客户端程序和服务器进行通信，客户端向服务器发送客户端用户名（默认情况下为操作系统用户名）和密码。

服务器根据外部用户名和客户端连接的主机查找匹配的 MySQL 帐户。PAM 插件使用 MySQL 服务器传递给它的信息（例如用户名、主机名、密码和身份验证字符串）。当您定义使用 PAM 进行身份验证的 MySQL 帐户时，身份验证字符串包含：

该插件使用身份验证字符串中命名的 PAM 服务来检查用户凭据，并返回 '身份验证成功，用户名为 user_name' 或 '身份验证失败'。密码必须适合 PAM 服务使用的密码存储。例如：

如果凭据检查失败，服务器将拒绝连接。

否则，身份验证字符串指示是否发生代理。如果该字符串不包含 PAM 组映射，则不会发生代理。在这种情况下，MySQL 用户名与外部用户名相同。

否则，将根据 PAM 组映射指示代理，并根据映射列表中的第一个匹配组确定 MySQL 用户名。“PAM 组”的含义取决于 PAM 服务。例如：

如果代理用户（外部用户）对代理的 MySQL 用户名具有 PROXY 权限，则会发生代理，代理用户将拥有代理用户的权限。

验证 Unix 身份验证是否允许使用用户名 antonio 和密码 antonio_password 登录操作系统。

通过创建一个名为 /etc/pam.d/mysql-unix 的 mysql-unix PAM 服务文件，将 PAM 设置为使用传统的 Unix 密码对 MySQL 连接进行身份验证。文件内容取决于系统，因此请检查 /etc/pam.d 目录中现有的与登录相关的文件，以了解它们的外观。在 Linux 上，mysql-unix 文件可能如下所示：

#%PAM-1.0
auth            include         password-auth
account         include         password-auth

对于 macOS，请使用 login 而不是 password-auth。

在某些系统上，PAM 文件格式可能有所不同。例如，在 Ubuntu 和其他基于 Debian 的系统上，请改用以下文件内容：

@include common-auth
@include common-account
@include common-session-noninteractive

创建一个与操作系统用户名同名的 MySQL 帐户，并将其定义为使用 PAM 插件和 mysql-unix PAM 服务进行身份验证：

CREATE USER 'antonio'@'localhost'
  IDENTIFIED WITH authentication_pam
  AS 'mysql-unix';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'antonio'@'localhost';

在这里，身份验证字符串仅包含 PAM 服务名称 mysql-unix，它对 Unix 密码进行身份验证。

使用 mysql 命令行客户端以 antonio 的身份连接到 MySQL 服务器。例如：

$> mysql --user=antonio --password --enable-cleartext-plugin
Enter password: antonio_password

服务器应允许连接，并且以下查询将返回如下所示的输出：

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+-------------------+--------------+
| USER()            | CURRENT_USER()    | @@proxy_user |
+-------------------+-------------------+--------------+
| antonio@localhost | antonio@localhost | NULL         |
+-------------------+-------------------+--------------+

这表明 antonio 操作系统用户已通过身份验证，具有授予给 antonio MySQL 用户的权限，并且没有发生代理。

验证 Unix 身份验证是否允许使用用户名 antonio 和密码 antonio_password 登录操作系统。

通过创建一个名为 /etc/pam.d/mysql-ldap 的 mysql-ldap PAM 服务文件，将 PAM 设置为使用 LDAP 对 MySQL 连接进行身份验证。文件内容取决于系统，因此请检查 /etc/pam.d 目录中现有的与登录相关的文件，以了解它们的外观。在 Linux 上，mysql-ldap 文件可能如下所示：

#%PAM-1.0
auth        required    pam_ldap.so
account     required    pam_ldap.so

如果 PAM 对象文件在您的系统上的后缀与 .so 不同，请替换为正确的后缀。

在某些系统上，PAM 文件格式可能有所不同。

创建一个与操作系统用户名同名的 MySQL 帐户，并将其定义为使用 PAM 插件和 mysql-ldap PAM 服务进行身份验证：

CREATE USER 'antonio'@'localhost'
  IDENTIFIED WITH authentication_pam
  AS 'mysql-ldap';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'antonio'@'localhost';

在这里，身份验证字符串仅包含 PAM 服务名称 mysql-ldap，它使用 LDAP 进行身份验证。

连接到服务器的方式与 不使用代理用户的 PAM Unix 密码身份验证 中描述的相同。

验证 Unix 身份验证是否允许使用用户名 antonio 和密码 antonio_password 登录操作系统。

验证 antonio 是否是 root 或 users PAM 组的成员。

通过创建一个名为 /etc/pam.d/mysql-unix 的文件，将 PAM 设置为通过操作系统用户对 mysql-unix PAM 服务进行身份验证。文件内容取决于系统，因此请检查 /etc/pam.d 目录中现有的与登录相关的文件，以了解它们的外观。在 Linux 上，mysql-unix 文件可能如下所示：

#%PAM-1.0
auth            include         password-auth
account         include         password-auth

对于 macOS，请使用 login 而不是 password-auth。

在某些系统上，PAM 文件格式可能有所不同。例如，在 Ubuntu 和其他基于 Debian 的系统上，请改用以下文件内容：

@include common-auth
@include common-account
@include common-session-noninteractive

创建一个默认代理用户 (''@'')，将外部 PAM 用户映射到代理帐户：

CREATE USER ''@''
  IDENTIFIED WITH authentication_pam
  AS 'mysql-unix, root=developer, users=data_entry';

在这里，身份验证字符串包含 PAM 服务名称 mysql-unix，它对 Unix 密码进行身份验证。身份验证字符串还将 root 和 users PAM 组中的外部用户分别映射到 developer 和 data_entry MySQL 用户名。

当您设置代理用户时，需要 PAM 服务名称后面的 PAM 组映射列表。否则，插件将无法判断如何执行从外部用户名到正确的代理 MySQL 用户名的映射。

创建代理帐户并授予每个帐户应具有的权限：

CREATE USER 'developer'@'localhost'
  IDENTIFIED WITH mysql_no_login;
CREATE USER 'data_entry'@'localhost'
  IDENTIFIED WITH mysql_no_login;

GRANT ALL PRIVILEGES
  ON mydevdb.*
  TO 'developer'@'localhost';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'data_entry'@'localhost';

代理帐户使用 mysql_no_login 身份验证插件来防止客户端使用这些帐户直接登录到 MySQL 服务器。相反，使用 PAM 进行身份验证的用户应该根据其 PAM 组通过代理使用 developer 或 data_entry 帐户。（这假设已安装该插件。有关说明，请参阅 第 8.4.1.9 节“无登录可插拔身份验证”。）有关防止代理帐户被直接使用的替代方法，请参阅 防止直接登录代理帐户。

为代理帐户授予每个代理帐户的 PROXY 权限：

GRANT PROXY
  ON 'developer'@'localhost'
  TO ''@'';
GRANT PROXY
  ON 'data_entry'@'localhost'
  TO ''@'';

使用 mysql 命令行客户端以 antonio 的身份连接到 MySQL 服务器。

$> mysql --user=antonio --password --enable-cleartext-plugin
Enter password: antonio_password

服务器使用默认的 ''@'' 代理帐户对连接进行身份验证。 antonio 的最终权限取决于 antonio 是哪个 PAM 组的成员。如果 antonio 是 root PAM 组的成员，则 PAM 插件会将 root 映射到 developer MySQL 用户名并将该名称返回给服务器。服务器验证 ''@'' 是否具有 developer 的 PROXY 权限并允许连接。以下查询将返回如下所示的输出：

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+---------------------+--------------+
| USER()            | CURRENT_USER()      | @@proxy_user |
+-------------------+---------------------+--------------+
| antonio@localhost | developer@localhost | ''@''        |
+-------------------+---------------------+--------------+

这表明 antonio 操作系统用户已通过身份验证，具有授予给 developer MySQL 用户的权限，并且代理是通过默认代理帐户发生的。

如果 antonio 不是 root PAM 组的成员，而是 users PAM 组的成员，则会发生类似的过程，但插件会将 user PAM 组成员身份映射到 data_entry MySQL 用户名并将该名称返回给服务器：

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+----------------------+--------------+
| USER()            | CURRENT_USER()       | @@proxy_user |
+-------------------+----------------------+--------------+
| antonio@localhost | data_entry@localhost | ''@''        |
+-------------------+----------------------+--------------+

这表明 antonio 操作系统用户已通过身份验证，具有 data_entry MySQL 用户的权限，并且代理是通过默认代理帐户发生的。