Этот раздел описывает, как установить плагин аутентификации Windows на стороне сервера. Дополнительную информацию об установке плагинов см. в Разделе 7.6.1, «Установка и удаление плагинов».

Для использования сервером, файл библиотеки плагина должен находиться в каталоге плагинов MySQL (каталог, указанный переменной системы plugin_dir). При необходимости настройте расположение каталога плагинов, установив значение plugin_dir при запуске сервера.

Для загрузки плагина при запуске сервера используйте опцию --plugin-load-add для указания имени файла библиотеки, содержащего плагин. С этим методом загрузки плагина опция должна указываться каждый раз при запуске сервера. Например, поместите эти строки в файл сервера my.cnf:

[mysqld]
plugin-load-add=authentication_windows.dll

После изменения my.cnf перезапустите сервер, чтобы новые настройки вступили в силу.

В качестве альтернативы, для загрузки плагина во время работы используйте следующее утверждение:

INSTALL PLUGIN authentication_windows SONAME 'authentication_windows.dll';

INSTALL PLUGIN загружает плагин немедленно и также регистрирует его в таблице системы mysql.plugins, чтобы сервер загружал его при каждом последующем нормальном запуске без необходимости в --plugin-load-add.

Для проверки установки плагина, проверьте таблицу схемы информации PLUGINS или используйте оператор SHOW PLUGINS (см. Раздел 7.6.2, «Получение информации о серверном плагине»). Например:

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME LIKE '%windows%';
+------------------------+---------------+
| PLUGIN_NAME            | PLUGIN_STATUS |
+------------------------+---------------+
| authentication_windows | ACTIVE        |
+------------------------+---------------+

Если плагин не может инициализироваться, проверьте журнал ошибок сервера на наличие диагностических сообщений.

Для связывания MySQL-учёных с плагином аутентификации Windows см. Использование Windows Pluggable Authentication. Дополнительный контроль плагина предоставляется переменными системы authentication_windows_use_principal_name и authentication_windows_log_level. Смотрите Раздел 7.1.8, «Переменные системы сервера».

Способ удаления плагина аутентификации Windows зависит от того, как вы его установили:

Кроме того, удалите все опции запуска, устанавливающие переменные системы, связанные с плагином Windows.

Подключаемый модуль аутентификации Windows поддерживает использование учетных записей MySQL таким образом, что пользователи, авторизовавшиеся в Windows, могут подключаться к серверу MySQL без необходимости ввода дополнительного пароля. Предполагается, что сервер работает с включенным подключаемым модулем на стороне сервера, как описано в Разделе по установке подключаемого модуля аутентификации Windows. После того, как администратор базы данных включил подключаемый модуль на стороне сервера и настроив учетные записи для его использования, клиенты могут подключаться с использованием этих учетных записей без необходимости дополнительных настроек с их стороны.

Для обращения к подключаемому модулю аутентификации Windows в разделе IDENTIFIED WITH оператора CREATE USER используйте имя authentication_windows. Предположим, что пользователям Windows Rafal и Tasha необходимо разрешить подключение к MySQL, а также всем пользователям в группе Administrators или Power Users. Для настройки этого создайте учетную запись MySQL с именем sql_admin, которая использует подключаемый модуль Windows для аутентификации:

CREATE USER sql_admin
  IDENTIFIED WITH authentication_windows
  AS 'Rafal, Tasha, Administrators, "Power Users"';

Имя подключаемого модуля — authentication_windows. Строка, следующая за ключевым словом AS, — это строка аутентификации. Она указывает, что пользователи Windows с именами Rafal или Tasha могут пройти аутентификацию на сервере как пользователь MySQL sql_admin, а также любые пользователи Windows в группе Administrators или Power Users. Последнее имя группы содержит пробел, поэтому оно должно быть заключено в двойные кавычки.

После создания учетной записи sql_admin пользователь, авторизовавшийся в Windows, может попытаться подключиться к серверу с использованием этой учетной записи:

C:\> mysql --user=sql_admin

Пароль здесь не требуется. Подключаемый модуль authentication_windows использует API безопасности Windows для проверки пользователя Windows, который подключается. Если этот пользователь имеет имя Rafal или Tasha, или является членом группы Administrators или Power Users, сервер предоставляет доступ, и клиент аутентифицируется как sql_admin и имеет любые привилегии, предоставленные учетной записи sql_admin. В противном случае сервер отказывает в доступе.

Синтаксис строки аутентификации для подключаемого модуля аутентификации Windows соответствует следующим правилам:

При вызове сервером для аутентификации клиента, подключаемый модуль сканирует строку аутентификации слева направо, ища соответствие имени пользователя или группы имени пользователя Windows. Если совпадение найдено, подключаемый модуль возвращает соответствующее mysql_user_name серверу MySQL. Если совпадения нет, аутентификация не удается.

Совпадение имени пользователя имеет приоритет над совпадением имени группы. Предположим, что пользователь Windows с именем win_user является членом группы win_group, и строка аутентификации выглядит так:

'win_group = sql_user1, win_user = sql_user2'

Когда win_user подключается к серверу MySQL, существует совпадение как с win_group, так и с win_user. Подключаемый модуль аутентифицирует пользователя как sql_user2, так как более точное совпадение имени пользователя имеет приоритет над совпадением имени группы, даже если группа указана первой в строке аутентификации.

Аутентификация Windows всегда работает для подключений с одного и того же компьютера, на котором работает сервер. Для подключений между компьютерами оба компьютера должны быть зарегистрированы в Microsoft Active Directory. Если они находятся в одном домене Windows, не нужно указывать имя домена. Также возможно разрешить подключения из другого домена, как в этом примере:

CREATE USER sql_accounting
  IDENTIFIED WITH authentication_windows
  AS 'SomeDomain\\Accounting';

Здесь SomeDomain — имя другого домена. Символ обратного слэша удваивается, так как это символ экранирования MySQL в строках.

MySQL поддерживает понятие прокси-пользователей, при котором клиент может подключаться и проходить аутентификацию на сервере MySQL с использованием одной учетной записи, но при подключении имеет привилегии другой учетной записи (см. Раздел 8.2.19, «Прокси-пользователи»). Предположим, что вы хотите, чтобы пользователи Windows подключались с использованием одного имени пользователя, но сопоставлялись на основе своего имени пользователя и имени группы Windows с определенными учетными записями MySQL следующим образом:

Для настройки этого создайте прокси-учетную запись для подключения пользователей Windows и настройте ее таким образом, чтобы пользователи и группы сопоставлялись с соответствующими учетными записями MySQL (local_wlad, local_dev, local_admin). Кроме того, предоставьте учетным записям MySQL привилегии, соответствующие выполняемым ими операциям. В следующих инструкциях используется win_proxy в качестве прокси-учетной записи, а local_wlad, local_dev и local_admin — в качестве проксируемых учетных записей.

Теперь пользователи Windows local_user и MyDomain\domain_user могут подключаться к серверу MySQL как win_proxy, а при аутентификации имеют привилегии учетной записи, указанной в строке аутентификации (в данном случае local_wlad). Пользователь из группы MyDomain\Developers, который подключается как win_proxy, имеет привилегии учетной записи local_dev. Пользователь из группы BUILTIN\Administrators имеет привилегии учетной записи local_admin.

Для настройки аутентификации таким образом, чтобы все пользователи Windows, у которых нет своей учетной записи MySQL, проходили через прокси-учетную запись, замените стандартную прокси-учетную запись (''@'') на win_proxy в предыдущих инструкциях. Дополнительную информацию о стандартных прокси-учетных записях см. в Разделе 8.2.19, «Прокси-пользователи».

Для использования подключаемого модуля аутентификации Windows с строками подключения Connector/NET в Connector/NET 8.4 и более поздних версиях, см. .