Этот раздел содержит обзор того, как MySQL и PAM взаимодействуют для аутентификации пользователей MySQL. Примеры настройки учетных записей MySQL для использования конкретных служб PAM см. в разделе Использование модуля аутентификации PAM.

В данном разделе описывается, как установить плагин аутентификации PAM на стороне сервера. Для общей информации об установке плагинов см. Раздел 7.6.1, «Установка и удаление плагинов».

Для использования плагина сервером, файл библиотеки плагина должен находиться в каталоге плагинов MySQL (каталоге, указанном переменной системы plugin_dir). При необходимости, настройте расположение каталога плагинов, установив значение переменной plugin_dir при запуске сервера.

Имя файла библиотеки плагина — authentication_pam, и обычно он компилируется с расширением .so.

Для загрузки плагина при запуске сервера, используйте опцию --plugin-load-add для указания файла библиотеки, содержащей плагин. С этим методом загрузки плагина, опция должна указываться каждый раз при запуске сервера. Например, добавьте эти строки в файл конфигурации сервера my.cnf:

[mysqld]
plugin-load-add=authentication_pam.so

После изменения my.cnf перезапустите сервер, чтобы новые настройки вступили в силу.

В качестве альтернативы, для загрузки плагина во время выполнения используйте данное утверждение, при необходимости изменяя расширение .so:

INSTALL PLUGIN authentication_pam SONAME 'authentication_pam.so';

INSTALL PLUGIN загружает плагин немедленно и также регистрирует его в таблице системы mysql.plugins, чтобы сервер загружал его при каждом последующем нормальном запуске без необходимости использования опции --plugin-load-add.

Для проверки установки плагина, просмотрите таблицу Information Schema PLUGINS или используйте оператор SHOW PLUGINS (см. Раздел 7.6.2, «Получение информации о плагинах сервера»). Например:

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME LIKE '%pam%';
+--------------------+---------------+
| PLUGIN_NAME        | PLUGIN_STATUS |
+--------------------+---------------+
| authentication_pam | ACTIVE        |
+--------------------+---------------+

Если плагин не удается инициализировать, проверьте журнал ошибок сервера на наличие диагностических сообщений.

Чтобы связать учетные записи MySQL с плагином PAM, см. Использование плагина аутентификации PAM.

Метод удаления плагина аутентификации PAM зависит от способа его установки:

В этом разделе в общих чертах описывается, как использовать плагин аутентификации PAM для подключения от клиентских программ MySQL к серверу. В следующих разделах приведены инструкции по использованию аутентификации PAM различными способами. Предполагается, что сервер работает с включенным плагином PAM на стороне сервера, как описано в Установка подключаемого модуля аутентификации PAM.

Для ссылки на плагин аутентификации PAM в разделе IDENTIFIED WITH оператора CREATE USER используйте имя authentication_pam. Например:

CREATE USER user
  IDENTIFIED WITH authentication_pam
  AS 'auth_string';

Строка аутентификации указывает следующие типы информации:

Например, если учетная запись использует имя службы PAM mysql-unix и должна отображать пользователей операционной системы в группах PAM root и users в пользователей MySQL developer и data_entry соответственно, используйте такое утверждение:

CREATE USER user
  IDENTIFIED WITH authentication_pam
  AS 'mysql-unix, root=developer, users=data_entry';

Синтаксис строки аутентификации для плагина аутентификации PAM подчиняется следующим правилам:

Если плагин успешно выполняет аутентификацию имени внешнего пользователя (имя, переданное клиентом), он ищет список отображения групп PAM в строке аутентификации и, если он присутствует, использует его для возврата имени пользователя MySQL, отличного от внешнего, в зависимости от того, к каким группам PAM принадлежит внешний пользователь:

В следующих разделах описываются различные сценарии аутентификации, использующие плагин аутентификации PAM:

Возможны и другие варианты этих сценариев:

В примерах делаются следующие предположения. Возможно, вам потребуется внести некоторые коррективы, если ваша система настроена по-другому.

Плагин аутентификации PAM проверяет при инициализации, установлено ли значение переменной среды AUTHENTICATION_PAM_LOG в среде запуска сервера. Если да, плагин включает протоколирование диагностических сообщений в стандартный вывод. В зависимости от того, как запущен ваш сервер, сообщение может появиться на консоли или в журнале ошибок. Эти сообщения могут быть полезны для отладки проблем, связанных с PAM, которые возникают при выполнении аутентификации плагином. Дополнительные сведения см. в разделе Отладка аутентификации PAM.

Этот сценарий аутентификации использует PAM для проверки внешних пользователей, определенных по именам операционной системы и паролям Unix, без использования проксирования. Каждый такой внешний пользователь, которому разрешено подключаться к серверу MySQL, должен иметь соответствующую учетную запись MySQL, настроенную для аутентификации с помощью PAM и традиционного хранилища паролей Unix.

Этот сценарий аутентификации использует PAM для проверки внешних пользователей, определенных по именам операционной системы и паролям LDAP, без использования проксирования. Каждый такой внешний пользователь, которому разрешено подключаться к серверу MySQL, должен иметь соответствующую учетную запись MySQL, настроенную для аутентификации с помощью PAM через LDAP.

Для использования плагина аутентификации PAM LDAP для MySQL необходимо выполнить следующие предварительные условия:

Настройте MySQL для аутентификации PAM LDAP следующим образом:

Схема аутентификации, описанная здесь, использует проксирование и сопоставление групп PAM для сопоставления подключаемых пользователей MySQL, которые аутентифицируются с помощью PAM, с другими учетными записями MySQL, которые определяют разные наборы привилегий. Пользователи не подключаются напрямую через учетные записи, которые определяют привилегии. Вместо этого они подключаются через учетную запись-прокси по умолчанию, аутентифицированную с помощью PAM, таким образом, все внешние пользователи сопоставляются с учетными записями MySQL, которые хранят привилегии. Любой пользователь, который подключается с помощью учетной записи-прокси, сопоставляется с одной из этих учетных записей MySQL, привилегии которой определяют разрешенные операции с базой данных для внешнего пользователя.

В данном процедуре используется аутентификация паролей Unix. Чтобы использовать LDAP вместо этого, см. начальные шаги в Аутентификации PAM LDAP без прокси-пользователей.

В некоторых системах для аутентификации Unix используется хранилище паролей, например, /etc/shadow, это файл, для которого обычно установлены ограниченные разрешения доступа. Это может привести к сбою аутентификации MySQL на основе PAM. К сожалению, реализация PAM не позволяет отличить «пароль не может быть проверен» (например, из-за невозможности чтения /etc/shadow) от «пароль не совпадает». Если вы используете хранилище паролей Unix для аутентификации PAM, вы можете включить доступ к нему из MySQL, используя один из следующих методов:

Плагин аутентификации PAM во время инициализации проверяет, установлено ли значение среды AUTHENTICATION_PAM_LOG. Если да, плагин включает протоколирование диагностических сообщений в стандартный вывод. Эти сообщения могут быть полезны для отладки проблем, связанных с PAM, возникающих при выполнении аутентификации плагином.

Установка AUTHENTICATION_PAM_LOG=1 (или любого другого произвольного значения) не включает какие-либо пароли. Если вы хотите включить пароли в эти сообщения, установите AUTHENTICATION_PAM_LOG=PAM_LOG_WITH_SECRET_INFO.

Некоторые сообщения включают ссылку на исходные файлы плагина PAM и номера строк, что позволяет более тесно связать действия плагина с местоположением в коде, где они происходят.

Другой метод отладки сбоев подключения и определения того, что происходит во время попыток подключения, — настройка аутентификации PAM для разрешения всех подключений, а затем проверка системных журналов. Этот метод следует применять только временно, а не на сервере в производстве.

Настройте файл службы PAM с именем /etc/pam.d/mysql-any-password с таким содержимым (формат может отличаться на некоторых системах):

#%PAM-1.0
auth        required    pam_permit.so
account     required    pam_permit.so

Создайте учетную запись, использующую плагин PAM, и назовите службу PAM mysql-any-password:

CREATE USER 'testuser'@'localhost'
  IDENTIFIED WITH authentication_pam
  AS 'mysql-any-password';

Файл службы mysql-any-password заставляет любую попытку аутентификации возвращать true, даже для неправильных паролей. Если попытка аутентификации завершается неудачно, это указывает на то, что проблема конфигурации находится на стороне MySQL. В противном случае проблема на стороне операционной системы/PAM. Чтобы увидеть, что может происходить, проверьте системные журналы, такие как /var/log/secure, /var/log/audit.log, /var/log/syslog или /var/log/messages.

После определения проблемы удалите файл службы PAM mysql-any-password, чтобы отключить доступ с любым паролем.