Для использования подключаемого модуля аутентификации LDAP для MySQL необходимо выполнить следующие предварительные условия:

Этот раздел предоставляет обзор того, как MySQL и LDAP взаимодействуют для аутентификации пользователей MySQL. Примеры настройки учетных записей MySQL для использования определенных подключаемых модулей аутентификации LDAP см. в разделе Использование подключаемого модуля аутентификации LDAP. Сведения о методах аутентификации, доступных подключаемым модулям LDAP, см. в разделе Методы аутентификации LDAP.

Клиент подключается к серверу MySQL, предоставляя имя пользователя MySQL-клиента и пароль:

Если имя пользователя клиента и имя хоста не соответствуют никакой учетной записи MySQL, подключение отклоняется.

Если есть соответствующая учетная запись MySQL, происходит аутентификация с помощью LDAP. Сервер LDAP ищет запись, соответствующую пользователю, и аутентифицирует запись по паролю LDAP:

Если сервер LDAP не находит совпадение или находит несколько совпадений, аутентификация завершается неудачно, и подключение клиента отклоняется.

Если сервер LDAP находит единственное совпадение, аутентификация LDAP успешна (при условии, что пароль правильный), сервер LDAP возвращает запись LDAP, и подключаемый модуль аутентификации определяет имя аутентифицированного пользователя на основе этой записи:

Сервер MySQL сравнивает имя пользователя клиента с именем аутентифицированного пользователя, чтобы определить, происходит ли переадресация для сеанса клиента:

В этом разделе описывается, как установить плагины аутентификации LDAP на стороне сервера. Для общей информации об установке плагинов см. раздел 7.6.1 «Установка и удаление плагинов».

Для использования плагином сервером, файлы библиотеки плагина должны находиться в каталоге плагинов MySQL (каталог, указанный переменной системы plugin_dir). При необходимости, настройте расположение каталога плагинов, задав значение переменной plugin_dir при запуске сервера.

Имена файлов-баз библиотек плагинов на стороне сервера — authentication_ldap_simple и authentication_ldap_sasl. Суффикс имени файла отличается в зависимости от платформы (например, .so для Unix и Unix-подобных систем, .dll для Windows).

Чтобы загрузить плагины при запуске сервера, используйте параметры --plugin-load-add для указания имен файлов библиотек, содержащих плагины. При этом способе загрузки плагинов параметры необходимо указывать каждый раз при запуске сервера. Также укажите значения для любых переменных системы, предоставляемых плагином, которые вы хотите настроить.

Каждый плагин LDAP на стороне сервера предоставляет набор переменных системы, которые позволяют настроить его работу. Установка большинства из них необязательна, но необходимо установить переменные, определяющие хост сервера LDAP (чтобы плагин знал, с каким сервером подключаться) и базовый отличительный идентификатор (Distinguished Name) для операций привязки LDAP (чтобы ограничить область поиска и получить более быстрый поиск). Подробности о всех переменных системы LDAP см. в разделе 8.4.1.13 «Переменные системы подключаемой аутентификации».

Чтобы загрузить плагины и установить хост сервера LDAP и базовый отличительный идентификатор для операций привязки LDAP, поместите строки, подобные этим, в ваш файл my.cnf, скорректировав суффикс .so для вашей платформы при необходимости:

[mysqld]
plugin-load-add=authentication_ldap_simple.so
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
plugin-load-add=authentication_ldap_sasl.so
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

После изменения файла my.cnf перезапустите сервер, чтобы новые настройки вступили в силу.

В качестве альтернативы, чтобы загрузить плагины во время выполнения, используйте эти операторы, скорректировав суффикс .so для вашей платформы при необходимости:

INSTALL PLUGIN authentication_ldap_simple
  SONAME 'authentication_ldap_simple.so';
INSTALL PLUGIN authentication_ldap_sasl
  SONAME 'authentication_ldap_sasl.so';

INSTALL PLUGIN загружает плагин немедленно и также регистрирует его в таблице системы mysql.plugins, чтобы заставить сервер загрузить его при каждом последующем нормальном запуске без необходимости использовать --plugin-load-add.

После установки плагинов во время выполнения доступными становятся переменные системы, которые они предоставляют, и вы можете добавить настройки для них в свой файл my.cnf, чтобы настроить плагины для последующих перезапусков. Например:

[mysqld]
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

После изменения файла my.cnf перезапустите сервер, чтобы новые настройки вступили в силу.

Чтобы установить и сохранить каждое значение во время выполнения вместо запуска, используйте эти операторы:

SET PERSIST authentication_ldap_simple_server_host='127.0.0.1';
SET PERSIST authentication_ldap_simple_bind_base_dn='dc=example,dc=com';
SET PERSIST authentication_ldap_sasl_server_host='127.0.0.1';
SET PERSIST authentication_ldap_sasl_bind_base_dn='dc=example,dc=com';

SET PERSIST устанавливает значение для работающей инстанции MySQL. Также сохраняет значение, обеспечивая его передачу при последующих перезапусках сервера. Чтобы изменить значение для работающей инстанции MySQL без передачи его последующим перезапускам, используйте ключевое слово GLOBAL вместо PERSIST. См. раздел 15.7.6.1 «Синтаксис оператора SET для присваивания переменных».

Для проверки установки плагина, просмотрите таблицу схемы информации PLUGINS или используйте оператор SHOW PLUGINS (см. раздел 7.6.2 «Получение информации о плагинах сервера»). Например:

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME LIKE '%ldap%';
+----------------------------+---------------+
| PLUGIN_NAME                | PLUGIN_STATUS |
+----------------------------+---------------+
| authentication_ldap_sasl   | ACTIVE        |
| authentication_ldap_simple | ACTIVE        |
+----------------------------+---------------+

Если плагин не удается инициализировать, проверьте журнал ошибок сервера на наличие диагностических сообщений.

Чтобы связать учетные записи MySQL с плагином LDAP, см. Использование подключаемой аутентификации LDAP.

Способ удаления плагинов аутентификации LDAP зависит от того, как вы их установили:

Кроме того, удалите из своего файла my.cnf все параметры запуска, устанавливающие переменные системы, связанные с плагинами LDAP. Если вы использовали SET PERSIST для сохранения переменных системы LDAP, используйте RESET PERSIST для удаления настроек.

Для установок, использующих OpenLDAP, файл ldap.conf предоставляет глобальные значения по умолчанию для LDAP-клиентов. Параметры в этом файле могут влиять на поведение LDAP-клиентов, включая плагины аутентификации LDAP. OpenLDAP использует конфигурационные параметры в этом порядке приоритета:

Если значения по умолчанию библиотеки или значения из ldap.conf не дают соответствующих значений параметров, плагин аутентификации LDAP может установить связанные переменные, чтобы напрямую влиять на конфигурацию LDAP. Например, плагины LDAP могут переопределять ldap.conf для параметров, таких как:

Для получения дополнительной информации о файле ldap.conf, обратитесь к странице справки man для ldap.conf(5).

Для подключения учетных записей MySQL к серверу MySQL с помощью подключаемого модуля аутентификации LDAP сервер LDAP должен быть доступен и функционировать. Взаимодействие между серверами MySQL и LDAP включает два шага. Во-первых, сервер MySQL устанавливает соединение с сервером LDAP по протоколу TCP. Во-вторых, сервер MySQL отправляет запрос на привязку LDAP по подключению к серверу LDAP и ожидает ответа перед аутентификацией учетной записи. Если любой из этих шагов завершается неудачно, учетная запись MySQL не может подключиться к серверу MySQL.

По умолчанию для обоих шагов — установления соединения и получения ответа — применяются таймауты с короткой продолжительностью, которые имеют приоритет над значениями таймаутов системы-хоста. Во всех случаях пользователь учетной записи получает уведомление о том, что попытка подключения к MySQL отклонена, если таймаут истек. Логирование на стороне клиента и сервера может предоставить дополнительную информацию. На стороне клиента установите следующую переменную среды, чтобы повысить уровень детализации, а затем перезапустите клиент MySQL:

AUTHENTICATION_LDAP_CLIENT_LOG=5
export AUTHENTICATION_LDAP_CLIENT_LOG

Следующие системные переменные поддерживают значения таймаутов по умолчанию для аутентификации на основе SASL и простой аутентификации LDAP только на платформах Linux.

Значения таймаутов для аутентификации LDAP можно настроить при запуске сервера и во время выполнения. Если вы установите таймаут равным нулю с помощью одной из этих переменных, вы фактически отключаете его, и сервер MySQL вернется к использованию значения таймаута по умолчанию системы-хоста.

В этом разделе описывается, как включить учетные записи MySQL для подключения к серверу MySQL с помощью подключаемого модуля аутентификации LDAP. Предполагается, что сервер работает с соответствующими плагинами серверной стороны, как описано в Установка подключаемого модуля аутентификации LDAP, и что соответствующие плагины клиентской стороны доступны на хосте клиента.

Этот раздел не описывает настройку или администрирование LDAP. Предполагается, что вы знакомы с этими темами.

Два плагина LDAP на стороне сервера работают с определенным плагином на стороне клиента:

Общие требования к аутентификации пользователей MySQL с помощью LDAP:

В этих инструкциях предполагается следующий сценарий:

Инструкции по настройке учетной записи, использующей аутентификацию LDAP, зависят от используемого плагина LDAP на стороне сервера. В следующих разделах описаны несколько сценариев использования.

Процедура, описанная в этом разделе, требует, чтобы authentication_ldap_simple_group_search_attr было установлено в пустую строку, как показано ниже:

SET GLOBAL.authentication_ldap_simple_group_search_attr='';

В противном случае проксирование используется по умолчанию.

Для настройки учетной записи MySQL для простой аутентификации по LDAP используйте оператор CREATE USER для указания плагина authentication_ldap_simple, необязательно включая имя (DN) пользователя LDAP, как показано здесь:

CREATE USER user
  IDENTIFIED WITH authentication_ldap_simple
  [BY 'LDAP user DN'];

Предположим, что у пользователя MySQL betsy есть такая запись в каталоге LDAP:

uid=betsy_ldap,ou=People,dc=example,dc=com

Тогда оператор для создания учетной записи MySQL для betsy выглядит так:

CREATE USER 'betsy'@'localhost'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=betsy_ldap,ou=People,dc=example,dc=com';

Строка аутентификации, указанная в пункте BY, не включает пароль LDAP. Его должен предоставить пользователь-клиент во время подключения.

Клиенты подключаются к серверу MySQL, предоставляя имя пользователя MySQL и пароль LDAP, и включив плагин mysql_clear_password на стороне клиента:

$> mysql --user=betsy --password --enable-cleartext-plugin
Enter password: betsy_ldap_password

Процесс аутентификации происходит следующим образом:

Если оператор CREATE USER не содержал пункта BY для указания DN пользователя LDAP, попытки аутентификации использовали бы имя пользователя, предоставленное клиентом (в данном случае, betsy). При отсутствии записи LDAP для betsy аутентификация провалилась бы.

Процедура, описанная в этом разделе, требует, чтобы authentication_ldap_sasl_group_search_attr было установлено в пустую строку, как показано ниже:

SET GLOBAL.authentication_ldap_sasl_group_search_attr='';

В противном случае проксирование используется по умолчанию.

Для настройки учетной записи MySQL для аутентификации по LDAP с использованием SASL используйте оператор CREATE USER для указания плагина authentication_ldap_sasl, необязательно включая имя (DN) пользователя LDAP, как показано здесь:

CREATE USER user
  IDENTIFIED WITH authentication_ldap_sasl
  [BY 'LDAP user DN'];

Предположим, что у пользователя MySQL boris есть такая запись в каталоге LDAP:

uid=boris_ldap,ou=People,dc=example,dc=com

Тогда оператор для создания учетной записи MySQL для boris выглядит так:

CREATE USER 'boris'@'localhost'
  IDENTIFIED WITH authentication_ldap_sasl
  AS 'uid=boris_ldap,ou=People,dc=example,dc=com';

Строка аутентификации, указанная в пункте BY, не включает пароль LDAP. Его должен предоставить пользователь-клиент во время подключения.

Клиенты подключаются к серверу MySQL, предоставляя имя пользователя MySQL и пароль LDAP:

$> mysql --user=boris --password
Enter password: boris_ldap_password

Для плагина authentication_ldap_sasl на стороне сервера клиенты используют плагин authentication_ldap_sasl_client на стороне клиента. Если клиентская программа не находит плагин, укажите параметр --plugin-dir, определяющий каталог установки файла библиотеки плагина.

Процесс аутентификации для boris аналогичен ранее описанному для betsy с простой аутентификацией по LDAP, за исключением того, что плагины SASL LDAP на стороне клиента и сервера используют сообщения SASL для безопасной передачи учетных данных в протоколе LDAP, чтобы избежать передачи пароля в открытом виде между клиентом MySQL и сервером.

Плагины аутентификации LDAP поддерживают проксирование, позволяя пользователю подключаться к серверу MySQL как одному пользователю, но используя привилегии другого. Этот раздел описывает основную поддержку проксирования плагинами LDAP. Плагины LDAP также поддерживают указание предпочтения групп и сопоставления пользователей-прокси; см. Спецификацию предпочтения и сопоставления групп при аутентификации LDAP.

Реализация проксирования, описанная здесь, основана на использовании значений атрибутов групп LDAP для сопоставления подключающихся пользователей MySQL, которые проходят аутентификацию через LDAP, с другими учетными записями MySQL, определяющими разные наборы привилегий. Пользователи не подключаются напрямую через учетные записи, которые определяют привилегии. Вместо этого они подключаются через прокси-учетную запись по умолчанию, аутентифицированную с помощью LDAP, таким образом, все внешние логины сопоставляются с проксированными учетными записями MySQL, которые хранят привилегии. Любой пользователь, подключающийся с помощью прокси-учетной записи, сопоставляется с одной из этих проксированных учетных записей MySQL, привилегии которой определяют разрешенные операции с базой данных для внешнего пользователя.

В приведенных ниже инструкциях предполагается следующая сценарий:

Создайте прокси-учетную запись MySQL по умолчанию:

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl;

Определение прокси-учетной записи не содержит фрагмента AS 'auth_string' для указания DN пользователя LDAP. Таким образом:

Создайте проксированные учетные записи и предоставьте каждой из них необходимые привилегии:

CREATE USER 'accounting'@'localhost'
  IDENTIFIED WITH mysql_no_login;
CREATE USER 'front_office'@'localhost'
  IDENTIFIED WITH mysql_no_login;

GRANT ALL PRIVILEGES
  ON accountingdb.*
  TO 'accounting'@'localhost';
GRANT ALL PRIVILEGES
  ON frontdb.*
  TO 'front_office'@'localhost';

Проксированные учетные записи используют плагин аутентификации mysql_no_login, чтобы предотвратить использование клиентами этих учетных записей для непосредственного входа на сервер MySQL. Вместо этого пользователи, проходящие аутентификацию через LDAP, должны использовать прокси-учетную запись по умолчанию ''@'%'. (Предполагается, что установлен плагин mysql_no_login. Инструкции см. в Раздел 8.4.1.8, «Плагины аутентификации без входа».) Альтернативные методы защиты проксированных учетных записей от прямого использования см. в разделе Предотвращение прямого входа в проксированные учетные записи.

Предоставьте прокси-учетной записи привилегию PROXY для каждой проксированной учетной записи:

GRANT PROXY
  ON 'accounting'@'localhost'
  TO ''@'%';
GRANT PROXY
  ON 'front_office'@'localhost'
  TO ''@'%';

Используйте командную строку mysql для подключения к серверу MySQL как basha.

$> mysql --user=basha --password
Enter password: basha_password (basha LDAP password)

Аутентификация происходит следующим образом:

Это демонстрирует, что basha использует привилегии, предоставленные проксированной учетной записи MySQL accounting, и что проксирование происходит через прокси-учетную запись по умолчанию.

Теперь подключитесь как basil:

$> mysql --user=basil --password
Enter password: basil_password (basil LDAP password)

Процесс аутентификации для basil аналогичен описанному ранее для basha:

Это демонстрирует, что basil использует привилегии, предоставленные проксированной учетной записи MySQL front_office, и что проксирование происходит через прокси-учетную запись по умолчанию.

Как описано в LDAP-аутентификация с проксированием, базовая LDAP-аутентификация с проксированием работает по принципу, что плагин использует первое имя группы, возвращенное сервером LDAP, в качестве имени учетной записи пользователя MySQL с проксированием. Эта простая возможность не позволяет указать какие-либо предпочтения о том, какое имя группы использовать, если сервер LDAP возвращает несколько имен групп, или указать какое-либо имя, отличное от имени группы, в качестве имени прокси-пользователя.

Для учетных записей MySQL, использующих LDAP-аутентификацию, строка аутентификации может содержать следующую информацию для повышения гибкости проксирования:

Рассмотрим следующее определение прокси-учетной записи MySQL:

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl
  AS '+ou=People,dc=example,dc=com#grp1=usera,grp2,grp3=userc';

Строка аутентификации имеет суффикс DN пользователя ou=People,dc=example,dc=com, предваряемый символом +. Таким образом, как описано в Суффиксы DN пользователей LDAP-аутентификации, полный DN пользователя строится из указанного суффикса DN пользователя плюс имя пользователя клиента в качестве атрибута uid.

Остальная часть строки аутентификации начинается с #, что обозначает начало информации о предпочтениях групп и сопоставлениях. В этой части строки аутентификации перечислены имена групп в порядке grp1, grp2, grp3. Плагин LDAP сравнивает этот список со списком имен групп, возвращенных сервером LDAP, ищет совпадение в порядке списка по отношению к возвращенным именам. Плагин использует первое совпадение, или, если совпадения нет, аутентификация завершается неудачей.

Предположим, что сервер LDAP возвращает группы grp3, grp2 и grp7. Плагин LDAP использует grp2, потому что это первая группа в строке аутентификации, которая совпадает, даже если это не первая группа, возвращенная сервером LDAP. Если сервер LDAP возвращает grp4, grp2 и grp1, плагин использует grp1, даже если grp2 также совпадает. grp1 имеет более высокий приоритет, чем grp2, потому что он указан раньше в строке аутентификации.

Предполагая, что плагин находит совпадение имени группы, он выполняет сопоставление этого имени группы с именем прокси-пользователя MySQL, если оно есть. Для примера прокси-аккаунта сопоставление происходит следующим образом:

Если сервер LDAP возвращает группу в формате DN, плагин LDAP анализирует DN группы, чтобы извлечь из него имя группы.

Для указания предпочтения и сопоставления LDAP-групп применяются следующие принципы:

Плагины LDAP-аутентификации допускают, чтобы строка аутентификации, содержащая информацию о DN пользователя, начиналась с префикса +:

У данной строки аутентификации нет + в начале, поэтому она рассматривается как полный DN пользователя:

CREATE USER 'baldwin'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=admin,ou=People,dc=example,dc=com';

Клиент подключается с именем пользователя, указанным в аккаунте (baldwin). В этом случае это имя не используется, потому что строка аутентификации не имеет префикса и, следовательно, полностью определяет DN пользователя.

У этой строки аутентификации есть + в начале, поэтому она рассматривается как часть DN пользователя:

CREATE USER 'accounting'
  IDENTIFIED WITH authentication_ldap_simple
  AS '+ou=People,dc=example,dc=com';

Клиент подключается с именем пользователя, указанным в аккаунте (accounting), которое в данном случае используется как атрибут uid вместе со строкой аутентификации для построения DN пользователя: uid=accounting,ou=People,dc=example,dc=com

Учётные записи в предыдущих примерах имеют непустое имя пользователя, поэтому клиент всегда подключается к серверу MySQL с тем же именем, что указано в определении аккаунта. Если у аккаунта пустое имя пользователя, например, у прокси-учётной записи по умолчанию без анонимности ''@'%', описанной в LDAP-аутентификации с проксированием, клиенты могут подключаться к MySQL-серверу с различными именами пользователей. Но принцип тот же: если строка аутентификации начинается с +, плагин использует имя пользователя, отправленное клиентом, вместе со строкой аутентификации для построения DN пользователя.

LDAP-плагины аутентификации используют настраиваемый метод аутентификации. Соответствующая системная переменная и доступные варианты методов зависят от конкретного плагина:

Подробную информацию о каждом допустимом методе см. в описаниях системных переменных. Кроме того, в зависимости от метода могут потребоваться дополнительные настройки, как описано в следующих разделах.

Сервер LDAP может быть настроен для делегирования запросов LDAP другому серверу LDAP, функция, известная как пересылка запросов LDAP. Предположим, что сервер a.example.com хранит корневой DN "dc=example,dc=com" и хочет делегировать запросы другому серверу b.example.com. Для этого a.example.com будет настроен с объектом пересылки с именем, имеющим эти атрибуты:

dn: dc=subtree,dc=example,dc=com
objectClass: referral
objectClass: extensibleObject
dc: subtree
ref: ldap://b.example.com/dc=subtree,dc=example,dc=com

Проблема с включением пересылки запросов LDAP заключается в том, что запросы могут завершаться ошибками операций LDAP при поиске по корневому DN, и объекты пересылки не установлены. MySQL DBA может захотеть избежать таких ошибок пересылки для плагинов аутентификации LDAP, даже если пересылка запросов LDAP может быть установлена глобально в файле конфигурации ldap.conf. Чтобы настроить на основе плагина, должен ли сервер LDAP использовать пересылку LDAP при общении с каждым плагином, установите системные переменные authentication_ldap_simple_referral и authentication_ldap_sasl_referral. Установка любой из переменных в ON или OFF сообщает соответствующему плагину аутентификации LDAP серверу LDAP, следует ли использовать пересылку во время аутентификации MySQL. Каждая переменная имеет действие, специфичное для плагина, и не влияет на другие приложения, которые взаимодействуют с сервером LDAP. Обе переменные по умолчанию OFF.