authentication_kerberos_service_key_tab

Имя файла таблицы ключей на стороне сервера (“keytab”), содержащего ключи службы Kerberos для аутентификации билетов службы MySQL, полученных от клиентов. Имя файла должно быть указано как абсолютный путь. Если эта переменная не задана, значение по умолчанию — mysql.keytab в каталоге данных.

Файл должен существовать и содержать допустимый ключ для имени субъекта службы (SPN), иначе аутентификация клиентов будет невозможна. (SPN и тот же ключ также должны быть созданы на сервере Kerberos.) Файл может содержать несколько имен субъектов службы и их соответствующие комбинации ключей.

Файл должен быть сгенерирован администратором сервера Kerberos и скопирован в место, доступное серверу MySQL. Файл можно проверить, чтобы убедиться, что он правильный и был скопирован правильно, используя эту команду:

klist -k file_name

Для получения информации о файлах keytab см. https://web.mit.edu/kerberos/krb5-latest/doc/basic/keytab_def.html.

authentication_kerberos_service_principal

Имя субъекта службы Kerberos (SPN), которое сервер MySQL отправляет клиентам.

Значение состоит из имени службы (mysql), имени узла и имени области. Значение по умолчанию — mysql/host_name@realm_name. Область в имени субъекта службы позволяет извлекать точный ключ службы.

Чтобы использовать значение, отличное от значения по умолчанию, установите значение, используя тот же формат. Например, чтобы использовать имя узла krbauth.example.com и область MYSQL.LOCAL, установите authentication_kerberos_service_principal в mysql/krbauth.example.com@MYSQL.LOCAL.

Имя субъекта службы и ключ службы уже должны присутствовать в базе данных, управляемой сервером KDC.

Могут существовать имена субъектов службы, которые различаются только именем области.

authentication_ldap_sasl_auth_method_name

Для SASL LDAP-аутентификации, имя метода аутентификации. Связь между плагином аутентификации и LDAP-сервером происходит в соответствии с этим методом аутентификации для обеспечения безопасности пароля.

Допускаются следующие значения метода аутентификации:

authentication_ldap_sasl_bind_base_dn

Для SASL LDAP-аутентификации, базовое различающееся имя (DN). Эта переменная может использоваться для ограничения области поиска путем их привязки в определенном месте (“base”) в дереве поиска.

Предположим, что члены одного набора записей пользователей LDAP имеют следующий формат:

uid=user_name,ou=People,dc=example,dc=com

И что члены другого набора записей пользователей LDAP имеют следующий формат:

uid=user_name,ou=Admin,dc=example,dc=com

Тогда поиск работает следующим образом для разных значений базового DN:

В общем, более конкретные значения базового DN приводят к более быстрому поиску, поскольку они сильнее ограничивают область поиска.

authentication_ldap_sasl_bind_root_dn

Для SASL LDAP-аутентификации, корневое различающееся имя (DN). Эта переменная используется вместе с authentication_ldap_sasl_bind_root_pwd в качестве учетных данных для аутентификации на LDAP-сервере с целью выполнения поиска. Аутентификация использует одну или две операции привязки LDAP в зависимости от того, указывают ли имена учетных записей MySQL на DN пользователя LDAP:

authentication_ldap_sasl_bind_root_pwd

Для SASL LDAP-аутентификации, пароль для корневого distinguished name. Эта переменная используется вместе с authentication_ldap_sasl_bind_root_dn. См. описание этой переменной.

authentication_ldap_sasl_ca_path

Для SASL LDAP-аутентификации, абсолютный путь к файлу сертификата центра сертификации. Укажите этот файл, если необходимо, чтобы плагин аутентификации выполнял проверку сертификата сервера LDAP.

authentication_ldap_sasl_connect_timeout

Указывает время (в секундах), которое сервер MySQL ожидает подключения к серверу LDAP с использованием TCP.

Когда учетная запись MySQL выполняет аутентификацию с использованием LDAP, сервер MySQL пытается установить TCP-соединение с сервером LDAP, которое он использует для отправки запроса LDAP bind по соединению. Если сервер LDAP не отвечает на TCP-handshake после настроенного времени, MySQL отменяет попытку TCP-handshake и выдает сообщение об ошибке. Если параметр тайм-аута равен нулю, сервер MySQL игнорирует настройку этой системной переменной. Для получения дополнительной информации см. Setting Timeouts for LDAP Pluggable Authentication.

authentication_ldap_sasl_group_search_attr

Для SASL LDAP-аутентификации, имя атрибута, который указывает имена групп в записях каталога LDAP. Если authentication_ldap_sasl_group_search_attr имеет значение по умолчанию cn, поиск возвращает значение cn в качестве имени группы. Например, если запись LDAP со значением uid равным user1 имеет атрибут cn равный mygroup, поиск user1 возвращает mygroup в качестве имени группы.

Эта переменная должна быть пустой строкой, если вы не хотите использовать групповую или прокси-аутентификацию.

Если атрибут поиска группы является isMemberOf, LDAP-аутентификация напрямую извлекает значение атрибута пользователя isMemberOf и назначает его в качестве информации о группе. Если атрибут поиска группы не является isMemberOf, LDAP-аутентификация ищет все группы, членами которых является пользователь. (Последнее является поведением по умолчанию.) Это поведение основано на том, как информация о группах LDAP может храниться двумя способами: 1) Запись группы может иметь атрибут с именем memberUid или member со значением, которое является именем пользователя; 2) Запись пользователя может иметь атрибут с именем isMemberOf со значениями, которые являются именами групп.

authentication_ldap_sasl_group_search_filter

Для SASL LDAP-аутентификации, пользовательский фильтр поиска групп.

Значение фильтра поиска может содержать обозначения {UA} и {UD} для представления имени пользователя и полного DN пользователя. Например, {UA} заменяется именем пользователя, таким как "admin", тогда как {UD} заменяется полным DN пользователя, таким как "uid=admin,ou=People,dc=example,dc=com". Следующее значение является значением по умолчанию, которое поддерживает как OpenLDAP, так и Active Directory:

(|(&(objectClass=posixGroup)(memberUid={UA}))
  (&(objectClass=group)(member={UD})))

В некоторых случаях для сценария пользователя memberOf является простым атрибутом пользователя, который не содержит информации о группах. Для дополнительной гибкости необязательный префикс {GA} может использоваться с атрибутом поиска группы. Любой атрибут группы с префиксом {GA} рассматривается как атрибут пользователя, имеющий имена групп. Например, со значением {GA}MemberOf, если значение группы является DN, первое значение атрибута из DN группы возвращается как имя группы.

authentication_ldap_sasl_init_pool_size

Для аутентификации SASL LDAP — начальный размер пула соединений с сервером LDAP. Выберите значение для этой переменной, основываясь на среднем количестве одновременных запросов аутентификации на сервере LDAP.

Плагин использует authentication_ldap_sasl_init_pool_size и authentication_ldap_sasl_max_pool_size совместно для управления пулом соединений:

Изменения настроек системной переменной плагина могут не повлиять на соединения, уже присутствующие в пуле. Например, изменение хоста, порта или настроек TLS сервера LDAP не влияет на существующие подключения. Однако, если исходные значения переменных были неверными и пул соединений не мог быть инициализирован, плагин пытается повторно инициализировать пул для следующего запроса LDAP. В этом случае для повторной инициализации используются новые значения системных переменных.

Если authentication_ldap_sasl_max_pool_size=0 отключить пулинг, каждое подключение к LDAP, открытое плагином, использует значения системных переменных на тот момент.

authentication_ldap_sasl_log_status

Для аутентификации SASL LDAP — уровень ведения журнала для сообщений, записываемых в журнал ошибок. Следующая таблица показывает разрешённые значения уровня и их значения.

На стороне клиента сообщения могут быть записаны в стандартный вывод, установив переменную среды AUTHENTICATION_LDAP_CLIENT_LOG. Разрешённые и значения по умолчанию такие же, как для authentication_ldap_sasl_log_status.

Переменная среды AUTHENTICATION_LDAP_CLIENT_LOG применяется только к аутентификации SASL LDAP. Она не имеет эффекта для простой аутентификации LDAP, так как клиентский плагин в этом случае является mysql_clear_password, который ничего не знает об операциях LDAP.

authentication_ldap_sasl_max_pool_size

Для аутентификации SASL LDAP — максимальный размер пула соединений с сервером LDAP. Для отключения пула соединений установите эту переменную в 0.

Эта переменная используется совместно с authentication_ldap_sasl_init_pool_size. См. описание этой переменной.

authentication_ldap_sasl_referral

Для аутентификации SASL LDAP — разрешить ли переадресацию поиска LDAP. См. Переадресация поиска LDAP.

Эта переменная может быть установлена для переопределения конфигурации переадресации OpenLDAP по умолчанию; см. Плагин аутентификации LDAP и ldap.conf

authentication_ldap_sasl_response_timeout

Указывает время (в секундах), которое сервер MySQL ждёт ответа от сервера LDAP на запрос LDAP-связывания.

При аутентификации учётной записи MySQL с помощью LDAP сервер MySQL отправляет запрос LDAP-связывания на сервер LDAP. Если сервер LDAP не отвечает на запрос после заданного времени, сервер MySQL оставляет запрос и выводит сообщение об ошибке. Если значение таймаута равно нулю, сервер MySQL игнорирует это системное переменное значение. Дополнительную информацию см. в разделе Установка таймаутов для плагина аутентификации LDAP.

authentication_ldap_sasl_server_host

Для аутентификации SASL LDAP хост LDAP-сервера. Разрешенные значения для этой переменной зависят от метода аутентификации:

authentication_ldap_sasl_server_port

Для аутентификации SASL LDAP номер порта TCP/IP LDAP-сервера.

Если номер порта LDAP настроен как 636 или 3269, плагин использует LDAPS (LDAP через SSL) вместо LDAP. (LDAPS отличается от startTLS.)

authentication_ldap_sasl_tls

Для аутентификации SASL LDAP, будут ли подключения плагина к LDAP-серверу защищены. Если эта переменная включена, плагин использует TLS для безопасного подключения к LDAP-серверу. Эта переменная может быть установлена для переопределения стандартной конфигурации OpenLDAP TLS; см. LDAP-плагины аутентификации и ldap.conf. Если вы включили эту переменную, вы также можете установить переменную authentication_ldap_sasl_ca_path.

Плагины MySQL LDAP поддерживают метод StartTLS, который инициализирует TLS поверх обычного подключения LDAP.

LDAPS можно использовать, установив системную переменную authentication_ldap_sasl_server_port.

authentication_ldap_sasl_user_search_attr

Для аутентификации SASL LDAP имя атрибута, определяющего имена пользователей в записях каталога LDAP. Если имя пользователя с именем не предоставлено, плагин аутентификации ищет имя, используя этот атрибут. Например, если значение authentication_ldap_sasl_user_search_attr равно uid, поиск пользователя с именем user1 находит записи с значением uid равным user1.

authentication_ldap_simple_auth_method_name

Для простой аутентификации LDAP имя метода аутентификации. Взаимодействие между плагином аутентификации и LDAP-сервером происходит в соответствии с этим методом аутентификации.

Допустимые значения методов аутентификации:

authentication_ldap_simple_bind_base_dn

Для простой аутентификации LDAP базовое различающее имя (DN). Эта переменная может использоваться для ограничения области поиска, привязывая их к определенному месту (базовому) в дереве поиска.

Предположим, что члены одного набора записей пользователей LDAP имеют следующий вид:

uid=user_name,ou=People,dc=example,dc=com

И члены другого набора записей пользователей LDAP имеют следующий вид:

uid=user_name,ou=Admin,dc=example,dc=com

Тогда поиск работает следующим образом для различных значений базового DN:

В общем случае, более специфические значения базового DN приводят к более быстрому поиску, поскольку они более ограничивают область поиска.

authentication_ldap_simple_bind_root_dn

Для простого аутентификации по LDAP, корневое имя (DN). Эта переменная используется совместно с authentication_ldap_simple_bind_root_pwd в качестве учетных данных для аутентификации на сервере LDAP с целью выполнения запросов. Аутентификация использует одну или две операции привязки LDAP, в зависимости от того, указывает ли имя учетной записи MySQL имя DN пользователя LDAP:

authentication_ldap_simple_bind_root_pwd

Для простого аутентификации по LDAP, пароль для корневого имени (DN). Эта переменная используется совместно с authentication_ldap_simple_bind_root_dn. Смотрите описание этой переменной.

authentication_ldap_simple_ca_path

Для простого аутентификации по LDAP, абсолютный путь к файлу сертификата центра сертификации. Укажите этот файл, если требуется, чтобы плагин аутентификации проверял сертификат сервера LDAP.

authentication_ldap_simple_connect_timeout

Указывает время (в секундах), которое сервер MySQL ожидает подключения к серверу LDAP с использованием TCP.

При аутентификации пользователя MySQL с использованием LDAP сервер MySQL пытается установить TCP-соединение с сервером LDAP, которое используется для отправки запроса LDAP на соединение. Если сервер LDAP не отвечает на TCP-рукопожатие после заданного количества времени, MySQL отказывается от попытки TCP-рукопожатия и выводит сообщение об ошибке. Если значение таймаута равно нулю, сервер MySQL игнорирует это значение системной переменной. Дополнительную информацию см. в Установка таймаутов для плагина аутентификации LDAP.

authentication_ldap_simple_group_search_attr

Для простого аутентификации по LDAP, имя атрибута, указывающего имена групп в записях каталога LDAP. Если authentication_ldap_simple_group_search_attr имеет значение по умолчанию cn, результаты поиска возвращают значение cn в качестве имени группы. Например, если запись LDAP со значением uid равным user1 имеет атрибут cn со значением mygroup, результаты поиска user1 возвращают mygroup в качестве имени группы.

Если атрибут поиска группы равен isMemberOf, LDAP-аутентификация напрямую извлекает значение атрибута пользователя isMemberOf и присваивает его в качестве информации о группе. Если атрибут поиска группы не равен isMemberOf, LDAP-аутентификация ищет все группы, где пользователь является членом. (Последнее - поведение по умолчанию.) Это поведение основано на том, как информация о группах LDAP может быть хранится двумя способами: 1) запись группы может иметь атрибут, названный memberUid или member со значением, являющимся именем пользователя; 2) запись пользователя может иметь атрибут, названный isMemberOf со значениями, являющимися именами групп.

authentication_ldap_simple_group_search_filter

Для простого LDAP-аутентификации, пользовательский фильтр поиска групп.

Значение фильтра поиска может содержать {UA} и {UD} обозначения для представления имени пользователя и полного DN пользователя. Например, {UA} заменяется именем пользователя, таким как "admin", а {UD} заменяется полным DN пользователя, таким как "uid=admin,ou=People,dc=example,dc=com". Следующее значение является значением по умолчанию, которое поддерживает как OpenLDAP, так и Active Directory:

(|(&(objectClass=posixGroup)(memberUid={UA}))
  (&(objectClass=group)(member={UD})))

В некоторых случаях для сценария пользователя, memberOf является простым атрибутом пользователя, не содержащим информации о группе. Для дополнительной гибкости можно использовать необязательное префикс {GA} с атрибутом поиска группы. Любой атрибут группы с префиксом {GA} обрабатывается как атрибут пользователя, содержащий имена групп. Например, со значением {GA}MemberOf, если значение группы — DN, первое значение атрибута из DN группы возвращается как имя группы.

authentication_ldap_simple_init_pool_size

Для простого LDAP-аутентификации, начальный размер пула соединений с LDAP-сервером. Выберите значение для этой переменной на основе среднего количества одновременных запросов аутентификации на LDAP-сервер.

Плагин использует authentication_ldap_simple_init_pool_size и authentication_ldap_simple_max_pool_size совместно для управления пулом соединений:

Изменения в настройках переменных системы плагина могут не повлиять на соединения, уже находящиеся в пуле. Например, изменение хоста, порта или настроек TLS LDAP-сервера не влияет на существующие подключения. Однако, если первоначальные значения переменных были неверными, и пул соединений не мог быть инициализирован, плагин пытается повторно инициализировать пул для следующего запроса LDAP. В этом случае новые значения переменной системы используются для попытки повторной инициализации.

Если authentication_ldap_simple_max_pool_size=0 для отключения пулинга, каждое LDAP-соединение, открытое плагином, использует значения переменных системы на тот момент.

authentication_ldap_simple_log_status

Для простого LDAP-аутентификации, уровень логирования сообщений, записываемых в журнал ошибок. Следующая таблица показывает допустимые значения уровней и их значения.

authentication_ldap_simple_max_pool_size

Для простого LDAP-аутентификации, максимальный размер пула соединений с LDAP-сервером. Для отключения пулинга соединений установите эту переменную в значение 0.

Эта переменная используется совместно с authentication_ldap_simple_init_pool_size. См. описание этой переменной.

authentication_ldap_simple_referral

Для простого LDAP-аутентификации, включение LDAP-ссылок на поиск. См. LDAP-ссылка на поиск.

authentication_ldap_simple_response_timeout

Указывает время (в секундах), в течение которого сервер MySQL ожидает ответа от LDAP-сервера на запрос LDAP bind.

Когда учетная запись MySQL выполняет аутентификацию с использованием LDAP, сервер MySQL отправляет запрос LDAP bind на LDAP-сервер. Если LDAP-сервер не отвечает на запрос в течение заданного времени, MySQL прерывает запрос и выдает сообщение об ошибке. Если значение тайм-аута равно нулю, сервер MySQL игнорирует это значение системной переменной. Для получения дополнительной информации см. Setting Timeouts for LDAP Pluggable Authentication.

authentication_ldap_simple_server_host

Для простой LDAP-аутентификации, хост LDAP-сервера. Допустимые значения для этой переменной зависят от метода аутентификации:

authentication_ldap_simple_server_port

Для простой LDAP-аутентификации, номер порта TCP/IP LDAP-сервера.

Если номер порта LDAP настроен как 636 или 3269, плагин использует LDAPS (LDAP по SSL) вместо LDAP. (LDAPS отличается от startTLS.)

authentication_ldap_simple_tls

Для простой LDAP-аутентификации, являются ли соединения плагина с LDAP-сервером защищенными. Если эта переменная включена, плагин использует TLS для безопасного подключения к LDAP-серверу. Эта переменная может быть установлена для переопределения конфигурации OpenLDAP TLS по умолчанию; см. LDAP Pluggable Authentication and ldap.conf Если вы включаете эту переменную, вы также можете установить переменную authentication_ldap_simple_ca_path.

Плагины MySQL LDAP поддерживают метод StartTLS, который инициализирует TLS поверх обычного соединения LDAP.

LDAPS можно использовать, установив системную переменную authentication_ldap_simple_server_port.

authentication_ldap_simple_user_search_attr

Для простой LDAP-аутентификации, имя атрибута, который указывает имена пользователей в записях каталога LDAP. Если полное имя пользователя не указано, плагин аутентификации выполняет поиск имени, используя этот атрибут. Например, если значение authentication_ldap_simple_user_search_attr равно uid, поиск имени пользователя user1 находит записи со значением uid равным user1.

authentication_webauthn_rp_id

Эта переменная указывает идентификатор доверенной стороны, используемый для установки плагина на стороне сервера, регистрации устройств и аутентификации WebAuthn. Если выполняется попытка аутентификации WebAuthn, и это значение не совпадает с ожидаемым устройством, устройство предполагает, что оно не взаимодействует с правильным сервером, и возникает ошибка. Максимальная длина значения составляет 255 символов.