Плагин, выполняющий родную аутентификацию; т.е. аутентификацию, основанную на методе хеширования паролей, используемом до внедрения подключаемых модулей аутентификации в MySQL. Плагин mysql_native_password реализует аутентификацию, основанную на этом методе родного хеширования паролей. См. раздел 8.4.1.1 «Родная подключаемая аутентификация».

Плагины, выполняющие аутентификацию с использованием хеширования паролей SHA-256. Это более сильное шифрование, чем то, которое доступно с родной аутентификацией. См. раздел 8.4.1.2 «Кэшируемая аутентификация SHA-2» и раздел 8.4.1.3 «Аутентификация SHA-256».

Плагин на стороне клиента, который отправляет пароль на сервер без хеширования или шифрования. Этот плагин используется совместно с плагинами на стороне сервера, которые требуют доступа к паролю в точности так, как он предоставлен пользователем-клиентом. См. раздел 8.4.1.4 «Аутентификация на стороне клиента с открытым текстом».

Фактор 1: Если элемент 1 из authentication_policy называет подключаемый модуль аутентификации, то этот модуль является модулем по умолчанию. Если элемент 1 из authentication_policy равен *, то caching_sha2_password является модулем по умолчанию.

С учётом вышеуказанных правил, следующий оператор создаёт учётную запись с двухфакторной аутентификацией, причём метод аутентификации первого фактора определяется authentication_policy, как показано здесь:

CREATE USER 'wei'@'localhost' IDENTIFIED BY 'password'
  AND IDENTIFIED WITH authentication_ldap_simple;

Аналогично, этот пример создаёт учётную запись с трёхфакторной аутентификацией:

CREATE USER 'mateo'@'localhost' IDENTIFIED BY 'password'
  AND IDENTIFIED WITH authentication_ldap_simple
  AND IDENTIFIED WITH authentication_fido;

Вы можете использовать SHOW CREATE USER для просмотра применённых методов аутентификации.

Фактор 2 или 3: Если соответствующий элемент из authentication_policy называет подключаемый модуль аутентификации, то этот модуль является модулем по умолчанию. Если элемент authentication_policy равен * или пуст, то модуль по умолчанию отсутствует; попытка определить метод аутентификации учётной записи для фактора без указания модуля — ошибка, как в следующих примерах:

mysql> CREATE USER 'sofia'@'localhost' IDENTIFIED WITH authentication_ldap_simple
       AND IDENTIFIED BY 'abc';
ERROR 1524 (HY000): Plugin '' is not loaded

mysql> CREATE USER 'sofia'@'localhost' IDENTIFIED WITH authentication_ldap_simple
       AND IDENTIFIED BY 'abc';
ERROR 1524 (HY000): Plugin '*' is not loaded

При необходимости установите библиотеку или библиотеки с необходимыми подключаемыми модулями. На серверном хосте установите библиотеку с серверным подключаемым модулем, чтобы сервер мог его использовать для аутентификации подключений клиентов. Аналогично, на каждом клиентском хосте установите библиотеку с клиентским подключаемым модулем для использования клиентскими программами. Встроенные подключаемые модули аутентификации устанавливать не нужно.

Для каждой учётной записи MySQL, которую вы создаёте, укажите соответствующий серверный подключаемый модуль для аутентификации. Если учётная запись должна использовать подключаемый модуль аутентификации по умолчанию, то в операторе создания учётной записи нет необходимости явно указывать модуль. Сервер назначает подключаемый модуль аутентификации по умолчанию, как описано в Подключаемом модуле аутентификации по умолчанию.

При подключении клиента серверный подключаемый модуль сообщает клиентской программе, какой клиентский подключаемый модуль использовать для аутентификации.

Подключение с помощью клиентской программы MySQL 5.7 версии 5.7.22 или ниже к серверу MySQL 8.4 с учётной записью, которая аутентифицируется с помощью caching_sha2_password. Это завершается ошибкой, поскольку клиентская программа 5.7 не распознаёт этот модуль. (Эта проблема решена в MySQL 5.7 начиная с версии 5.7.23, когда поддержка клиентского подключаемого модуля caching_sha2_password была добавлена в библиотеку клиентской программы MySQL и клиентские программы.)

Подключение с помощью клиентской программы MySQL 5.7 к учётной записи сервера версии до 5.7, которая аутентифицируется с помощью mysql_old_password. Это завершается ошибкой по нескольким причинам. Во-первых, такое подключение требует --secure-auth=0, которое больше не поддерживается. Даже если бы оно поддерживалось, клиентская программа 5.7 не распознаёт этот модуль, поскольку он был удалён в MySQL 5.7.

Подключение с помощью клиентской программы MySQL 5.7 из дистрибутива Community к серверу MySQL 5.7 Enterprise с учётной записью, которая использует один из подключаемых модулей аутентификации LDAP, доступных только для Enterprise. Это завершается ошибкой, поскольку клиентская программа Community не имеет доступа к модулю Enterprise.

В MySQL 5.7, libmysqlclient использует в качестве своего варианта по умолчанию либо mysql_native_password, либо подключаемый модуль, указанный с помощью опции MYSQL_DEFAULT_AUTH для .

Когда клиент 5.7 пытается подключиться к серверу 8.4, сервер указывает caching_sha2_password в качестве подключаемого модуля аутентификации по умолчанию, но клиент по-прежнему отправляет данные учетных данных в соответствии с либо mysql_native_password, либо любым указанным с помощью MYSQL_DEFAULT_AUTH.

Единственный случай, когда клиент загружает подключаемый модуль, указанный сервером, — это запрос изменения подключаемого модуля, но в этом случае это может быть любой подключаемый модуль в зависимости от учётной записи пользователя. В этом случае клиент должен попытаться загрузить подключаемый модуль, и если этот модуль недоступен, ошибка является обязательной.

Общие ограничения на использование подключаемого модуля аутентификации

Подключаемый модуль аутентификации и сторонние соединители

Connector/C++: Клиенты, использующие этот соединитель, могут подключаться к серверу только через учетные записи, использующие родную аутентификацию.

Исключение: соединитель поддерживает подключаемый модуль аутентификации, если он был разработан для динамической (а не статической) связи с libmysqlclient и загружает текущую версию libmysqlclient, если она установлена, или если соединитель перекомпилирован из исходного кода для связи с текущей libmysqlclient.

Дополнительную информацию о разработке соединителей для обработки информации от сервера о стандартном серверном плагине аутентификации см. в разделе Учёт при написании соединителей плагинов аутентификации.

Connector/NET: Клиенты, использующие Connector/NET, могут подключаться к серверу через учетные записи, использующие родную аутентификацию или родную аутентификацию Windows.

Connector/PHP: Клиенты, использующие этот соединитель, могут подключаться к серверу только через учетные записи, использующие родную аутентификацию, при компиляции с использованием родного драйвера MySQL для PHP (mysqlnd).

Родная аутентификация Windows: Подключение через учетную запись, использующую плагин Windows, требует настройки домена Windows. Без этого используется аутентификация NTLM, и возможны только локальные подключения; то есть клиент и сервер должны работать на одном компьютере.

Пользователи-прокси: Поддержка пользователей-прокси доступна в той мере, в какой клиенты могут подключаться через учетные записи, аутентифицированные плагинами, реализующими возможность пользователя-прокси (то есть плагинами, которые могут возвращать имя пользователя, отличное от имени подключившегося пользователя). Например, плагины PAM и Windows поддерживают пользователей-прокси. Плагины аутентификации mysql_native_password (устаревший) и sha256_password (устаревший) по умолчанию не поддерживают пользователей-прокси, но могут быть настроены на это; см. Поддержка сервера для сопоставления пользователей-прокси.

Репликация: Реплики могут использовать учетные записи пользователей репликации с родной аутентификацией, а также подключаться через учетные записи пользователей репликации, использующие неродную аутентификацию, если доступен требуемый плагин на стороне клиента. Если плагин встроен в libmysqlclient, он доступен по умолчанию. В противном случае плагин должен быть установлен на стороне реплики в каталоге, указанном переменной системы реплики plugin_dir.

FEDERATED таблицы: Таблица FEDERATED может получить доступ к удалённой таблице только через учетные записи на удалённом сервере, использующие родную аутентификацию.

Существующий соединитель, в который не вносились изменения, использует родную аутентификацию, и клиенты, использующие соединитель, могут подключаться к серверу только через учетные записи, использующие родную аутентификацию. Однако вы должны протестировать соединитель на последней версии сервера, чтобы убедиться, что такие подключения по-прежнему работают без проблем.

Исключение: соединитель может работать с подключаемым модулем аутентификации без изменений, если он связан с libmysqlclient динамически (а не статически) и загружает текущую версию libmysqlclient, если она установлена.

Чтобы воспользоваться возможностями подключаемого модуля аутентификации, соединитель, основанный на libmysqlclient, должен быть пересоединён с текущей версией libmysqlclient. Это позволит соединителю поддерживать подключения через учетные записи, требующие теперь плагинов на стороне клиента, встроенных в libmysqlclient (например, плагин cleartext, необходимый для аутентификации PAM, и плагин Windows, необходимый для родной аутентификации Windows). Связь с текущей libmysqlclient также позволит соединителю получить доступ к плагинам на стороне клиента, установленным в стандартном каталоге плагинов MySQL (обычно каталог, указанный значением по умолчанию локальной переменной сервера plugin_dir).

Если соединитель связывается с libmysqlclient динамически, необходимо убедиться, что на клиентском узле установлена более новая версия libmysqlclient и что соединитель загружает её во время выполнения.

Другой способ, чтобы соединитель поддерживал данный метод аутентификации, — реализовать его непосредственно в протоколе клиент/сервер. Connector/NET использует этот подход для поддержки родной аутентификации Windows.

Если соединителю необходимо загружать плагины на стороне клиента из каталога, отличного от стандартного каталога плагинов, он должен реализовать способ для клиентов указать каталог. Возможные варианты включают опцию командной строки или переменную среды, из которой соединитель может получить имя каталога. Стандартные программы MySQL-клиентов, такие как mysql и mysqladmin, реализуют опцию --plugin-dir. См. также.

Поддержка пользователей-прокси соединителем зависит, как описано ранее в этом разделе, от того, допускают ли поддерживаемые им методы аутентификации пользователей-прокси.