Проверка доступности Kerberos

Создание учетной записи MySQL, использующей аутентификацию Kerberos

Использование учетной записи MySQL для подключения к серверу MySQL

Параметры конфигурации клиента для аутентификации Kerberos

Active Directory работает на хосте с именем krbauth.example.com с IP-адресом 198.51.100.11.

Аутентификация Kerberos, связанная с MySQL, использует домен MYSQL.LOCAL, а также использует MYSQL.LOCAL в качестве имени пространства имен.

Принципал с именем karl@MYSQL.LOCAL зарегистрирован в KDC. (В последующем обсуждении это имя принципала связывается с учетной записью MySQL, которая выполняет аутентификацию на сервере MySQL с использованием Kerberos.)

Администратор Kerberos должен зарегистрировать имя пользователя как принципала Kerberos. Это имя включает в себя имя пространства имен. Клиенты используют имя принципала и пароль для аутентификации с Kerberos и получения билета предоставления билетов (TGT).

Администратор баз данных MySQL должен создать учетную запись, соответствующую имени принципала Kerberos и использующую плагин Kerberos для аутентификации.

До подключения к MySQL:

При подключении к MySQL сама клиентская программа может получить TGT, если она может определить необходимый UPN Kerberos и пароль:

Каждый показанный команд включает следующие опции, но каждая из них может быть опущена при определенных условиях:

Команды также должны содержать любые другие опции, такие как --host или --port, необходимые для указания сервера MySQL, к которому нужно подключиться.

Введите каждую команду в отдельной строке. Если команда включает опцию --password для запроса пароля, введите пароль UPN Kerberos, связанного с пользователем MySQL, когда будет запрошен.

Перед вызовом программы MySQL клиент может самостоятельно получить TGT от KDC. Например, пользователь клиента может использовать kinit для аутентификации в Kerberos, предоставив имя принципала Kerberos и пароль принципала:

$> kinit karl@MYSQL.LOCAL
Password for karl@MYSQL.LOCAL: (enter password here)

Результирующий TGT для UPN кэшируется и становится доступным для других поддерживающих Kerberos приложений, таких как программы, использующие плагин аутентификации Kerberos на стороне клиента. В этом случае вызовите клиента без указания опций имени пользователя или пароля:

mysql
  --default-auth=authentication_kerberos_client
  --plugin-dir=path/to/plugin/directory

Плагин на стороне клиента находит TGT в кэше, использует его для получения MySQL ST и использует ST для аутентификации на сервере MySQL.

Как только что описано, когда TGT для UPN кэшируется, опции имени пользователя и пароля не нужны в команде клиента. Если эти опции все же присутствуют, они обрабатываются следующим образом:

Если кэш Kerberos не содержит TGT, плагин аутентификации Kerberos на стороне клиента может получить TGT от KDC. Вызовите клиента с опциями для имени пользователя MySQL и пароля, а затем введите пароль UPN при запросе:

mysql --default-auth=authentication_kerberos_client
  --plugin-dir=path/to/plugin/directory
  --user=karl
  --password

Плагин аутентификации Kerberos на стороне клиента объединяет имя пользователя (karl) и домен, указанный в учетной записи пользователя (MYSQL.LOCAL), для построения UPN (karl@MYSQL.LOCAL). Плагин на стороне клиента использует UPN и пароль для получения TGT, TGT для получения MySQL ST и ST для аутентификации на сервере MySQL.

Или, предположим, что кэш Kerberos не содержит TGT, а команда указывает опцию пароля, но не опцию имени пользователя:

mysql --default-auth=authentication_kerberos_client
  --plugin-dir=path/to/plugin/directory
  --password

Плагин аутентификации Kerberos на стороне клиента использует имя пользователя операционной системы в качестве имени пользователя MySQL. Он объединяет это имя пользователя и домен в учетной записи пользователя MySQL для построения UPN. Плагин на стороне клиента использует UPN и пароль для получения TGT, использует TGT для получения MySQL ST и использует ST для аутентификации на сервере MySQL.

Эта команда включает опции для имени пользователя MySQL и пароля UPN:

mysql --default-auth=authentication_kerberos_client
  --plugin-dir=path/to/plugin/directory
  --user=karl
  --password

Плагин аутентификации Kerberos на стороне клиента объединяет имя пользователя (karl) и домен, указанный в учетной записи пользователя (MYSQL.LOCAL), для построения UPN (karl@MYSQL.LOCAL). Плагин на стороне клиента использует UPN и пароль для получения TGT, использует TGT для получения MySQL ST и использует ST для аутентификации на сервере MySQL.

Любая информация в кэше Windows в памяти игнорируется; значения опций имени пользователя и пароля имеют приоритет.

Эта команда включает опцию пароля UPN, но не опцию имени пользователя MySQL:

mysql
  --default-auth=authentication_kerberos_client
  --plugin-dir=path/to/plugin/directory
  --password

Плагин аутентификации Kerberos на стороне клиента использует имя вошедшего в систему пользователя в качестве имени пользователя MySQL и объединяет это имя пользователя и домен в учетной записи пользователя MySQL для построения UPN. Плагин на стороне клиента использует UPN и пароль для получения TGT, использует TGT для получения MySQL ST и использует ST для аутентификации на сервере MySQL.

Эта команда не включает опции для имени пользователя MySQL или пароля UPN:

mysql
  --default-auth=authentication_kerberos_client
  --plugin-dir=path/to/plugin/directory

Плагин получает TGT из кэша Windows в памяти, использует TGT для получения MySQL ST и использует ST для аутентификации на сервере MySQL.

Этот подход требует, чтобы хост клиента входил в домен Windows Server Active Directory (AD). Если это не так, помогите клиенту MySQL определить IP-адрес домена AD, введя вручную сервер и домен AD в качестве DNS-сервера и префикса:

Эта команда включает опцию для имени пользователя MySQL, но не для пароля UPN:

mysql
  --default-auth=authentication_kerberos_client
  --plugin-dir=path/to/plugin/directory
  --user=karl

Плагин аутентификации Kerberos на стороне клиента сравнивает имя, указанное в опции имени пользователя, с именем вошедшего в систему пользователя. Если имена совпадают, плагин использует TGT вошедшего в систему пользователя для аутентификации. Если имена отличаются, аутентификация завершается неудачно.

Перед вызовом программы MySQL-клиента в файле параметров. Имя переменной плагина допустимо с использованием как подчеркиваний, так и дефисов:

[mysql]
plugin_authentication_kerberos_client_mode=GSSAPI

Или:

[mysql]
plugin-authentication-kerberos-client-mode=GSSAPI

Во время выполнения из командной строки с использованием программ-клиентов mysql или mysqldump. Например, следующие команды (с подчеркиваниями или дефисами) заставляют mysql подключиться к серверу через библиотеку MIT Kerberos в Windows.

mysql [connection-options] --plugin_authentication_kerberos_client_mode=GSSAPI

Или:

mysql [connection-options] --plugin-authentication-kerberos-client-mode=GSSAPI

Пользователи клиентов могут выбрать режим GSSAPI из MySQL Workbench и некоторых MySQL-коннекторов. На клиентских хостах под управлением Windows можно переопределить расположение по умолчанию:

Для получения специфической информации о плагинах на стороне клиента см. документацию по адресу https://dev.mysql.com/doc/.

Токены всегда извлекаются из или помещаются в кэш MIT Kerberos на хостах под управлением Windows.

kinit выполняется с функциональными учетными записями в Windows, которые имеют ограниченные права и определённые роли. Пользователь клиента не знает пароль kinit. Для обзора см. .

Если пользователь клиента предоставляет пароль, библиотека MIT Kerberos в Windows решает, использовать его или полагаться на существующий токен.

Параметр destroy_tickets, описанный в Параметры конфигурации клиента для аутентификации Kerberos, не поддерживается, потому что библиотека MIT Kerberos в Windows не поддерживает требуемый член API (get_profile_boolean) для чтения его значения из файла конфигурации.

Значение destroy_tickets указывает, уничтожает ли плагин клиента TGT после получения и использования. По умолчанию, destroy_tickets — false, но может быть установлено в true, чтобы избежать повторного использования TGT. (Это значение применяется только к TGT, созданным плагином клиента, а не к TGT, созданным другими плагинами или внешне для MySQL.)