Некоторые плагины аутентификации хранят учетные данные учетных записей внутри MySQL, в таблице системы mysql.user:

Большинство обсуждений в этом разделе относится к таким плагинам аутентификации, потому что большинство возможностей управления паролями, описанных здесь, основаны на внутреннем хранении учетных данных, выполняемом самим MySQL. Другие плагины аутентификации хранят учетные данные учетных записей вне MySQL. Для учетных записей, использующих плагины, которые выполняют аутентификацию по внешней системе учетных данных, управление паролями также должно выполняться внешне по отношению к этой системе.

Исключением является то, что параметры отслеживания неудачных входов и временной блокировки учетной записи применяются ко всем учетным записям, а не только к тем, которые используют внутреннее хранение учетных данных, так как MySQL может оценить состояние попыток входа в любую учетную запись, независимо от того, использует ли она внутреннее или внешнее хранение учетных данных.

Сведения об отдельных плагинах аутентификации см. в разделе 8.4.1, «Плагины аутентификации».

MySQL позволяет администраторам баз данных вручную истекать паролями учетных записей и устанавливать политику автоматического истечения срока действия паролей. Политика истечения срока действия может быть установлена глобально, а отдельные учетные записи могут быть настроены на отсылку к глобальной политике или на переопределение глобальной политики с помощью определенного поведения для каждой учетной записи.

Чтобы вручную истечь сроком действия пароля учетной записи, используйте оператор ALTER USER:

ALTER USER 'jeffrey'@'localhost' PASSWORD EXPIRE;

Эта операция помечает пароль как истекший в соответствующей строке в таблице системы mysql.user.

Автоматическое истечение срока действия паролей в соответствии с политикой основано на возрасте пароля, который для данной учетной записи оценивается со времени и даты последнего изменения пароля. Таблица системы mysql.user указывает для каждой учетной записи, когда пароль был в последний раз изменен, и сервер автоматически обрабатывает пароль как истекший во время подключения клиента, если его возраст больше, чем разрешенный срок действия. Это работает без явного ручного истечения срока действия пароля.

Чтобы установить глобальную политику автоматического истечения срока действия паролей, используйте системную переменную default_password_lifetime. Ее значение по умолчанию равно 0, что отключает автоматическое истечение срока действия паролей. Если значение default_password_lifetime является положительным целым числом N, оно указывает разрешенный срок действия пароля, так что пароли должны меняться каждые N дней.

Примеры:

Глобальная политика истечения срока действия паролей применяется ко всем учетным записям, которые не были настроены на ее переопределение. Чтобы установить политику для отдельных учетных записей, используйте опцию PASSWORD EXPIRE операторов CREATE USER и ALTER USER. См. Раздел 15.7.1.3, «Оператор CREATE USER», и Раздел 15.7.1.1, «Оператор ALTER USER».

Примеры операторов для отдельных учетных записей:

При успешном подключении клиента сервер определяет, истек ли срок действия пароля учетной записи:

Если срок действия пароля истек (вручную или автоматически), сервер либо отключает клиента, либо ограничивает разрешенные для него операции (см. Раздел 8.2.16, «Обработка сервером истекших паролей»). Операции, выполняемые ограниченным клиентом, приводят к ошибке до тех пор, пока пользователь не установит новый пароль учетной записи:

mysql> SELECT 1;
ERROR 1820 (HY000): You must reset your password using ALTER USER
statement before executing this statement.

mysql> ALTER USER USER() IDENTIFIED BY 'password';
Query OK, 0 rows affected (0.01 sec)

mysql> SELECT 1;
+---+
| 1 |
+---+
| 1 |
+---+
1 row in set (0.00 sec)

После того, как клиент сбросит пароль, сервер восстановит обычный доступ для сеанса, а также для последующих подключений, использующих учетную запись. Также администратор может сбросить пароль учетной записи, но любые существующие ограниченные сеансы для этой учетной записи останутся ограниченными. Клиент, использующий учетную запись, должен отключиться и снова подключиться, прежде чем операторы будут успешно выполнены.

MySQL позволяет устанавливать ограничения на повторное использование предыдущих паролей. Ограничения повторного использования могут быть установлены на основе количества изменений пароля, прошедшего времени или того и другого. Политика повторного использования может быть установлена глобально, а отдельные учетные записи могут быть настроены на отсылку к глобальной политике или на переопределение глобальной политики с помощью определенного поведения для каждой учетной записи.

История паролей учетной записи состоит из паролей, которые были назначены ей в прошлом. MySQL может ограничивать выбор новых паролей из этой истории:

Чтобы установить глобальную политику повторного использования паролей, используйте системные переменные password_history и password_reuse_interval.

Примеры:

Глобальная политика повторного использования паролей применяется ко всем учетным записям, которые не были настроены на ее переопределение. Чтобы установить политику для отдельных учетных записей, используйте опции PASSWORD HISTORY и PASSWORD REUSE INTERVAL операторов CREATE USER и ALTER USER. См. Раздел 15.7.1.3, «Оператор CREATE USER», и Раздел 15.7.1.1, «Оператор ALTER USER».

Примеры операторов для отдельных учетных записей:

Можно потребовать проверки попыток изменения пароля учетной записи, указав текущий пароль для замены. Это позволяет администраторам баз данных предотвратить изменение пароля пользователями без подтверждения, что они знают текущий пароль. Такие изменения могут произойти, например, если пользователь временно покинул сеанс терминала без выхода из системы, и злоумышленник использует сеанс для изменения пароля MySQL исходного пользователя. Это может иметь неприятные последствия:

Политика проверки пароля может быть установлена глобально, а отдельные учетные записи могут быть настроены на отсылку к глобальной политике или на переопределение глобальной политики с помощью определенного поведения для каждой учетной записи.

Для каждой учетной записи ее строка mysql.user указывает, есть ли специфическое для учетной записи требование проверки текущего пароля при попытке изменения пароля. Настройка устанавливается с помощью параметра PASSWORD REQUIRE операторов CREATE USER и ALTER USER:

Другими словами, если настройка учетной записи не равна PASSWORD REQUIRE CURRENT DEFAULT, настройка учетной записи имеет приоритет над глобальной политикой, установленной системной переменной password_require_current. В противном случае учетная запись следует настройке password_require_current.

По умолчанию проверка пароля необязательна: password_require_current отключена, и учетные записи, созданные без параметра PASSWORD REQUIRE, по умолчанию равны PASSWORD REQUIRE CURRENT DEFAULT.

В следующей таблице показано, как настройки для каждой учетной записи взаимодействуют со значениями системной переменной password_require_current для определения политики проверки пароля учетной записи.

Для глобальной установки политики проверки пароля используйте системную переменную password_require_current. Ее значение по умолчанию равно OFF, поэтому для изменения пароля учетной записи не требуется указывать текущий пароль.

Примеры:

Глобальная политика обязательной проверки пароля применяется ко всем учетным записям, которые не были настроены на ее переопределение. Для установки политики для отдельных учетных записей используйте параметры PASSWORD REQUIRE операторов CREATE USER и ALTER USER. См. Раздел 15.7.1.3, «CREATE USER Statement» и Раздел 15.7.1.1, «ALTER USER Statement».

Примеры операторов для отдельных учетных записей:

Проверка текущего пароля учитывается при изменении пароля пользователем с помощью оператора ALTER USER или SET PASSWORD. Примеры используют ALTER USER, что предпочтительнее SET PASSWORD, но принципы описаны одинаково для обоих операторов.

В операторах изменения пароля клауза REPLACE указывает текущий пароль для замены. Примеры:

Клауза REPLACE работает следующим образом:

Пользовательские учётные записи могут иметь двойные пароли, обозначенные как основной и дополнительный. Возможность двойных паролей позволяет беспрепятственно изменять учетные данные в таких сценариях:

Рассмотрим, как следует изменять учетные данные в сценарии выше, когда учетной записи разрешен только один пароль. В этом случае необходимо тесное взаимодействие по времени изменения пароля учетной записи и его распространения по всем серверам и обновления всех приложений, использующих учетную запись, для использования нового пароля. Этот процесс может привести к простоям, во время которых серверы или приложения недоступны.

С двойными паролями изменение учетных данных можно выполнить проще, поэтапно, без необходимости тесного взаимодействия и без простоев:

MySQL реализует возможность двойных паролей с синтаксисом, позволяющим сохранять и удалять дополнительные пароли:

Предположим, что для описанного выше сценария изменения учетных данных учетная запись с именем 'appuser1'@'host1.example.com' используется приложениями для подключения к серверам, и пароль учетной записи нужно изменить с 'password_a' на 'password_b'.

Для выполнения этого изменения учетных данных используйте ALTER USER следующим образом:

Операторы RETAIN CURRENT PASSWORD и DISCARD OLD PASSWORD имеют следующие эффекты:

Для операторов, изменяющих дополнительные пароли, требуются следующие привилегии:

Операторы CREATE USER, ALTER USER и SET PASSWORD имеют возможность генерировать случайные пароли для учетных записей пользователей как альтернативу необходимости явного указания паролей администратором. Подробности синтаксиса см. в описании каждого оператора. В этом разделе описываются общие характеристики сгенерированных случайных паролей.

По умолчанию сгенерированные случайные пароли имеют длину 20 символов. Эта длина контролируется системной переменной generated_random_password_length, которая имеет диапазон от 5 до 255.

Для каждой учетной записи, для которой оператор генерирует случайный пароль, оператор сохраняет пароль в таблице системы mysql.user, соответствующим образом хэшируя его для плагина аутентификации учетной записи. Оператор также возвращает открытый текст пароля в строке набора результатов, чтобы сделать его доступным для пользователя или приложения, выполняющего оператор. Столбцы набора результатов называются user, host, generated password и auth_factor, указывая значения имени пользователя и имени хоста, которые идентифицируют строку в таблице системы mysql.user, сгенерированный открытый текст пароля и фактор аутентификации, к которому относится отображаемое значение пароля.

mysql> CREATE USER
       'u1'@'localhost' IDENTIFIED BY RANDOM PASSWORD,
       'u2'@'%.example.com' IDENTIFIED BY RANDOM PASSWORD,
       'u3'@'%.org' IDENTIFIED BY RANDOM PASSWORD;
+------+---------------+----------------------+-------------+
| user | host          | generated password   | auth_factor |
+------+---------------+----------------------+-------------+
| u1   | localhost     | iOeqf>Mh9:;XD&qn(Hl} |           1 |
| u2   | %.example.com | sXTSAEvw3St-R+_-C3Vb |           1 |
| u3   | %.org         | nEVe%Ctw/U/*Md)Exc7& |           1 |
+------+---------------+----------------------+-------------+
mysql> ALTER USER
       'u1'@'localhost' IDENTIFIED BY RANDOM PASSWORD,
       'u2'@'%.example.com' IDENTIFIED BY RANDOM PASSWORD;
+------+---------------+----------------------+-------------+
| user | host          | generated password   | auth_factor |
+------+---------------+----------------------+-------------+
| u1   | localhost     | Seiei:&cw}8]@3OA64vh |           1 |
| u2   | %.example.com | j@&diTX80l8}(NiHXSae |           1 |
+------+---------------+----------------------+-------------+
mysql> SET PASSWORD FOR 'u3'@'%.org' TO RANDOM;
+------+-------+----------------------+-------------+
| user | host  | generated password   | auth_factor |
+------+-------+----------------------+-------------+
| u3   | %.org | n&cz2xF;P3!U)+]Vw52H |           1 |
+------+-------+----------------------+-------------+

Оператор CREATE USER, ALTER USER или SET PASSWORD, генерирующий случайный пароль для учетной записи, записывается в бинарный журнал как оператор CREATE USER или ALTER USER с оператором IDENTIFIED WITH auth_plugin AS 'auth_string', где auth_plugin — плагин аутентификации учетной записи, а 'auth_string' — хэшированное значение пароля учетной записи.

Если компонент validate_password установлен, реализуемая им политика не влияет на сгенерированные пароли. (Цель проверки паролей — помочь людям создавать лучшие пароли.)

Администраторы могут настроить учетные записи пользователей таким образом, чтобы слишком много последовательных неудачных попыток входа приводили к временной блокировке учетной записи.

«Неудачная попытка входа» в данном контексте означает неудачу клиента в предоставлении правильного пароля во время попытки подключения. Это не включает в себя неудачу подключения по причинам, таким как неизвестный пользователь или проблемы с сетью. Для учетных записей с двойными паролями (см. Поддержка двойных паролей) любой пароль считается правильным.

Требуемое количество неудачных попыток входа и время блокировки настраиваются для каждой учетной записи, используя параметры FAILED_LOGIN_ATTEMPTS и PASSWORD_LOCK_TIME в операторах CREATE USER и ALTER USER. Примеры:

CREATE USER 'u1'@'localhost' IDENTIFIED BY 'password'
  FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 3;

ALTER USER 'u2'@'localhost'
  FAILED_LOGIN_ATTEMPTS 4 PASSWORD_LOCK_TIME UNBOUNDED;

Когда происходит слишком много последовательных неудачных попыток входа, клиент получает ошибку, похожую на эту:

ERROR 3957 (HY000): Access denied for user user.
Account is blocked for D day(s) (R day(s) remaining)
due to N consecutive failed logins.

Используйте параметры следующим образом:

Допустимые значения N для каждого параметра находятся в диапазоне от 0 до 32767. Значение 0 отключает параметр.

Отслеживание неудачных попыток входа и временная блокировка учетных записей имеют следующие характеристики:

При чтении сервером таблиц предоставления прав он инициализирует информацию о состоянии каждой учетной записи, касающуюся того, включено ли отслеживание неудачных попыток входа, заблокирована ли учетная запись в данный момент, когда началась блокировка (если да), и количество неудач до временной блокировки, если учетная запись не заблокирована.

Информацию о состоянии учетной записи можно сбросить, что означает, что подсчет неудачных попыток входа сбрасывается, и учетная запись разблокируется, если она в данный момент заблокирована. Сбросы учетных записей могут быть глобальными для всех учетных записей или для каждой учетной записи:

Отслеживание неудачных попыток входа связано с учетной записью входа, используемой для проверки учетных данных. Если используется проксирование пользователя, отслеживание происходит для прокси-пользователя, а не для проксируемого пользователя. То есть отслеживание связано с учетной записью, указанной в USER(), а не с учетной записью, указанной в CURRENT_USER(). Сведения о различии между прокси-пользователями и проксируемыми пользователями см. в Раздел 8.2.19, «Прокси-пользователи».