--default-auth=plugin

Подсказка о том, какой плагин клиентской аутентификации использовать. См. раздел 8.2.17, «Подключаемая аутентификация».

--host=host_name, -h host_name

Хост, на котором работает сервер MySQL. Значение может быть именем хоста, IPv4-адресом или IPv6-адресом. Значение по умолчанию — localhost.

--password[=pass_val], -p[pass_val]

Пароль учетной записи MySQL, используемой для подключения к серверу. Значение пароля необязательно. Если он не указан, программа-клиент запросит его. Если указан, между --password= или -p и последующим паролем не должно быть пробелов. Если опция пароля не указана, по умолчанию пароль не отправляется.

Указание пароля в командной строке небезопасно. Чтобы избежать ввода пароля в командной строке, используйте файл опций. См. раздел 8.1.2.1, «Рекомендации для пользователей по защите паролей».

Чтобы явно указать, что пароль отсутствует и что программа-клиент не должна запрашивать его, используйте опцию --skip-password.

--password1[=pass_val]

Пароль для фактора аутентификации с несколькими факторами 1 учетной записи MySQL, используемой для подключения к серверу. Значение пароля необязательно. Если оно не указано, программа-клиент запрашивает его. Если указано, между --password1= и последующим паролем не должно быть пробелов. Если опция пароля не указана, по умолчанию пароль не отправляется.

Указание пароля в командной строке небезопасно. Чтобы избежать ввода пароля в командной строке, используйте файл опций. См. раздел 8.1.2.1, «Рекомендации для пользователей по защите паролей».

Чтобы явно указать, что пароль отсутствует и что программа-клиент не должна запрашивать его, используйте опцию --skip-password1.

--password1 и --password являются синонимами, как и --skip-password1 и --skip-password.

--password2[=pass_val]

Пароль для фактора аутентификации с несколькими факторами 2 учетной записи MySQL, используемой для подключения к серверу. Семантика этой опции аналогична семантике --password1; подробности см. в описании этой опции.

--password3[=pass_val]

Пароль для фактора аутентификации с несколькими факторами 3 учетной записи MySQL, используемой для подключения к серверу. Семантика этой опции аналогична семантике --password1; подробности см. в описании этой опции.

--pipe, -W

В Windows подключайтесь к серверу с помощью именованной очереди. Эта опция применяется только в том случае, если сервер был запущен с системной переменной named_pipe, чтобы поддерживать подключения с использованием именованных очередей. Кроме того, пользователь, выполняющий подключение, должен быть членом группы Windows, указанной в системной переменной named_pipe_full_access_group.

--plugin-dir=dir_name

Каталог, в котором следует искать плагины. Укажите эту опцию, если опция --default-auth используется для указания плагина аутентификации, но программа-клиент его не находит. См. раздел 8.2.17, «Подключаемая аутентификация».

--port=port_num, -P port_num

Для подключений TCP/IP номер порта, который нужно использовать. Номер порта по умолчанию — 3306.

--protocol={TCP|SOCKET|PIPE|MEMORY}

Эта опция явно указывает протокол транспорта, который нужно использовать для подключения к серверу. Она полезна, когда другие параметры подключения обычно приводят к использованию протокола, отличного от нужного. Например, соединения в Unix с localhost по умолчанию создаются с помощью файла Unix-соккета:

mysql --host=localhost

Чтобы вместо этого использовать транспорт TCP/IP, укажите опцию --protocol:

mysql --host=localhost --protocol=TCP

В следующей таблице показаны допустимые значения опции --protocol, соответствующий используемый протокол транспорта и поддерживаемые платформы для каждого значения. Значения не чувствительны к регистру.

См. также раздел 6.2.7, «Протоколы транспорта соединения»

--shared-memory-base-name=name

В Windows, имя разделяемой памяти для подключений, использующих разделяемую память к локальному серверу. Значение по умолчанию — MYSQL. Имя разделяемой памяти чувствительно к регистру.

Этот параметр применяется только если сервер был запущен с включенной системной переменной shared_memory для поддержки подключений через разделяемую память.

--socket=path, -S path

В Unix, имя файла Unix-соккета для подключений, использующих именованную трубу к локальному серверу. По умолчанию имя файла Unix-соккета — /tmp/mysql.sock.

В Windows, имя именованной трубы для подключения к локальному серверу. По умолчанию имя Windows-трубы — MySQL. Имя трубы не чувствительно к регистру.

В Windows, этот параметр применяется только если сервер был запущен с включенной системной переменной named_pipe для поддержки подключений через именованные трубы. Кроме того, пользователь, производящий подключение, должен быть членом группы Windows, указанной в системной переменной named_pipe_full_access_group.

--user=user_name, -u user_name

Имя пользователя учетной записи MySQL, используемой для подключения к серверу. По умолчанию имя пользователя — ODBC в Windows или ваше имя пользователя в Unix.

--get-server-public-key

Запрос на сервер открытого ключа, необходимого для обмена паролями на основе пар ключей RSA. Эта опция применима к клиентам, которые аутентифицируются с помощью плагина аутентификации caching_sha2_password. Для этого плагина сервер не отправляет открытый ключ, если он не запрошен. Эта опция игнорируется для учетных записей, которые не аутентифицируются с помощью этого плагина. Она также игнорируется, если обмен паролями на основе RSA не используется, как это происходит, когда клиент подключается к серверу с помощью защищенного соединения.

Если указан --server-public-key-path=file_name и указывает на допустимый файл открытого ключа, он имеет приоритет над --get-server-public-key.

Для получения информации о плагине caching_sha2_password см. Раздел 8.4.1.1, «Кэширование SHA-2 подключаемой аутентификации».

--server-public-key-path=file_name

Имя пути к файлу в формате PEM, содержащему клиентскую копию открытого ключа, требуемого сервером для обмена паролями на основе пар ключей RSA. Эта опция применима к клиентам, которые аутентифицируются с помощью плагина аутентификации sha256_password (устаревший) или caching_sha2_password. Эта опция игнорируется для учетных записей, которые не аутентифицируются с помощью одного из этих плагинов. Она также игнорируется, если обмен паролями на основе RSA не используется, как это происходит, когда клиент подключается к серверу с помощью защищенного соединения.

Если указан --server-public-key-path=file_name и указывает на допустимый файл открытого ключа, он имеет приоритет над --get-server-public-key.

Эта опция доступна только в том случае, если MySQL был собран с использованием OpenSSL.

Для получения информации о плагинах sha256_password (устаревший) и caching_sha2_password см. Раздел 8.4.1.2, «SHA-256 подключаемая аутентификация», и Раздел 8.4.1.1, «Кэширование SHA-2 подключаемой аутентификации».

--ssl-ca=file_name

Имя пути к файлу сертификата Центра сертификации (CA) в формате PEM. Файл содержит список доверенных центров сертификации SSL.

Чтобы указать клиенту не аутентифицировать сертификат сервера при установлении зашифрованного соединения с сервером, не указывайте ни --ssl-ca, ни --ssl-capath. Сервер по-прежнему проверяет клиента в соответствии с любыми применимыми требованиями, установленными для учетной записи клиента, и по-прежнему использует любые значения переменных системы ssl_ca или ssl_capath, указанные на стороне сервера.

Чтобы указать файл CA для сервера, установите переменную системы ssl_ca.

--ssl-capath=dir_name

Имя пути к каталогу, который содержит файлы сертификатов доверенных центров сертификации SSL (CA) в формате PEM.

Чтобы указать клиенту не аутентифицировать сертификат сервера при установлении зашифрованного соединения с сервером, не указывайте ни --ssl-ca, ни --ssl-capath. Сервер по-прежнему проверяет клиента в соответствии с любыми применимыми требованиями, установленными для учетной записи клиента, и по-прежнему использует любые значения переменных системы ssl_ca или ssl_capath, указанные на стороне сервера.

Чтобы указать каталог CA для сервера, установите переменную системы ssl_capath.

--ssl-cert=file_name

Имя пути к файлу клиентского сертификата открытого ключа SSL в формате PEM. Поддерживаются цепочки сертификатов SSL.

Чтобы указать файл сертификата открытого ключа SSL сервера, установите переменную системы ssl_cert.

--ssl-cipher=cipher_list

Список допустимых шифров шифрования для соединений, использующих TLSv1.2. Если ни один шифр в списке не поддерживается, зашифрованные соединения, использующие эти протоколы TLS, не работают.

Для обеспечения наибольшей переносимости cipher_list должен быть списком одного или нескольких имен шифров, разделенных двоеточиями. Примеры:

--ssl-cipher=AES128-SHA
--ssl-cipher=DHE-RSA-AES128-GCM-SHA256:AES128-SHA

OpenSSL поддерживает синтаксис для указания шифров, описанный в документации OpenSSL по адресу https://www.openssl.org/docs/manmaster/man1/ciphers.html.

Для получения информации о том, какие шифры шифрования поддерживает MySQL, см. Раздел 8.3.2, «Зашифрованные протоколы соединения TLS и шифры».

Чтобы указать шифры шифрования для сервера, установите переменную системы ssl_cipher.

--ssl-crl=file_name

Имя пути к файлу, содержащему списки отзыва сертификатов в формате PEM.

Если не указано ни --ssl-crl, ни --ssl-crlpath, проверка CRL не выполняется, даже если путь CA содержит списки отзыва сертификатов.

Чтобы указать файл списка отзыва для сервера, установите переменную системы ssl_crl.

--ssl-crlpath=dir_name

Имя пути к каталогу, который содержит файлы списков отзыва сертификатов в формате PEM.

Если не указано ни --ssl-crl, ни --ssl-crlpath, проверка CRL не выполняется, даже если путь CA содержит списки отзыва сертификатов.

Чтобы указать каталог списка отзыва для сервера, установите переменную системы ssl_crlpath.

--ssl-fips-mode={OFF|ON|STRICT}

Управляет включением режима FIPS на стороне клиента. Опция --ssl-fips-mode отличается от других опций --ssl-xxx тем, что она не используется для установления шифрованных соединений, а скорее для определения разрешённых криптографических операций. См. Раздел 8.8, «Поддержка FIPS».

Разрешены следующие значения --ssl-fips-mode:

Чтобы указать режим FIPS для сервера, установите системную переменную ssl_fips_mode.

--ssl-key=file_name

Путь к файлу закрытого ключа SSL клиента в формате PEM. Для повышения безопасности используйте сертификат с размером ключа RSA не менее 2048 бит.

Если файл ключа защищён паролем, клиентская программа запросит у пользователя пароль. Пароль должен быть введён интерактивно; его нельзя хранить в файле. Если пароль неверный, программа продолжит работу, как если бы не смогла прочитать ключ.

Чтобы указать файл закрытого ключа SSL сервера, установите системную переменную ssl_key.

--ssl-mode=mode

Данная опция определяет желаемое состояние безопасности соединения с сервером. Эти значения режима перечислены в порядке возрастания строгости:

Опция --ssl-mode взаимодействует с опциями сертификатов CA следующим образом:

Для требования использования шифрованных соединений учётной записью MySQL используйте CREATE USER для создания учётной записи с фразой REQUIRE SSL или ALTER USER для существующей учётной записи, чтобы добавить фразу REQUIRE SSL. Это заставляет попытки подключения клиентов, использующих данную учётную запись, быть отклонены, если MySQL не поддерживает шифрованные соединения и невозможно установить зашифрованное соединение.

Фраза REQUIRE допускает другие опции, относящиеся к шифрованию, которые могут использоваться для обеспечения более строгих требований к безопасности, чем REQUIRE SSL. Более подробную информацию о том, какие командные опции могут или должны быть указаны клиентами, подключающимися с использованием учётных записей, настроенных с помощью различных опций REQUIRE, см. в CREATE USER SSL/TLS Options.

--ssl-session-data=file_name

Путь к файлу с данными SSL-сессии клиента в формате PEM для повторного использования сессии.

При вызове программы-клиента MySQL с опцией --ssl-session-data клиент пытается десериализовать данные сессии из файла, если он предоставлен, а затем использует их для установления нового подключения. Если вы предоставляете файл, но сессия не используется повторно, то подключение завершается неудачно, если вы также не указали опцию --ssl-session-data-continue-on-failed-reuse в командной строке при вызове программы-клиента.

Команда mysql, ssl_session_data_print, генерирует файл данных сессии (см. Раздел 6.5.1.2, «Команды клиента mysql»).

ssl-session-data-continue-on-failed-reuse

Определяет, будет ли установлено новое подключение для замены неудачной попытки повторного использования данных сессии, заданных параметром командной строки --ssl-session-data. По умолчанию опция командной строки --ssl-session-data-continue-on-failed-reuse выключена, что приводит к сообщению о неудачном подключении клиенту, когда данные сессии предоставляются, но не используются повторно.

Чтобы гарантировать, что после неудачного повторного использования сессии будет открыто новое, независимое подключение, вызывайте программы-клиенты MySQL с параметрами командной строки --ssl-session-data и --ssl-session-data-continue-on-failed-reuse.

--tls-ciphersuites=ciphersuite_list

Этот параметр определяет, какие наборы шифров клиент разрешает для зашифрованных соединений, использующих TLSv1.3. Значение представляет собой список нулевых или более имён наборов шифров, разделенных двоеточием. Например:

mysql --tls-ciphersuites="suite1:suite2:suite3"

Наборы шифров, которые можно указать для этого параметра, зависят от используемой библиотеки SSL для компиляции MySQL. Если этот параметр не задан, клиент разрешает набор шифров по умолчанию. Если параметр установлен в пустую строку, наборы шифров не активированы, и зашифрованные соединения не могут быть установлены. Дополнительную информацию см. в Разделе 8.3.2, «Протоколы и шифры TLS зашифрованного соединения».

Чтобы указать, какие наборы шифров разрешает сервер, задайте системную переменную tls_ciphersuites.

--tls-version=protocol_list

Этот параметр определяет протоколы TLS, которые клиент разрешает для зашифрованных соединений. Значение представляет собой список одного или более версий протокола, разделённых запятыми. Например:

mysql --tls-version="TLSv1.2,TLSv1.3"

Протоколы, которые можно указать для этого параметра, зависят от используемой библиотеки SSL для компиляции MySQL и от версии MySQL Server.

Разрешенные протоколы должны выбираться таким образом, чтобы не оставлять «дыр» в списке. Например, эти значения не имеют дыр:

--tls-version="TLSv1.2,TLSv1.3"
--tls-version="TLSv1.3"

Подробнее см. в Разделе 8.3.2, «Протоколы и шифры TLS зашифрованного соединения».

Чтобы указать, какие протоколы TLS разрешены сервером, задайте системную переменную tls_version.