要对 MySQL 使用 Kerberos 可插拔身份验证，必须满足以下先决条件：

本节概述了 MySQL 和 Kerberos 如何协同工作以对 MySQL 用户进行身份验证。有关显示如何设置 MySQL 帐户以使用 Kerberos 身份验证插件的示例，请参阅 使用 Kerberos 可插拔身份验证。

假设您熟悉 Kerberos 的概念和操作。以下列表简要定义了几个常见的 Kerberos 术语。您也可以在 RFC 4120 的术语表部分找到帮助。

使用 Kerberos 进行身份验证需要一台 KDC 服务器，例如 Microsoft Active Directory 提供的服务器。

MySQL 中的 Kerberos 身份验证使用通用安全服务应用程序编程接口 (GSSAPI)，它是一个安全抽象接口。Kerberos 是可以通过该抽象接口使用的特定安全协议的实例。使用 GSSAPI，应用程序可以向 Kerberos 进行身份验证以获取服务凭据，然后依次使用这些凭据来启用对其他服务的安全访问。

在 Windows 上，authentication_kerberos_client 身份验证插件支持两种模式，客户端用户可以在运行时设置或在选项文件中指定。

借助 Kerberos 身份验证插件，应用程序和 MySQL 服务器可以使用 Kerberos 身份验证协议来相互验证用户和 MySQL 服务。这样，用户和服务器都可以验证对方的身份。密码不会通过网络发送，并且 Kerberos 协议消息受到保护，可以防止窃听和重放攻击。

Kerberos 身份验证遵循以下步骤，其中服务器端和客户端部分分别使用 authentication_kerberos 和 authentication_kerberos_client 身份验证插件执行。

应用程序可以使用提供的用户名和密码进行身份验证，也可以使用本地缓存的 TGT 或 ST 进行身份验证（例如，使用 kinit 或类似方法创建）。因此，此设计涵盖了从完全无需用户和密码的连接（其中 Kerberos 服务票证是从本地存储的 Kerberos 缓存中获取的）到提供用户名和密码并用于从 KDC 获取有效的 Kerberos 服务票证以发送到 MySQL 服务器的连接的各种用例。

如前面的描述中所示，MySQL Kerberos 身份验证使用两种密钥表文件。

有关密钥表文件的信息，请参阅 https://web.mit.edu/kerberos/krb5-latest/doc/basic/keytab_def.html。

本节介绍如何安装服务器端 Kerberos 身份验证插件。有关安装插件的一般信息，请参阅 第 7.6.1 节“安装和卸载插件”。

为了供服务器使用，插件库文件必须位于 MySQL 插件目录中（由 plugin_dir 系统变量命名的目录）。如有必要，请在服务器启动时设置 plugin_dir 的值来配置插件目录位置。

服务器端插件库文件的基本名称是 authentication_kerberos。Unix 和类 Unix 系统的文件名后缀是 .so。

要在服务器启动时加载插件，请使用 --plugin-load-add 选项来命名包含该插件的库文件。使用此插件加载方法，每次服务器启动时都必须提供该选项。此外，还要为要配置的任何插件提供的系统变量指定值。该插件公开了这些系统变量，从而可以对其操作进行配置。

有关所有 Kerberos 身份验证系统变量的详细信息，请参阅 第 8.4.1.12 节“可插拔身份验证系统变量”。

要加载插件并对其进行配置，请在 my.cnf 文件中添加如下所示的行，并为系统变量使用适合您的安装的值。

[mysqld]
plugin-load-add=authentication_kerberos.so
authentication_kerberos_service_principal=mysql/[email protected]
authentication_kerberos_service_key_tab=/var/mysql/data/mysql.keytab

修改 my.cnf 后，请重新启动服务器以使新设置生效。

或者，要在运行时加载插件，请使用以下语句。

INSTALL PLUGIN authentication_kerberos
  SONAME 'authentication_kerberos.so';

INSTALL PLUGIN 会立即加载插件，并将其注册到 mysql.plugins 系统表中，以使服务器在每次后续正常启动时都加载它，而无需使用 --plugin-load-add。

如果在运行时安装插件时没有在 my.cnf 文件中配置其系统变量，则系统变量 authentication_kerberos_service_key_tab 将设置为默认值，即数据目录中的 mysql.keytab。此系统变量的值在运行时无法更改，因此如果需要指定其他文件，则需要将设置添加到 my.cnf 文件中，然后重新启动 MySQL 服务器。例如。

[mysqld]
authentication_kerberos_service_key_tab=/var/mysql/data/mysql.keytab

如果密钥表文件不在正确的位置或不包含有效的 SPN 密钥，MySQL 服务器不会验证这一点，但客户端会返回身份验证错误，直到您解决此问题。

可以使用 SET PERSIST 语句在运行时设置并持久化 authentication_kerberos_service_principal 系统变量，而无需重新启动服务器。

SET PERSIST authentication_kerberos_service_principal='mysql/[email protected]';

SET PERSIST 为正在运行的 MySQL 实例设置一个值。它还会保存该值，使其在后续服务器重新启动时继续有效。要更改正在运行的 MySQL 实例的值而不使其在后续重新启动时继续有效，请使用 GLOBAL 关键字而不是 PERSIST。请参阅 第 15.7.6.1 节“SET 语法（用于变量赋值）”。

要验证插件安装，请检查信息架构 PLUGINS 表或使用 SHOW PLUGINS 语句（请参阅 第 7.6.2 节“获取服务器插件信息”）。例如。

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME = 'authentication_kerberos';
+-------------------------+---------------+
| PLUGIN_NAME             | PLUGIN_STATUS |
+-------------------------+---------------+
| authentication_kerberos | ACTIVE        |
+-------------------------+---------------+

如果插件初始化失败，请检查服务器错误日志以获取诊断消息。

要将 MySQL 帐户与 Kerberos 插件关联，请参阅 使用 Kerberos 可插拔身份验证。

本节介绍如何使 MySQL 帐户能够使用 Kerberos 可插拔身份验证连接到 MySQL 服务器。假设服务器正在运行，并且启用了服务器端插件（如 安装 Kerberos 可插拔身份验证 中所述），并且客户端主机上提供了客户端插件。

验证 Kerberos 可用性

以下示例显示如何测试 Active Directory 中 Kerberos 的可用性。该示例做出了以下假设。

满足这些假设后，请遵循以下步骤

创建一个使用 Kerberos 身份验证的 MySQL 帐户

使用 authentication_kerberos 身份验证插件的 MySQL 身份验证基于 Kerberos 用户主体名称 (UPN)。此处的说明假定一个名为 karl 的 MySQL 用户使用 Kerberos 向 MySQL 进行身份验证，Kerberos 领域名为 MYSQL.LOCAL，并且用户主体名称为 [email protected]。此 UPN 必须在多个位置注册

假设 Kerberos 用户主体名称已由相应的服务管理员注册，并且如前所述，在 安装 Kerberos 可插拔身份验证 中所述，MySQL 服务器已使用服务器端 Kerberos 插件的相应配置设置启动。要创建一个与 user@realm_name 的 Kerberos UPN 相对应的 MySQL 帐户，MySQL DBA 使用如下语句

CREATE USER user
  IDENTIFIED WITH authentication_kerberos
  BY 'realm_name';

由 user 命名的帐户可以包含或省略主机名部分。如果省略主机名，则默认为 %，照常。 realm_name 存储为 mysql.user 系统表中帐户的 authentication_string 值。

要创建一个与 UPN [email protected] 对应的 MySQL 帐户，请使用以下语句

CREATE USER 'karl'
  IDENTIFIED WITH authentication_kerberos
  BY 'MYSQL.LOCAL';

如果 MySQL 必须为此帐户构造 UPN（例如，为了获取或验证票据（TGT 或 ST）），它会通过组合帐户名（忽略任何主机名部分）和领域名称来实现。例如，前面 CREATE USER 语句生成的完整帐户名为 'karl'@'%'。MySQL 使用用户名部分 karl（忽略主机名部分）和领域名称 MYSQL.LOCAL 构造 UPN，以生成 [email protected]。

设置好帐户后，客户端可以使用它连接到 MySQL 服务器。该过程取决于客户端主机是运行 Linux 还是 Windows，如下面的讨论所示。

使用 authentication_kerberos 时，受限于不支持用户部分相同但领域部分不同的 UPN。例如，您无法创建与以下两个 UPN 相对应的 MySQL 帐户

[email protected]
[email protected]

两个 UPN 的用户部分均为 kate，但领域部分不同（MYSQL.LOCAL 与 EXAMPLE.COM）。这是不允许的。

使用 MySQL 帐户连接到 MySQL 服务器

设置好使用 Kerberos 进行身份验证的 MySQL 帐户后，客户端可以使用它连接到 MySQL 服务器，如下所示

第一步（向 Kerberos 进行身份验证）可以通过多种方式执行

连接到 MySQL 服务器的客户端命令的详细信息在 Linux 和 Windows 上有所不同，因此将分别讨论每种主机类型，但无论主机类型如何，以下命令属性都适用

Linux 客户端的连接命令

在 Linux 上，连接到 MySQL 服务器的相应客户端命令取决于命令是使用 Kerberos 缓存中的 TGT 进行身份验证，还是基于 MySQL 用户名和 UPN 密码的命令选项进行身份验证

如果您不确定 TGT 是否存在，可以使用 klist 进行检查。

Windows 客户端（SSPI 模式）的连接命令

在 Windows 上，使用默认的客户端插件选项 (SSPI)，连接到 MySQL 服务器的相应客户端命令取决于命令是基于 MySQL 用户名和 UPN 密码的命令选项进行身份验证，还是使用 Windows 内存缓存中的 TGT 进行身份验证。有关 Windows 上 GSSAPI 模式的详细信息，请参阅 Windows 客户端（GSSAPI 模式）的命令。

命令可以显式指定 MySQL 用户名和 UPN 密码的选项，也可以省略这些选项

GSSAPI 模式下 Windows 客户端的连接命令

在 Windows 上，客户端用户必须使用 plugin_authentication_kerberos_client_mode 插件选项明确指定 GSSAPI 模式，才能通过 MIT Kerberos 库启用支持。默认模式为 SSPI（请参阅 SSPI 模式下 Windows 客户端的命令）。

可以在选项文件中指定 GSSAPI 模式。

用于连接到 MySQL 服务器的适当客户端命令因命令是使用 MIT Kerberos 缓存中的 TGT 进行身份验证，还是基于 MySQL 用户名和 UPN 密码的命令选项进行身份验证而异。Windows 上通过 MIT 库提供的 GSSAPI 支持类似于 Linux 上的 GSSAPI（请参阅 Linux 客户端的命令），但以下情况除外：

Kerberos 身份验证的客户端配置参数

本节仅适用于运行 Linux 的客户端主机，不适用于运行 Windows 的客户端主机。

如果在调用 MySQL 客户端应用程序时不存在有效的票证授予票证 (TGT)，则应用程序本身可以获取并缓存 TGT。如果在 Kerberos 身份验证过程中，客户端应用程序导致缓存了 TGT，则可以通过设置相应的配置参数，在不再需要任何此类 TGT 后将其销毁。

authentication_kerberos_client 客户端 Kerberos 插件读取本地 /etc/krb5.conf 文件。如果此文件丢失或无法访问，则会发生错误。假设该文件可访问，则它可以包含可选的 [appdefaults] 部分，以提供插件使用的信息。将信息放在该部分的 mysql 部分中。例如：

[appdefaults]
  mysql = {
    destroy_tickets = true
  }

客户端插件识别 mysql 部分中的以下参数：

在客户端主机上，客户端密钥表文件可用于获取 TGT 和 TS，而无需提供密码。有关密钥表文件的信息，请参阅 https://web.mit.edu/kerberos/krb5-latest/doc/basic/keytab_def.html。

AUTHENTICATION_KERBEROS_CLIENT_LOG 环境变量用于启用或禁用 Kerberos 身份验证的调试输出。

在服务器端，允许的值为 0（关闭）和 1（打开）。日志消息将写入服务器错误日志，具体取决于服务器错误日志记录的详细程度。例如，如果您使用的是基于优先级的日志过滤，则 log_error_verbosity 系统变量将控制详细程度，如 第 7.4.2.5 节“基于优先级的错误日志过滤 (log_filter_internal)” 中所述。

在客户端，允许的值为 1 到 5，并将写入标准错误输出。下表显示了每个日志级别值的含义。