Некоторые плагины аутентификации хранят учетные данные учетных записей внутри MySQL, в таблице системы mysql.user:

Большинство обсуждений в этом разделе относится к таким плагинам аутентификации, потому что большинство возможностей управления паролями, описанных здесь, основаны на внутреннем хранении учетных данных, выполняемом самим MySQL. Другие плагины аутентификации хранят учетные данные учетных записей внешне по отношению к MySQL. Для учетных записей, использующих плагины, выполняющие аутентификацию против внешней системы учетных данных, управление паролями также должно выполняться внешне в этой системе.

Исключением является то, что параметры отслеживания неудачных попыток входа и временной блокировки учетных записей применяются ко всем учетным записям, а не только к учетным записям, использующим внутреннее хранилище учетных данных, поскольку MySQL может оценить состояние попыток входа для любой учетной записи независимо от того, использует ли она внутреннее или внешнее хранилище учетных данных.

Сведения об отдельных плагинах аутентификации см. в разделе 8.4.1, «Плагины аутентификации».

MySQL позволяет администраторам баз данных вручную истекать паролями учетных записей и устанавливать политику для автоматического истечения срока действия паролей. Политика истечения срока действия может быть установлена глобально, а отдельные учетные записи могут быть настроены на подчинение глобальной политике или переопределять глобальную политику с помощью конкретного поведения для каждой учетной записи.

Чтобы вручную истечь сроком действия пароля учетной записи, используйте оператор ALTER USER:

ALTER USER 'jeffrey'@'localhost' PASSWORD EXPIRE;

Эта операция помечает пароль как истекший в соответствующей строке в таблице системы mysql.user.

Автоматическое истечение срока действия пароля в соответствии с политикой основано на возрасте пароля, который для данной учетной записи оценивается с даты и времени последнего изменения пароля. Таблица системы mysql.user указывает для каждой учетной записи, когда ее пароль был последний раз изменен, и сервер автоматически рассматривает пароль как истекший во время подключения клиента, если его возраст превышает разрешенный срок действия. Это работает без явного ручного истечения срока действия пароля.

Чтобы установить глобальную политику автоматического истечения срока действия пароля, используйте системную переменную default_password_lifetime. Ее значение по умолчанию равно 0, что отключает автоматическое истечение срока действия пароля. Если значение default_password_lifetime является положительным целым числом N, это указывает разрешенный срок действия пароля, так что пароли должны меняться каждые N дней.

Примеры:

Глобальная политика истечения срока действия паролей применяется ко всем учетным записям, которые не были настроены для ее переопределения. Чтобы установить политику для отдельных учетных записей, используйте опцию PASSWORD EXPIRE операторов CREATE USER и ALTER USER. См. Раздел 15.7.1.3, «Оператор CREATE USER» и Раздел 15.7.1.1, «Оператор ALTER USER».

Примеры операторов для конкретных учетных записей:

Когда клиент успешно подключается, сервер определяет, истек ли пароль учетной записи:

Если пароль истек (вручную или автоматически), сервер либо отключает клиента, либо ограничивает разрешенные ему операции (см. Раздел 8.2.16, «Обработка сервером истекших паролей»). Операции, выполняемые ограниченным клиентом, приводят к ошибке до тех пор, пока пользователь не установит новый пароль учетной записи:

mysql> SELECT 1;
ERROR 1820 (HY000): You must reset your password using ALTER USER
statement before executing this statement.

mysql> ALTER USER USER() IDENTIFIED BY 'password';
Query OK, 0 rows affected (0.01 sec)

mysql> SELECT 1;
+---+
| 1 |
+---+
| 1 |
+---+
1 row in set (0.00 sec)

После того как клиент сбросит пароль, сервер восстанавливает обычный доступ для сеанса, а также для последующих подключений, использующих учетную запись. Также администратор может сбросить пароль учетной записи, но любые существующие ограниченные сеансы для этой учетной записи останутся ограниченными. Клиент, использующий учетную запись, должен отключиться и подключиться заново, прежде чем операторы могут быть успешно выполнены.

MySQL позволяет устанавливать ограничения на повторное использование предыдущих паролей. Ограничения на повторное использование могут быть установлены на основе количества изменений пароля, прошедшего времени или того и другого. Политика повторного использования может быть установлена глобально, и отдельные учетные записи могут быть настроены на подчинение глобальной политике или переопределять глобальную политику с помощью конкретного поведения для каждой учетной записи.

История паролей учетной записи состоит из паролей, которые ей были назначены в прошлом. MySQL может ограничивать выбор новых паролей из этой истории:

Чтобы установить политику повторного использования пароля глобально, используйте системные переменные password_history и password_reuse_interval.

Примеры:

Глобальная политика повторного использования паролей применяется ко всем учетным записям, которые не были настроены для ее переопределения. Чтобы установить политику для отдельных учетных записей, используйте опции PASSWORD HISTORY и PASSWORD REUSE INTERVAL операторов CREATE USER и ALTER USER. См. Раздел 15.7.1.3, «Оператор CREATE USER» и Раздел 15.7.1.1, «Оператор ALTER USER».

Примеры операторов для конкретных учетных записей:

Можно потребовать, чтобы попытки изменения пароля учетной записи подтверждались указанием текущего пароля, который должен быть заменён. Это позволяет администраторам баз данных предотвратить изменение пароля пользователями без подтверждения, что они знают текущий пароль. Такие изменения могут произойти, например, если пользователь временно покидает сеанс терминала, не выходя из системы, а злоумышленник использует этот сеанс для изменения пароля MySQL исходного пользователя. Это может иметь негативные последствия:

Политика проверки паролей может быть установлена глобально, а отдельные учетные записи могут либо следовать глобальной политике, либо переопределять её с помощью специфического поведения для каждой учетной записи.

Для каждой учетной записи в строке mysql.user указывается, требуется ли для изменения пароля подтверждение текущего пароля. Эта настройка устанавливается с помощью опции PASSWORD REQUIRE в CREATE USER и ALTER USER операторах:

Другими словами, если настройка учетной записи не равна PASSWORD REQUIRE CURRENT DEFAULT, настройка учетной записи имеет приоритет над глобальной политикой, установленной системой переменной password_require_current. В противном случае учетная запись подчиняется настройке password_require_current.

По умолчанию проверка пароля необязательна: password_require_current отключена, и учетные записи, созданные без опции PASSWORD REQUIRE, по умолчанию устанавливаются на PASSWORD REQUIRE CURRENT DEFAULT.

В следующей таблице показано, как настройки для каждой учетной записи взаимодействуют со значениями системы переменной password_require_current для определения политики обязательной проверки пароля учетной записи.

Для установки глобальной политики проверки паролей используйте системную переменную password_require_current. Её значение по умолчанию равно OFF, поэтому не требуется указывать текущий пароль при изменении пароля учетной записи.

Примеры:

Глобальная политика обязательной проверки паролей применяется ко всем учетным записям, которые не были настроены на её переопределение. Для установки политики для отдельных учетных записей используйте опции PASSWORD REQUIRE операторов CREATE USER и ALTER USER. См. Раздел 15.7.1.3, “CREATE USER Statement” и Раздел 15.7.1.1, “ALTER USER Statement”.

Примеры операторов для отдельных учетных записей:

Проверка текущего пароля используется, когда пользователь меняет пароль с помощью оператора ALTER USER или SET PASSWORD. В примерах используется ALTER USER, что предпочтительнее SET PASSWORD, но принципы описаны здесь одинаковы для обоих операторов.

В операторах изменения пароля условие REPLACE указывает текущий пароль, подлежащий замене. Примеры:

Условие REPLACE работает следующим образом:

Пользовательские учетные записи могут иметь двойные пароли, обозначенные как основной и дополнительный пароли. Возможность двойных паролей позволяет беспрепятственно изменять учетные данные в таких сценариях:

Рассмотрим, как необходимо выполнить изменение учетных данных в описанном сценарии, если учетная запись допускает только один пароль. В этом случае требуется тесное взаимодействие по времени изменения пароля учетной записи и его распространения по всем серверам, а также обновление всех приложений, использующих учетную запись, для использования нового пароля. Этот процесс может включать время простоя, в течение которого серверы или приложения недоступны.

С двойными паролями изменение учетных данных можно выполнить легче, поэтапно, без необходимости тесного взаимодействия и без простоя:

MySQL реализует возможность двойных паролей с синтаксисом, который сохраняет и удаляет дополнительные пароли:

Предположим, что для описанного выше сценария изменения учетных данных учетная запись с именем 'appuser1'@'host1.example.com' используется приложениями для подключения к серверам, и пароль учетной записи должен быть изменён с 'password_a' на 'password_b'.

Для выполнения этого изменения учетных данных используйте ALTER USER следующим образом:

Операторы RETAIN CURRENT PASSWORD и DISCARD OLD PASSWORD имеют следующие эффекты:

Для операторов, которые изменяют дополнительные пароли, требуются следующие привилегии:

Операторы CREATE USER, ALTER USER и SET PASSWORD имеют возможность генерировать случайные пароли для учетных записей пользователей, как альтернативу требованию явного пароля, указанного администратором. Подробности синтаксиса см. в описании каждого оператора. В этом разделе описаны общие характеристики сгенерированных случайных паролей.

По умолчанию сгенерированные случайные пароли имеют длину 20 символов. Эта длина контролируется системной переменной generated_random_password_length, которая может принимать значения от 5 до 255.

Для каждой учетной записи, для которой оператор генерирует случайный пароль, оператор сохраняет пароль в таблице mysql.user, хешируя его соответствующим образом для плагина аутентификации учетной записи. Оператор также возвращает открытый текст пароля в строке набора результатов, чтобы сделать его доступным для пользователя или приложения, выполняющего оператор. Столбцы набора результатов называются user, host, generated password и auth_factor, показывая значения имени пользователя и имени хоста, которые идентифицируют соответствующую строку в таблице mysql.user, сгенерированный открытый текст пароля и фактор аутентификации, к которому относится отображаемое значение пароля.

mysql> CREATE USER
       'u1'@'localhost' IDENTIFIED BY RANDOM PASSWORD,
       'u2'@'%.example.com' IDENTIFIED BY RANDOM PASSWORD,
       'u3'@'%.org' IDENTIFIED BY RANDOM PASSWORD;
+------+---------------+----------------------+-------------+
| user | host          | generated password   | auth_factor |
+------+---------------+----------------------+-------------+
| u1   | localhost     | iOeqf>Mh9:;XD&qn(Hl} |           1 |
| u2   | %.example.com | sXTSAEvw3St-R+_-C3Vb |           1 |
| u3   | %.org         | nEVe%Ctw/U/*Md)Exc7& |           1 |
+------+---------------+----------------------+-------------+
mysql> ALTER USER
       'u1'@'localhost' IDENTIFIED BY RANDOM PASSWORD,
       'u2'@'%.example.com' IDENTIFIED BY RANDOM PASSWORD;
+------+---------------+----------------------+-------------+
| user | host          | generated password   | auth_factor |
+------+---------------+----------------------+-------------+
| u1   | localhost     | Seiei:&cw}8]@3OA64vh |           1 |
| u2   | %.example.com | j@&diTX80l8}(NiHXSae |           1 |
+------+---------------+----------------------+-------------+
mysql> SET PASSWORD FOR 'u3'@'%.org' TO RANDOM;
+------+-------+----------------------+-------------+
| user | host  | generated password   | auth_factor |
+------+-------+----------------------+-------------+
| u3   | %.org | n&cz2xF;P3!U)+]Vw52H |           1 |
+------+-------+----------------------+-------------+

CREATE USER, ALTER USER или SET PASSWORD оператор, генерирующий случайный пароль для учетной записи, записывается в двоичный журнал как оператор CREATE USER или ALTER USER с оператором IDENTIFIED WITH auth_plugin AS 'auth_string', где auth_plugin — плагин аутентификации учетной записи, а 'auth_string' — хешированное значение пароля учетной записи.

Если компонент validate_password установлен, политика, которую он реализует, не влияет на сгенерированные пароли. (Цель проверки паролей — помочь людям создавать более надежные пароли.)

Администраторы могут настроить учетные записи пользователей таким образом, что слишком большое количество последовательных неудачных попыток входа приведет к временной блокировке учетной записи.

«Неудачная попытка входа» в данном контексте означает неудачу клиента в предоставлении правильного пароля во время попытки подключения. Это не включает в себя неудачу подключения по причинам, таким как неизвестный пользователь или проблемы с сетью. Для учетных записей с двойными паролями (см. Поддержка двойных паролей) любая из учетных записей паролей считается правильной.

Необходимое количество неудачных попыток входа и время блокировки настраиваются для каждой учетной записи с помощью параметров FAILED_LOGIN_ATTEMPTS и PASSWORD_LOCK_TIME операторов CREATE USER и ALTER USER. Примеры:

CREATE USER 'u1'@'localhost' IDENTIFIED BY 'password'
  FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 3;

ALTER USER 'u2'@'localhost'
  FAILED_LOGIN_ATTEMPTS 4 PASSWORD_LOCK_TIME UNBOUNDED;

При возникновении слишком большого количества последовательных неудачных попыток входа клиент получает ошибку, которая выглядит следующим образом:

ERROR 3957 (HY000): Access denied for user user.
Account is blocked for D day(s) (R day(s) remaining)
due to N consecutive failed logins.

Используйте параметры следующим образом:

Допустимые значения N для каждого параметра находятся в диапазоне от 0 до 32767. Значение 0 отключает параметр.

Отслеживание неудачных попыток входа и временная блокировка учетных записей имеют следующие характеристики:

При чтении таблиц разрешений сервер инициализирует информацию о состоянии каждой учетной записи относительно того, включено ли отслеживание неудачных попыток входа, заблокирована ли учетная запись в настоящее время, время начала блокировки (если она заблокирована), и количество неудач перед временной блокировкой, если учетная запись не заблокирована.

Информацию о состоянии учетной записи можно сбросить, что означает сброс подсчета неудачных попыток входа и разблокировку учетной записи, если она заблокирована. Сброс учетных записей может быть глобальным для всех учетных записей или по каждой учетной записи:

Отслеживание неудачных попыток входа связано с учетной записью входа, которая используется для проверки учетных данных. Если используется проксирование пользователя, отслеживание происходит для прокси-пользователя, а не для проксируемого пользователя. То есть, отслеживание связано с учетной записью, указанной в USER(), а не с учетной записью, указанной в CURRENT_USER(). Сведения о различии между прокси- и проксируемыми пользователями см. в разделе 8.2.19, «Proxy Users».