要将 Kerberos 可插拔身份验证用于 MySQL，必须满足以下先决条件

本节概述了 MySQL 和 Kerberos 如何协同工作以对 MySQL 用户进行身份验证。有关显示如何设置 MySQL 帐户以使用 Kerberos 身份验证插件的示例，请参见 使用 Kerberos 可插拔身份验证。

本文假定您熟悉 Kerberos 的概念和操作。以下列表简要定义了几个常见的 Kerberos 术语。您可能还会发现 RFC 4120 的词汇表部分有所帮助。

使用 Kerberos 进行身份验证需要一个 KDC 服务器，例如，由 Microsoft Active Directory 提供。

MySQL 中的 Kerberos 身份验证使用通用安全服务应用程序编程接口 (GSSAPI)，它是一个安全抽象接口。Kerberos 是可以通过该抽象接口使用的特定安全协议的实例。使用 GSSAPI，应用程序向 Kerberos 进行身份验证以获取服务凭据，然后依次使用这些凭据来启用对其他服务的安全访问。

在 Windows 上，authentication_kerberos_client 身份验证插件支持两种模式，客户端用户可以在运行时设置或在选项文件中指定。

使用 Kerberos 身份验证插件，应用程序和 MySQL 服务器能够使用 Kerberos 身份验证协议来相互验证用户和 MySQL 服务的身份。这样，用户和服务器都可以验证彼此的身份。没有密码通过网络发送，Kerberos 协议消息受到保护，防止窃听和重放攻击。

Kerberos 身份验证遵循以下步骤，其中服务器端和客户端部分分别使用 authentication_kerberos 和 authentication_kerberos_client 身份验证插件执行。

应用程序能够使用提供的用户名和密码进行身份验证，或者使用本地缓存的 TGT 或 ST（例如，使用 kinit 或类似命令创建）。因此，此设计涵盖了从完全无用户和无密码连接（从本地存储的 Kerberos 缓存中获取 Kerberos 服务票据）到同时提供用户名和密码并使用它们从 KDC 获取有效 Kerberos 服务票据以发送到 MySQL 服务器的各种用例。

如前述描述中所示，MySQL Kerberos 身份验证使用两种类型的密钥表文件。

有关密钥表文件的更多信息，请参见 https://web.mit.edu/kerberos/krb5-latest/doc/basic/keytab_def.html。

本节介绍如何安装服务器端 Kerberos 身份验证插件。有关安装插件的常规信息，请参见 第 7.6.1 节，“安装和卸载插件”。

要使服务器能够使用该插件，插件库文件必须位于 MySQL 插件目录（由 plugin_dir 系统变量指定的目录）中。如有必要，请通过在服务器启动时设置 plugin_dir 的值来配置插件目录位置。

服务器端插件库文件的基本名称为 authentication_kerberos。Unix 和类 Unix 系统的文件名后缀为 .so。

要在服务器启动时加载插件，请使用 --plugin-load-add 选项来命名包含它的库文件。使用这种插件加载方法，必须在每次服务器启动时提供该选项。此外，还要为要配置的任何插件提供的系统变量指定值。该插件公开这些系统变量，从而可以配置其操作。

有关所有 Kerberos 身份验证系统变量的详细信息，请参见 第 8.4.1.13 节，“可插拔身份验证系统变量”。

要加载插件并配置它，请在您的 my.cnf 文件中添加以下内容，使用适合您的安装的系统变量值。

[mysqld]
plugin-load-add=authentication_kerberos.so
authentication_kerberos_service_principal=mysql/[email protected]
authentication_kerberos_service_key_tab=/var/mysql/data/mysql.keytab

修改 my.cnf 后，重新启动服务器以使新设置生效。

或者，要在运行时加载插件，请使用以下语句。

INSTALL PLUGIN authentication_kerberos
  SONAME 'authentication_kerberos.so';

INSTALL PLUGIN 会立即加载插件，并将它注册到 mysql.plugins 系统表中，以便服务器在每次随后的正常启动时加载它，而无需使用 --plugin-load-add。

当您在运行时安装插件而不在 my.cnf 文件中配置其系统变量时，系统变量 authentication_kerberos_service_key_tab 将设置为数据目录中的默认值 mysql.keytab。此系统变量的值无法在运行时更改，因此，如果您需要指定其他文件，则需要将设置添加到您的 my.cnf 文件中，然后重新启动 MySQL 服务器。例如。

[mysqld]
authentication_kerberos_service_key_tab=/var/mysql/data/mysql.keytab

如果密钥表文件不在正确的位置或不包含有效的 SPN 密钥，MySQL 服务器不会验证这一点，但客户端会返回身份验证错误，直到您修复问题为止。

可以使用 SET PERSIST 语句在运行时设置并持久化 authentication_kerberos_service_principal 系统变量，而无需重新启动服务器。

SET PERSIST authentication_kerberos_service_principal='mysql/[email protected]';

SET PERSIST 为正在运行的 MySQL 实例设置值。它还会保存该值，使其在随后的服务器重启时保留。要更改正在运行的 MySQL 实例的值，而不使其在随后的重启时保留，请使用 GLOBAL 关键字而不是 PERSIST。参见 第 15.7.6.1 节，“SET 语法用于变量赋值”。

要验证插件安装，请检查 Information Schema PLUGINS 表或使用 SHOW PLUGINS 语句（参见 第 7.6.2 节，“获取服务器插件信息”）。例如。

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME = 'authentication_kerberos';
+-------------------------+---------------+
| PLUGIN_NAME             | PLUGIN_STATUS |
+-------------------------+---------------+
| authentication_kerberos | ACTIVE        |
+-------------------------+---------------+

如果插件无法初始化，请检查服务器错误日志以获取诊断消息。

要将 MySQL 帐户与 Kerberos 插件关联，请参见 使用 Kerberos 可插拔身份验证。

本节介绍如何启用 MySQL 帐户使用 Kerberos 可插拔身份验证连接到 MySQL 服务器。假设服务器正在运行，并且启用了服务器端插件，如 安装 Kerberos 可插拔身份验证 中所述，并且客户端主机上提供了客户端插件。

验证 Kerberos 可用性

以下示例演示了如何在 Active Directory 中测试 Kerberos 的可用性。该示例做出了以下假设。

在满足这些假设的情况下，请遵循以下步骤

创建使用 Kerberos 身份验证的 MySQL 帐户

使用 authentication_kerberos 身份验证插件进行的 MySQL 身份验证基于 Kerberos 用户主体名称 (UPN)。以下说明假设名为 karl 的 MySQL 用户使用 Kerberos 认证到 MySQL，Kerberos 区域名为 MYSQL.LOCAL，用户主体名称为 [email protected]。此 UPN 必须在几个地方注册

假设 Kerberos 用户主体名称已由相应的服务管理员注册，并且如先前在 安装 Kerberos 可插拔身份验证 中所述，MySQL 服务器已使用服务器端 Kerberos 插件的适当配置设置启动。要创建与 user@realm_name 的 Kerberos UPN 相对应的 MySQL 帐户，MySQL DBA 使用类似以下语句

CREATE USER user
  IDENTIFIED WITH authentication_kerberos
  BY 'realm_name';

由 user 指定的帐户可以包含或省略主机名部分。如果省略主机名，则默认情况下它会像往常一样为 %。 realm_name 存储为 mysql.user 系统表中帐户的 authentication_string 值。

要创建与 UPN [email protected] 相对应的 MySQL 帐户，请使用以下语句

CREATE USER 'karl'
  IDENTIFIED WITH authentication_kerberos
  BY 'MYSQL.LOCAL';

如果 MySQL 必须为该帐户构造 UPN，例如，要获取或验证票据 (TGT 或 ST)，则它会通过组合帐户名（忽略任何主机名部分）和区域名来执行此操作。例如，从前面的 CREATE USER 语句生成的完整帐户名为 'karl'@'%'。MySQL 从用户名部分 karl（忽略主机名部分）和区域名 MYSQL.LOCAL 构造 UPN，以生成 [email protected]。

设置完帐户后，客户端可以使用它连接到 MySQL 服务器。该过程取决于客户端主机运行的是 Linux 还是 Windows，如下面的讨论所述。

使用 authentication_kerberos 受限于不支持具有相同用户部分但区域部分不同的 UPN。例如，您不能创建与这两个 UPN 相对应的 MySQL 帐户

[email protected]
[email protected]

这两个 UPN 的用户部分都为 kate，但区域部分不同 (MYSQL.LOCAL 与 EXAMPLE.COM)。这是不允许的。

使用 MySQL 帐户连接到 MySQL 服务器

设置完使用 Kerberos 认证的 MySQL 帐户后，客户端可以使用它按如下方式连接到 MySQL 服务器

第一步（认证到 Kerberos）可以通过多种方式执行

连接到 MySQL 服务器的客户端命令的详细信息因 Linux 和 Windows 而异，因此每种主机类型都会单独讨论，但这些命令属性适用于任何主机类型

Linux 客户端的连接命令

在 Linux 上，连接到 MySQL 服务器的适当客户端命令因命令是使用 Kerberos 缓存中的 TGT 进行认证，还是基于 MySQL 用户名和 UPN 密码的命令选项而异

如果您不确定是否已存在 TGT，可以使用 klist 进行检查。

Windows 客户端在 SSPI 模式下的连接命令

在 Windows 上，使用默认客户端插件选项 (SSPI) 时，连接到 MySQL 服务器的适当客户端命令因命令是基于 MySQL 用户名和 UPN 密码的命令选项进行认证，还是使用来自 Windows 内存缓存的 TGT 而异。有关 Windows 上的 GSSAPI 模式的详细信息，请参阅 Windows 客户端在 GSSAPI 模式下的命令。

命令可以明确指定 MySQL 用户名和 UPN 密码的选项，或者命令可以省略这些选项

Windows 客户端在 GSSAPI 模式下的连接命令

在 Windows 上，客户端用户必须使用 plugin_authentication_kerberos_client_mode 插件选项显式指定 GSSAPI 模式，以通过 MIT Kerberos 库启用支持。默认模式为 SSPI（参见 Windows 客户端在 SSPI 模式下的命令）。

可以在选项文件中调用 MySQL 客户端程序之前指定 GSSAPI 模式。

连接到 MySQL 服务器的适当客户端命令取决于该命令是使用来自 MIT Kerberos 缓存的 TGT 进行身份验证，还是基于有关 MySQL 用户名和 UPN 密码的命令选项。Windows 上通过 MIT 库实现的 GSSAPI 支持类似于 Linux 上的 GSSAPI（参见 Linux 客户端的命令），以下除外

Kerberos 身份验证的客户端配置参数

本节仅适用于运行 Linux 的客户端主机，不适用于运行 Windows 的客户端主机。

如果在调用 MySQL 客户端应用程序时不存在有效的票证授予票证 (TGT)，则应用程序本身可能会获取并缓存 TGT。如果在 Kerberos 身份验证过程中，客户端应用程序导致缓存 TGT，则可以通过设置适当的配置参数来销毁任何已添加的 TGT，在不再需要它们时销毁它们。（此设置仅适用于客户端插件创建的 TGT，不适用于其他插件或外部创建的 TGT。）

客户端 Kerberos 插件 authentication_kerberos_client 读取本地 /etc/krb5.conf 文件。如果此文件丢失或无法访问，则会发生错误。假设该文件可以访问，它可以包含一个可选的 [appdefaults] 部分，以提供插件使用的信息。将信息放置在该部分的 mysql 部分中。例如

[appdefaults]
  mysql = {
    destroy_tickets = true
  }

客户端插件识别 mysql 部分中的以下参数。

在客户端主机上，可以使用客户端 keytab 文件在不提供密码的情况下获取 TGT 和 TS。有关 keytab 文件的信息，请参阅 https://web.mit.edu/kerberos/krb5-latest/doc/basic/keytab_def.html。

AUTHENTICATION_KERBEROS_CLIENT_LOG 环境变量启用或禁用 Kerberos 身份验证的调试输出。

在服务器端，允许的值为 0（关闭）和 1（打开）。日志消息将写入服务器错误日志，并受服务器错误日志详细程度级别的约束。例如，如果您使用基于优先级的日志过滤，则 log_error_verbosity 系统变量控制详细程度，如 第 7.4.2.5 节，“基于优先级的错误日志过滤 (log_filter_internal)” 中所述。

在客户端，允许的值为 1 到 5，并写入标准错误输出。下表显示了每个日志级别值的含义。