Для создания учётной записи, использующей плагин caching_sha2_password для хеширования паролей SHA-256, используйте следующее утверждение, где password — желаемый пароль учётной записи:

CREATE USER 'sha2user'@'localhost'
IDENTIFIED WITH caching_sha2_password BY 'password';

Сервер назначает плагин caching_sha2_password для учётной записи и использует его для шифрования пароля с помощью SHA-256, сохраняя эти значения в столбцах plugin и authentication_string системной таблицы mysql.user.

Предыдущие инструкции не предполагают, что caching_sha2_password является стандартным плагином аутентификации. Если caching_sha2_password является стандартным плагином аутентификации, можно использовать более простой синтаксис CREATE USER:

CREATE USER 'sha2user'@'localhost' IDENTIFIED BY 'password';

Стандартный плагин определяется значением системной переменной authentication_policy; по умолчанию используется caching_sha2_password.

Для использования другого плагина необходимо указать его с помощью IDENTIFIED WITH. Например, для указания устаревшего плагина sha256_password используйте это утверждение:

CREATE USER 'nativeuser'@'localhost'
IDENTIFIED WITH sha256_password BY 'password';

caching_sha2_password поддерживает соединения по защищённому каналу. Если вы следуете процедуре конфигурации RSA, приведённой далее в этом разделе, он также поддерживает шифрование обмена паролями с помощью RSA по незащищённым соединениям. Поддержка RSA имеет следующие особенности:

Для клиентов, использующих плагин caching_sha2_password, пароли никогда не отображаются как обычный текст при подключении к серверу. Способ передачи пароля зависит от того, используется ли защищённое соединение или шифрование RSA:

Чтобы включить использование пары ключей RSA для обмена паролями во время процесса подключения клиента, выполните следующую процедуру:

После того, как сервер настроен с файлами ключей RSA, учётные записи, которые аутентифицируются с помощью плагина caching_sha2_password, имеют возможность использовать эти файлы ключей для подключения к серверу. Как упоминалось ранее, такие учётные записи могут использовать либо защищённое соединение (в этом случае RSA не используется), либо незащищённое соединение, которое выполняет обмен паролями с помощью RSA. Предположим, что используется незащищённое соединение. Например:

$> mysql --ssl-mode=DISABLED -u sha2user -p
Enter password: password

Для этой попытки подключения от sha2user, сервер определяет, что caching_sha2_password — подходящий плагин аутентификации, и вызывает его (потому что этот плагин был указан в момент CREATE USER). Плагин обнаруживает, что соединение не зашифровано, и, следовательно, пароль необходимо передавать с помощью шифрования RSA. Однако сервер не отправляет открытый ключ клиенту, а клиент не предоставил открытый ключ, поэтому он не может зашифровать пароль, и подключение завершается ошибкой:

ERROR 2061 (HY000): Authentication plugin 'caching_sha2_password'
reported error: Authentication requires secure connection.

Чтобы запросить открытый ключ RSA у сервера, укажите опцию --get-server-public-key:

$> mysql --ssl-mode=DISABLED -u sha2user -p --get-server-public-key
Enter password: password

В этом случае сервер отправляет клиенту открытый ключ RSA, который клиент использует для шифрования пароля и возвращает результат серверу. Плагин использует закрытый ключ RSA на стороне сервера для расшифровки пароля и принимает или отклоняет подключение в зависимости от того, правильный ли пароль.

В качестве альтернативы, если у клиента есть файл с локальной копией открытого ключа RSA, необходимой серверу, он может указать файл с помощью опции --server-public-key-path:

$> mysql --ssl-mode=DISABLED -u sha2user -p --server-public-key-path=file_name
Enter password: password

В этом случае клиент использует открытый ключ для шифрования пароля и возвращает результат серверу. Плагин использует закрытый ключ RSA на стороне сервера для расшифровки пароля и принимает или отклоняет подключение в зависимости от того, правильный ли пароль.

Значение открытого ключа в файле, указанном опцией --server-public-key-path, должно быть таким же, как значение ключа в файле на стороне сервера, указанном системной переменной caching_sha2_password_public_key_path. Если файл ключа содержит действительное значение открытого ключа, но значение неверно, возникает ошибка доступа запрещено. Если файл ключа не содержит действительного значения открытого ключа, программа клиента не может его использовать.

Пользователи клиента могут получить открытый ключ RSA двумя способами: