В этом разделе описывается, как установить плагин аутентификации Windows на стороне сервера. Дополнительную информацию об установке плагинов см. в Разделе 7.6.1 «Установка и удаление плагинов».

Для использования плагином сервером, файл библиотеки плагина должен располагаться в каталоге плагинов MySQL (каталог, указанный переменной системы plugin_dir). При необходимости, настройте расположение каталога плагинов, установив значение plugin_dir при запуске сервера.

Для загрузки плагина при запуске сервера используйте параметр --plugin-load-add, чтобы указать имя файла библиотеки, содержащей плагин. С этим методом загрузки плагина параметр должен указываться каждый раз при запуске сервера. Например, добавьте эти строки в файл сервера my.cnf:

[mysqld]
plugin-load-add=authentication_windows.dll

После изменения my.cnf перезапустите сервер, чтобы новые настройки вступили в силу.

В качестве альтернативы, для загрузки плагина во время выполнения, используйте это утверждение:

INSTALL PLUGIN authentication_windows SONAME 'authentication_windows.dll';

INSTALL PLUGIN загружает плагин немедленно и также регистрирует его в таблице системы mysql.plugins, чтобы заставить сервер загрузить его при каждом последующем нормальном запуске без необходимости в --plugin-load-add.

Для проверки установки плагина, проверьте таблицу Information Schema PLUGINS или используйте оператор SHOW PLUGINS (см. Раздел 7.6.2 «Получение информации о серверных плагинах»). Например:

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME LIKE '%windows%';
+------------------------+---------------+
| PLUGIN_NAME            | PLUGIN_STATUS |
+------------------------+---------------+
| authentication_windows | ACTIVE        |
+------------------------+---------------+

Если плагин не удалось инициализировать, проверьте журнал ошибок сервера на наличие диагностических сообщений.

Чтобы связать учетные записи MySQL с плагином аутентификации Windows, см. Использование подключаемой аутентификации Windows. Дополнительный контроль плагина предоставляется переменными системы authentication_windows_use_principal_name и authentication_windows_log_level. См. Раздел 7.1.8 «Переменные системы сервера».

Способ удаления плагина аутентификации Windows зависит от способа его установки:

Кроме того, удалите любые параметры запуска, устанавливающие переменные системы, связанные с плагином Windows.

Плагин проверки подлинности Windows поддерживает использование учетных записей MySQL таким образом, что пользователи, авторизованные в Windows, могут подключаться к серверу MySQL без необходимости ввода дополнительного пароля. Предполагается, что сервер работает с включённым плагином на стороне сервера, как описано в Установка плагина проверки подлинности Windows. После того, как администратор базы данных включит плагин на стороне сервера и настроит учетные записи для его использования, клиенты могут подключаться с использованием этих учетных записей без дополнительных настроек со своей стороны.

Для ссылки на плагин проверки подлинности Windows в разделе IDENTIFIED WITH оператора CREATE USER используйте имя authentication_windows. Предположим, что пользователям Windows Rafal и Tasha следует разрешить подключение к MySQL, а также любым пользователям в группе Administrators или Power Users. Для настройки этого создайте учетную запись MySQL с именем sql_admin, использующую плагин Windows для проверки подлинности:

CREATE USER sql_admin
  IDENTIFIED WITH authentication_windows
  AS 'Rafal, Tasha, Administrators, "Power Users"';

Имя плагина — authentication_windows. Строка после ключевого слова AS — это строка проверки подлинности. Она указывает, что пользователям Windows с именами Rafal или Tasha разрешено авторизоваться на сервере как пользователю MySQL sql_admin, а также любым пользователям Windows в группе Administrators или Power Users. Последнее имя группы содержит пробел, поэтому оно должно быть заключено в двойные кавычки.

После создания учетной записи sql_admin пользователь, авторизованный в Windows, может попытаться подключиться к серверу с использованием этой учетной записи:

C:\> mysql --user=sql_admin

Здесь пароль не требуется. Плагин authentication_windows использует API безопасности Windows для проверки того, какой пользователь Windows подключается. Если этот пользователь имеет имя Rafal или Tasha или является членом группы Administrators или Power Users, сервер предоставляет доступ, и клиент авторизуется как sql_admin и имеет те привилегии, которые предоставлены учетной записи sql_admin. В противном случае сервер отказывает в доступе.

Синтаксис строки проверки подлинности для плагина проверки подлинности Windows подчиняется следующим правилам:

При вызове сервером для проверки подлинности клиента плагин сканирует строку проверки подлинности слева направо в поисках совпадения пользователя или группы с пользователем Windows. Если совпадение найдено, плагин возвращает соответствующее mysql_user_name серверу MySQL. Если совпадения нет, проверка подлинности завершается неудачно.

Совпадение имени пользователя имеет приоритет над совпадением имени группы. Предположим, что пользователь Windows с именем win_user является членом группы win_group, и строка проверки подлинности выглядит следующим образом:

'win_group = sql_user1, win_user = sql_user2'

Когда win_user подключается к серверу MySQL, есть совпадение как с win_group, так и с win_user. Плагин проверяет подлинность пользователя как sql_user2, потому что более конкретное совпадение имени пользователя имеет приоритет над совпадением имени группы, даже если группа указана первой в строке проверки подлинности.

Проверка подлинности Windows всегда работает для подключений с одного компьютера, на котором работает сервер. Для подключений между компьютерами оба компьютера должны быть зарегистрированы в Microsoft Active Directory. Если они находятся в одном домене Windows, нет необходимости указывать имя домена. Также можно разрешить подключения из другого домена, как в этом примере:

CREATE USER sql_accounting
  IDENTIFIED WITH authentication_windows
  AS 'SomeDomain\\Accounting';

Здесь SomeDomain — имя другого домена. Символ обратного слэша удваивается, так как это символ экранирования MySQL в строках.

MySQL поддерживает концепцию прокси-пользователей, при которой клиент может подключаться и проходить проверку подлинности на сервере MySQL с использованием одной учетной записи, но при подключении обладает привилегиями другой учетной записи (см. Раздел 8.2.19, «Прокси-пользователи»). Предположим, что вы хотите, чтобы пользователи Windows подключались с использованием одного имени пользователя, но отображались на основе своих имён пользователей и имён групп Windows на определённые учетные записи MySQL следующим образом:

Для настройки этого создайте прокси-учетную запись для подключения пользователей Windows и настройте эту учетную запись так, чтобы пользователи и группы отображались на соответствующие учетные записи MySQL (local_wlad, local_dev, local_admin). Кроме того, предоставьте учетным записям MySQL привилегии, соответствующие выполняемым ими операциям. В следующих инструкциях используется win_proxy в качестве прокси-учетной записи, а local_wlad, local_dev и local_admin в качестве проксируемых учетных записей.

Теперь пользователи Windows local_user и MyDomain\domain_user могут подключаться к серверу MySQL как win_proxy и при авторизации обладают привилегиями учетной записи, указанной в строке проверки подлинности (в данном случае, local_wlad). Пользователь из группы MyDomain\Developers, который подключается как win_proxy, обладает привилегиями учетной записи local_dev. Пользователь из группы BUILTIN\Administrators обладает привилегиями учетной записи local_admin.

Для настройки проверки подлинности таким образом, чтобы все пользователи Windows, у которых нет собственной учетной записи MySQL, проходили через прокси-учетную запись, замените стандартную прокси-учетную запись (''@'') на win_proxy в предыдущих инструкциях. Сведения о стандартных прокси-учетных записях см. в Разделе 8.2.19, «Прокси-пользователи».

Для использования плагина проверки подлинности Windows с строками подключений Connector/NET в Connector/NET 9.2 и выше, см. .