключаются через учетную запись-прокси по умолчанию, аутентифицированную с помощью PAM, таким образом, все внешние пользователи сопоставляются с учетными записями MySQL, которые содержат привилегии. Любой пользователь, который подключается с помощью учетной записи-прокси, сопоставляется с одной из этих учетных записей MySQL, привилегии которой определяют операции с базой данных, разрешенные внешнему пользователю.

В данном примере используется аутентификация паролей Unix. Чтобы использовать LDAP, см. начальные шаги в PAM LDAP-аутентификация без прокси-пользователей.

В некоторых системах аутентификация Unix использует хранилище паролей, например, /etc/shadow, это файл, который обычно имеет ограниченные права доступа. Это может привести к сбоям аутентификации MySQL на основе PAM. К сожалению, реализация PAM не позволяет отличить «пароль не может быть проверен» (например, из-за невозможности чтения файла /etc/shadow) от «пароль не совпадает». Если вы используете хранилище паролей Unix для аутентификации PAM, вы можете включить доступ к нему из MySQL, используя один из следующих методов:

Плагин аутентификации PAM во время инициализации проверяет, установлено ли значение среды AUTHENTICATION_PAM_LOG. Если да, плагин включает протоколирование диагностических сообщений в стандартный вывод. Эти сообщения могут быть полезны для отладки проблем, связанных с PAM, возникающих при выполнении аутентификации плагином.

Установка AUTHENTICATION_PAM_LOG=1 (или любого другого произвольного значения) не включает какие-либо пароли. Если вы хотите включить пароли в эти сообщения, установите AUTHENTICATION_PAM_LOG=PAM_LOG_WITH_SECRET_INFO.

Некоторые сообщения включают ссылку на исходные файлы плагина PAM и номера строк, что позволяет более тесно связать действия плагина с местоположением в коде, где они происходят.

Другой метод отладки сбоев подключения и определения того, что происходит во время попыток подключения, — настройка аутентификации PAM для разрешения всех подключений, а затем проверка системных журналов. Этот метод следует применять только временно, а не на сервере в производстве.

Настройте файл службы PAM с именем /etc/pam.d/mysql-any-password с таким содержимым (формат может отличаться на некоторых системах):

#%PAM-1.0
auth        required    pam_permit.so
account     required    pam_permit.so

Создайте учетную запись, использующую плагин PAM, и назовите службу PAM mysql-any-password:

CREATE USER 'testuser'@'localhost'
  IDENTIFIED WITH authentication_pam
  AS 'mysql-any-password';

Файл службы mysql-any-password заставляет любую попытку аутентификации возвращать true, даже для неправильных паролей. Если попытка аутентификации завершается неудачно, это указывает на то, что проблема конфигурации находится на стороне MySQL. В противном случае проблема на стороне операционной системы/PAM. Чтобы увидеть, что может происходить, проверьте системные журналы, такие как /var/log/secure, /var/log/audit.log, /var/log/syslog или /var/log/messages.

После определения проблемы удалите файл службы PAM mysql-any-password, чтобы отключить доступ с любым паролем.