要将 LDAP 可插拔身份验证用于 MySQL，必须满足以下先决条件：

本节概述了 MySQL 和 LDAP 如何协同工作以对 MySQL 用户进行身份验证。有关显示如何设置 MySQL 帐户以使用特定 LDAP 身份验证插件的示例，请参阅使用 LDAP 可插拔身份验证。有关 LDAP 插件可用的身份验证方法的信息，请参阅LDAP 身份验证方法。

客户端连接到 MySQL 服务器，提供 MySQL 客户端用户名和密码。

如果客户端用户名和主机名与任何 MySQL 帐户都不匹配，则连接被拒绝。

如果有匹配的 MySQL 帐户，则会针对 LDAP 进行身份验证。LDAP 服务器查找与用户匹配的条目，并使用 LDAP 密码对该条目进行身份验证。

如果 LDAP 服务器未找到匹配项或找到多个匹配项，则身份验证失败，并且客户端连接被拒绝。

如果 LDAP 服务器找到单个匹配项，则 LDAP 身份验证成功（假设密码正确），LDAP 服务器返回 LDAP 条目，并且身份验证插件根据该条目确定已认证用户的名称。

MySQL 服务器将客户端用户名与已认证用户名进行比较，以确定客户端会话是否发生代理。

本节介绍如何安装服务器端 LDAP 身份验证插件。有关安装插件的一般信息，请参阅第 7.6.1 节“安装和卸载插件”。

为了供服务器使用，插件库文件必须位于 MySQL 插件目录中（plugin_dir 系统变量命名的目录）。如有必要，请在服务器启动时设置 plugin_dir 的值以配置插件目录位置。

服务器端插件库文件的基本名称是 authentication_ldap_simple 和 authentication_ldap_sasl。文件扩展名因平台而异（例如，Unix 和类 Unix 系统为 .so，Windows 为 .dll）。

要在服务器启动时加载插件，请使用 --plugin-load-add 选项命名包含它们的库文件。使用此插件加载方法，每次服务器启动时都必须提供这些选项。此外，还要为要配置的任何插件提供的系统变量指定值。

每个服务器端 LDAP 插件都公开了一组系统变量，这些变量允许配置其操作。设置其中大多数是可选的，但必须设置指定 LDAP 服务器主机（以便插件知道连接到哪里）和用于 LDAP 绑定操作的基本可分辨名称的变量（以限制搜索范围并获得更快的搜索）。有关所有 LDAP 系统变量的详细信息，请参阅第 8.4.1.13 节“可插拔身份验证系统变量”。

要加载插件并设置 LDAP 服务器主机和用于 LDAP 绑定操作的基本可分辨名称，请在 my.cnf 文件中添加如下所示的行，并根据需要为您的平台调整 .so 后缀：

[mysqld]
plugin-load-add=authentication_ldap_simple.so
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
plugin-load-add=authentication_ldap_sasl.so
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

修改 my.cnf 后，请重新启动服务器以使新设置生效。

或者，要在运行时加载插件，请使用以下语句，并根据需要为您的平台调整 .so 后缀：

INSTALL PLUGIN authentication_ldap_simple
  SONAME 'authentication_ldap_simple.so';
INSTALL PLUGIN authentication_ldap_sasl
  SONAME 'authentication_ldap_sasl.so';

INSTALL PLUGIN 立即加载插件，并将其注册到 mysql.plugins 系统表中，以便服务器在每次后续正常启动时加载它，而无需使用 --plugin-load-add。

在运行时安装插件后，它们公开的系统变量将变为可用，您可以将它们的设置添加到 my.cnf 文件中，以便为后续重新启动配置插件。例如：

[mysqld]
authentication_ldap_simple_server_host=127.0.0.1
authentication_ldap_simple_bind_base_dn="dc=example,dc=com"
authentication_ldap_sasl_server_host=127.0.0.1
authentication_ldap_sasl_bind_base_dn="dc=example,dc=com"

修改 my.cnf 后，请重新启动服务器以使新设置生效。

要在运行时而不是在启动时设置和持久保存每个值，请使用以下语句：

SET PERSIST authentication_ldap_simple_server_host='127.0.0.1';
SET PERSIST authentication_ldap_simple_bind_base_dn='dc=example,dc=com';
SET PERSIST authentication_ldap_sasl_server_host='127.0.0.1';
SET PERSIST authentication_ldap_sasl_bind_base_dn='dc=example,dc=com';

SET PERSIST 为正在运行的 MySQL 实例设置一个值。它还会保存该值，使其在后续服务器重新启动时继续有效。要更改正在运行的 MySQL 实例的值而不使其在后续重新启动时继续有效，请使用 GLOBAL 关键字而不是 PERSIST。请参阅第 15.7.6.1 节“SET 语法用于变量赋值”。

要验证插件安装，请检查信息架构 PLUGINS 表或使用 SHOW PLUGINS 语句（请参阅第 7.6.2 节“获取服务器插件信息”）。例如：

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME LIKE '%ldap%';
+----------------------------+---------------+
| PLUGIN_NAME                | PLUGIN_STATUS |
+----------------------------+---------------+
| authentication_ldap_sasl   | ACTIVE        |
| authentication_ldap_simple | ACTIVE        |
+----------------------------+---------------+

如果插件初始化失败，请检查服务器错误日志以获取诊断消息。

要将 MySQL 帐户与 LDAP 插件相关联，请参阅使用 LDAP 可插拔身份验证。

用于卸载 LDAP 身份验证插件的方法取决于您安装它们的方式。

此外，请从您的 my.cnf 文件中删除任何设置 LDAP 插件相关系统变量的启动选项。如果您使用 SET PERSIST 来持久化 LDAP 系统变量，请使用 RESET PERSIST 来删除这些设置。

对于使用 OpenLDAP 的安装，ldap.conf 文件为 LDAP 客户端提供全局默认值。可以在此文件中设置选项以影响 LDAP 客户端，包括 LDAP 身份验证插件。OpenLDAP 按以下优先顺序使用配置选项：

如果库默认值或 ldap.conf 值未生成适当的选项值，则 LDAP 身份验证插件可能能够设置相关变量以直接影响 LDAP 配置。例如，LDAP 插件可以覆盖 ldap.conf 中的以下参数：

有关 ldap.conf 的更多信息，请参阅 ldap.conf(5) 联机帮助页。

为了使 MySQL 帐户能够使用 LDAP 可插拔身份验证连接到 MySQL 服务器，LDAP 服务器必须可用且可操作。MySQL 和 LDAP 服务器之间的交互涉及两个步骤。首先，MySQL 服务器通过 TCP 建立与 LDAP 服务器的连接。其次，MySQL 服务器通过连接向 LDAP 服务器发送 LDAP 绑定请求，并在对帐户进行身份验证之前等待回复。如果任一步骤失败，则 MySQL 帐户无法连接到 MySQL 服务器。

默认情况下，会将取代主机系统超时值的短时超时应用于连接和响应步骤。在所有情况下，如果超时到期，帐户用户都会收到通知，告知其尝试连接到 MySQL 被拒绝。客户端和服务器端日志记录可以提供其他信息。在客户端，设置以下环境变量以提升详细信息级别，然后重新启动 MySQL 客户端：

AUTHENTICATION_LDAP_CLIENT_LOG=5
export AUTHENTICATION_LDAP_CLIENT_LOG

以下系统变量仅在 Linux 平台上支持基于 SASL 和简单 LDAP 身份验证的默认超时。

LDAP 身份验证的超时值可以在服务器启动时和运行时进行调整。如果使用其中一个变量将超时设置为零，则实际上将禁用它，并且 MySQL 服务器将恢复为使用主机系统的默认超时。

本节介绍如何使 MySQL 帐户能够使用 LDAP 可插拔身份验证连接到 MySQL 服务器。假定服务器正在运行，并且已启用适当的服务器端插件（如 安装 LDAP 可插拔身份验证 中所述），并且客户端主机上提供了适当的客户端插件。

本节不介绍 LDAP 配置或管理。假定您熟悉这些主题。

两个服务器端 LDAP 插件分别与一个特定的客户端插件一起工作：

LDAP 身份验证 MySQL 用户的总体要求：

此处的说明假定以下情况：

设置使用 LDAP 身份验证的帐户的说明取决于所使用的服务器端 LDAP 插件。以下各节介绍了几种使用场景。

要为简单 LDAP 身份验证配置 MySQL 帐户，CREATE USER 语句指定 authentication_ldap_simple 插件，并可选地命名 LDAP 用户可分辨名称 (DN)：

CREATE USER user
  IDENTIFIED WITH authentication_ldap_simple
  [BY 'LDAP user DN'];

假设 MySQL 用户 betsy 在 LDAP 目录中有以下条目：

uid=betsy_ldap,ou=People,dc=example,dc=com

那么，为 betsy 创建 MySQL 帐户的语句如下所示：

CREATE USER 'betsy'@'localhost'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=betsy_ldap,ou=People,dc=example,dc=com';

BY 子句中指定的身份验证字符串不包含 LDAP 密码。这必须由客户端用户在连接时提供。

客户端通过提供 MySQL 用户名和 LDAP 密码，并启用客户端 mysql_clear_password 插件来连接到 MySQL 服务器：

$> mysql --user=betsy --password --enable-cleartext-plugin
Enter password: betsy_password (betsy_ldap LDAP password)

身份验证过程如下所示：

如果匹配的 LDAP 条目包含组属性，则该属性值将成为经过身份验证的用户名，并且如果该值与 betsy 不同，则会发生代理。有关使用组属性的示例，请参阅 使用代理的 LDAP 身份验证。

如果 CREATE USER 语句不包含指定 betsy_ldap LDAP 可分辨名称的 BY 子句，则身份验证尝试将使用客户端提供的用户名（在本例中为 betsy）。如果没有 betsy 的 LDAP 条目，则身份验证将失败。

要为 SASL LDAP 身份验证配置 MySQL 帐户，CREATE USER 语句指定 authentication_ldap_sasl 插件，并可选地命名 LDAP 用户可分辨名称 (DN)：

CREATE USER user
  IDENTIFIED WITH authentication_ldap_sasl
  [BY 'LDAP user DN'];

假设 MySQL 用户 boris 在 LDAP 目录中有以下条目：

uid=boris_ldap,ou=People,dc=example,dc=com

那么，为 boris 创建 MySQL 帐户的语句如下所示：

CREATE USER 'boris'@'localhost'
  IDENTIFIED WITH authentication_ldap_sasl
  AS 'uid=boris_ldap,ou=People,dc=example,dc=com';

BY 子句中指定的身份验证字符串不包含 LDAP 密码。这必须由客户端用户在连接时提供。

客户端通过提供 MySQL 用户名和 LDAP 密码来连接到 MySQL 服务器：

$> mysql --user=boris --password
Enter password: boris_password (boris_ldap LDAP password)

对于服务器端 authentication_ldap_sasl 插件，客户端使用客户端 authentication_ldap_sasl_client 插件。如果客户端程序找不到客户端插件，请指定一个 --plugin-dir 选项，该选项命名安装了插件库文件的目录。

boris 的身份验证过程与之前针对 betsy 使用简单 LDAP 身份验证所述的过程类似，不同之处在于客户端和服务器端 SASL LDAP 插件使用 SASL 消息在 LDAP 协议内安全传输凭据，以避免在 MySQL 客户端和服务器之间发送明文密码。

LDAP 身份验证插件支持代理，使用户能够以一个用户的身份连接到 MySQL 服务器，但可以拥有另一个用户的权限。本节介绍基本的 LDAP 插件代理支持。LDAP 插件还支持指定组偏好设置和代理用户映射；请参阅 LDAP 身份验证组偏好设置和映射规范。

此处所述的代理实现基于 LDAP 组属性值的使用，以便将使用 LDAP 进行身份验证的连接 MySQL 用户映射到定义了不同权限集的其他 MySQL 帐户。用户不直接通过定义权限的帐户进行连接。相反，它们通过使用 LDAP 进行身份验证的默认代理帐户进行连接，以便所有外部登录都映射到持有权限的代理 MySQL 帐户。任何使用代理帐户连接的用户都将映射到其中一个代理 MySQL 帐户，其权限决定了允许外部用户执行的数据库操作。

此处的说明假定以下情况：

创建默认代理 MySQL 帐户

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl;

代理帐户定义没有 AS 'auth_string' 子句来命名 LDAP 用户 DN。因此

创建代理帐户并向每个帐户授予其应具有的权限

CREATE USER 'accounting'@'localhost'
  IDENTIFIED WITH mysql_no_login;
CREATE USER 'front_office'@'localhost'
  IDENTIFIED WITH mysql_no_login;

GRANT ALL PRIVILEGES
  ON accountingdb.*
  TO 'accounting'@'localhost';
GRANT ALL PRIVILEGES
  ON frontdb.*
  TO 'front_office'@'localhost';

代理帐户使用 mysql_no_login 身份验证插件来阻止客户端使用这些帐户直接登录到 MySQL 服务器。相反，使用 LDAP 进行身份验证的用户应使用默认的 ''@'%' 代理帐户。（这假设已安装 mysql_no_login 插件。有关说明，请参阅 第 8.4.1.9 节“不允许登录的可插拔身份验证”。）有关防止代理帐户被直接使用的其他方法，请参阅 防止直接登录到代理帐户。

向代理帐户授予每个代理帐户的 PROXY 权限

GRANT PROXY
  ON 'accounting'@'localhost'
  TO ''@'%';
GRANT PROXY
  ON 'front_office'@'localhost'
  TO ''@'%';

使用 mysql 命令行客户端以 basha 的身份连接到 MySQL 服务器。

$> mysql --user=basha --password
Enter password: basha_password (basha LDAP password)

身份验证过程如下

这表明 basha 使用授予代理的 accounting MySQL 帐户的权限，并且代理是通过默认代理用户帐户进行的。

现在以 basil 的身份连接

$> mysql --user=basil --password
Enter password: basil_password (basil LDAP password)

basil 的身份验证过程与之前针对 basha 所述的过程类似

这表明 basil 使用授予代理的 front_office MySQL 帐户的权限，并且代理是通过默认代理用户帐户进行的。

如 使用代理进行 LDAP 身份验证 中所述，基本的 LDAP 身份验证代理的工作原理是，插件使用 LDAP 服务器返回的第一个组名作为 MySQL 代理用户帐户名。如果 LDAP 服务器返回多个组名，或者指定除组名以外的任何名称作为代理用户名，则此简单功能无法指定关于使用哪个组名的任何偏好设置。

对于使用 LDAP 身份验证的 MySQL 帐户，身份验证字符串可以指定以下信息以实现更大的代理灵活性

请考虑以下 MySQL 代理帐户定义

CREATE USER ''@'%'
  IDENTIFIED WITH authentication_ldap_sasl
  AS '+ou=People,dc=example,dc=com#grp1=usera,grp2,grp3=userc';

身份验证字符串具有用户 DN 后缀 ou=People,dc=example,dc=com，其前面带有 + 字符。因此，如 LDAP 身份验证用户 DN 后缀 中所述，完整的用户 DN 是根据指定的用户 DN 后缀加上作为 uid 属性的客户端用户名构建的。

身份验证字符串的其余部分以 # 开头，这表示组偏好设置和映射信息的开头。身份验证字符串的这一部分列出了组名，顺序为 grp1、grp2、grp3。LDAP 插件将该列表与 LDAP 服务器返回的组名集进行比较，并按列表顺序查找与返回名称的匹配项。插件使用第一个匹配项，如果没有匹配项，则身份验证失败。

假设 LDAP 服务器返回组 grp3、grp2 和 grp7。LDAP 插件使用 grp2，因为它是身份验证字符串中第一个匹配的组，即使它不是 LDAP 服务器返回的第一个组。如果 LDAP 服务器返回 grp4、grp2 和 grp1，则即使 grp2 也匹配，插件也会使用 grp1。grp1 的优先级高于 grp2，因为它在身份验证字符串中列出的位置更靠前。

假设插件找到了组名匹配项，如果存在，它将执行从该组名到 MySQL 代理用户名的映射。对于示例代理帐户，映射过程如下

如果 LDAP 服务器以 DN 格式返回组，则 LDAP 插件将解析组 DN 以从中提取组名。

要指定 LDAP 组偏好设置和映射信息，请遵循以下原则

LDAP 身份验证插件允许提供用户 DN 信息的身份验证字符串以 + 前缀字符开头

此帐户认证字符串开头没有 +，因此它被视为完整的用户 DN。

CREATE USER 'baldwin'
  IDENTIFIED WITH authentication_ldap_simple
  AS 'uid=admin,ou=People,dc=example,dc=com';

客户端使用帐户中指定的用户名（baldwin）进行连接。在这种情况下，该名称不会被使用，因为认证字符串没有前缀，因此完全指定了用户 DN。

此帐户认证字符串开头有 +，因此它仅被视为用户 DN 的一部分。

CREATE USER 'accounting'
  IDENTIFIED WITH authentication_ldap_simple
  AS '+ou=People,dc=example,dc=com';

客户端使用帐户中指定的用户名（accounting）进行连接，在这种情况下，该名称与认证字符串一起用作 uid 属性来构造用户 DN：uid=accounting,ou=People,dc=example,dc=com。

前面示例中的帐户具有非空的用户名，因此客户端始终使用与帐户定义中指定的名称相同的名称连接到 MySQL 服务器。如果帐户的用户名为空，例如 使用代理进行 LDAP 身份验证 中描述的默认匿名 ''@'%' 代理帐户，则客户端可能会使用不同的用户名连接到 MySQL 服务器。但原理是相同的：如果认证字符串以 + 开头，则插件会将客户端发送的用户名与认证字符串一起使用来构造用户 DN。

LDAP 身份验证插件使用可配置的身份验证方法。相应的系统变量和可用方法选择特定于插件。

有关每个允许方法的信息，请参阅系统变量说明。此外，根据方法的不同，可能需要进行其他配置，如以下各节所述。

通用安全服务应用程序编程接口 (GSSAPI) 是一种安全抽象接口。Kerberos 是一种可以通过该抽象接口使用的特定安全协议的实例。应用程序使用 GSSAPI 向 Kerberos 进行身份验证以获取服务凭据，然后依次使用这些凭据来启用对其他服务的安全访问。

其中一项服务是 LDAP，客户端和服务器端 SASL LDAP 身份验证插件都使用该服务。当 authentication_ldap_sasl_auth_method_name 系统变量设置为 GSSAPI 时，这些插件使用 GSSAPI/Kerberos 身份验证方法。在这种情况下，插件使用 Kerberos 进行安全通信，而无需直接使用 LDAP 消息。然后，服务器端插件与 LDAP 服务器通信，以解释 LDAP 身份验证消息并检索 LDAP 组。

Linux 上的 MySQL 服务器和客户端支持 GSSAPI/Kerberos 作为 LDAP 身份验证方法。这在应用程序可以通过 Microsoft Active Directory（默认情况下启用了 Kerberos）访问 LDAP 的 Linux 环境中很有用。

以下讨论提供了有关使用 GSSAPI 方法的配置要求的信息。假设您熟悉 Kerberos 概念和操作。以下列表简要定义了几个常见的 Kerberos 术语。您还可以参考 RFC 4120 的术语表部分。

使用 Kerberos 进行 LDAP 身份验证需要 KDC 服务器和 LDAP 服务器。可以通过不同的方式满足此要求。

客户端主机上也必须提供 Kerberos。客户端使用密码联系 AS 以获取 TGT。然后，客户端使用 TGT 从 TGS 获取对其他服务的访问权限，例如 LDAP。

以下各节讨论在 MySQL 中使用 GSSAPI/Kerberos 进行 SASL LDAP 身份验证的配置步骤。

验证 Kerberos 和 LDAP 的可用性

以下示例显示如何测试 Active Directory 中 Kerberos 的可用性。该示例做出以下假设。

在满足这些假设的情况下，请按照以下步骤操作。

为 GSSAPI/Kerberos 配置服务器端 SASL LDAP 身份验证插件

假设可以通过 Kerberos 访问 LDAP 服务器，如上所述，请将服务器端 SASL LDAP 身份验证插件配置为使用 GSSAPI/Kerberos 身份验证方法。（有关常规 LDAP 插件安装信息，请参阅 安装 LDAP 可插拔身份验证。）以下是服务器 my.cnf 文件中可能包含的插件相关设置示例：

[mysqld]
plugin-load-add=authentication_ldap_sasl.so
authentication_ldap_sasl_auth_method_name="GSSAPI"
authentication_ldap_sasl_server_host=198.51.100.10
authentication_ldap_sasl_server_port=389
authentication_ldap_sasl_bind_root_dn="cn=admin,cn=users,dc=MYSQL,dc=LOCAL"
authentication_ldap_sasl_bind_root_pwd="password"
authentication_ldap_sasl_bind_base_dn="cn=users,dc=MYSQL,dc=LOCAL"
authentication_ldap_sasl_user_search_attr="sAMAccountName"

这些选项文件设置按如下方式配置 SASL LDAP 插件：

创建一个使用 GSSAPI/Kerberos 进行 LDAP 身份验证的 MySQL 帐户

使用 SASL LDAP 身份验证插件和 GSSAPI/Kerberos 方法进行 MySQL 身份验证基于作为 Kerberos 主体的用户。以下讨论使用名为 [email protected] 的主体作为此用户，该用户必须在多个位置注册。

假设 Kerberos 主体和 LDAP 条目已由相应的服务管理员注册，并且如前所述，在 安装 LDAP 可插拔身份验证 和 为 GSSAPI/Kerberos 配置服务器端 SASL LDAP 身份验证插件 中，MySQL 服务器已使用服务器端 SASL LDAP 插件的相应配置设置启动。然后，MySQL DBA 创建一个与 Kerberos 主体名称相对应的 MySQL 帐户，包括域名。

以下语句创建一个名为 [email protected] 的代理用户，该用户拥有名为 proxied_krb_usr 的被代理用户的权限。其他应该具有相同权限的 GSSAPI/Kerberos 用户可以类似地创建为同一被代理用户的代理用户。

-- create proxy account
CREATE USER '[email protected]'
  IDENTIFIED WITH authentication_ldap_sasl
  BY '#krb_grp=proxied_krb_user';

-- create proxied account and grant its privileges;
-- use mysql_no_login plugin to prevent direct login
CREATE USER 'proxied_krb_user'
  IDENTIFIED WITH mysql_no_login;
GRANT ALL
  ON krb_user_db.*
  TO 'proxied_krb_user';

-- grant to proxy account the
-- PROXY privilege for proxied account
GRANT PROXY
  ON 'proxied_krb_user'
  TO '[email protected]';

请仔细观察第一个 CREATE USER 语句和 GRANT PROXY 语句中代理帐户名称的引号

被代理帐户使用 mysql_no_login 身份验证插件来防止客户端使用该帐户直接登录到 MySQL 服务器。相反，预计使用 LDAP 进行身份验证的用户将使用 [email protected] 代理帐户。（这假定已安装 mysql_no_login 插件。有关说明，请参阅 第 8.4.1.9 节“无登录可插拔身份验证”。）有关防止被代理帐户被直接使用的替代方法，请参阅 防止直接登录到被代理帐户。

使用 MySQL 帐户连接到 MySQL 服务器

设置了使用 GSSAPI/Kerberos 进行身份验证的 MySQL 帐户后，客户端可以使用它连接到 MySQL 服务器。Kerberos 身份验证可以在调用 MySQL 客户端程序之前或调用时进行

如果不确定 TGT 是否存在，可以使用 klist 进行检查。

身份验证过程如下

TGT 一旦获取就会缓存在客户端，并且可以在其过期之前使用，而无需再次指定密码。无论如何获取 TGT，客户端插件都使用它来获取服务票证并与服务器端插件通信。

服务器端插件无权访问 TGT 本身或用于获取 TGT 的 Kerberos 密码。

LDAP 身份验证插件无法控制缓存机制（存储在本地文件、内存等中），但可以使用 Kerberos 实用程序（如 kswitch）来实现此目的。

LDAP 身份验证的客户端配置参数

authentication_ldap_sasl_client 客户端 SASL LDAP 插件读取本地 /etc/krb5.conf 文件。如果此文件丢失或无法访问，则会发生错误。假设该文件可访问，则它可以包含一个可选的 [appdefaults] 部分，以提供插件使用的信息。将信息放在该部分的 mysql 部分中。例如

[appdefaults]
  mysql = {
    ldap_server_host = "ldap_host.example.com"
    ldap_destroy_tgt = true
  }

客户端插件识别 mysql 部分中的以下参数

可以将 LDAP 服务器配置为将 LDAP 搜索委托给另一个 LDAP 服务器，这种功能称为 LDAP 引用。假设服务器 a.example.com 持有 "dc=example,dc=com" 根 DN，并且希望将搜索委托给另一个服务器 b.example.com。为此，a.example.com 将配置一个具有以下属性的命名引用对象

dn: dc=subtree,dc=example,dc=com
objectClass: referral
objectClass: extensibleObject
dc: subtree
ref: ldap://b.example.com/dc=subtree,dc=example,dc=com

启用 LDAP 引用时的一个问题是，当搜索基础 DN 为根 DN 并且未设置引用对象时，搜索可能会失败并出现 LDAP 操作错误。MySQL DBA 可能希望避免 LDAP 身份验证插件出现此类引用错误，即使 LDAP 引用可能已在 ldap.conf 配置文件中全局设置。要针对每个插件配置 LDAP 服务器在与每个插件通信时是否应使用 LDAP 引用，请设置 authentication_ldap_simple_referral 和 authentication_ldap_sasl_referral 系统变量。将任一变量设置为 ON 或 OFF 会导致相应的 LDAP 身份验证插件告诉 LDAP 服务器在 MySQL 身份验证期间是否使用引用。每个变量都有特定于插件的效果，不会影响与 LDAP 服务器通信的其他应用程序。默认情况下，这两个变量都为 OFF。