客户端程序与服务器进行通信，客户端向服务器发送客户端用户名（默认情况下为操作系统用户名）和密码。

服务器根据外部用户名和客户端连接的主机查找匹配的 MySQL 帐户。PAM 插件使用 MySQL 服务器传递给它的信息（例如用户名、主机名、密码和身份验证字符串）。当您定义使用 PAM 身份验证的 MySQL 帐户时，身份验证字符串包含

该插件使用身份验证字符串中命名的 PAM 服务来检查用户凭据，并返回 'Authentication succeeded, Username is user_name' 或 'Authentication failed'。密码必须适合 PAM 服务使用的密码存储。示例

如果凭据检查失败，服务器将拒绝连接。

否则，身份验证字符串指示是否发生代理。如果字符串不包含 PAM 组映射，则不会发生代理。在这种情况下，MySQL 用户名与外部用户名相同。

否则，代理将根据 PAM 组映射进行指示，MySQL 用户名将根据映射列表中第一个匹配的组进行确定。“PAM 组” 的含义取决于 PAM 服务。示例

如果代理用户（外部用户）对代理的 MySQL 用户名具有 PROXY 权限，则会发生代理，代理用户将承担代理用户的权限。

验证 Unix 身份验证是否允许使用用户名 antonio 和密码 antonio_password 登录到操作系统。

通过创建名为 /etc/pam.d/mysql-unix 的 mysql-unix PAM 服务文件，设置 PAM 以使用传统的 Unix 密码对 MySQL 连接进行身份验证。文件内容依赖于系统，因此请检查 /etc/pam.d 目录中现有的与登录相关的文件，看看它们是什么样的。在 Linux 上，mysql-unix 文件可能如下所示

#%PAM-1.0
auth            include         password-auth
account         include         password-auth

对于 macOS，使用 login 而不是 password-auth。

PAM 文件格式在某些系统上可能有所不同。例如，在 Ubuntu 和其他基于 Debian 的系统上，请改用以下文件内容

@include common-auth
@include common-account
@include common-session-noninteractive

创建一个与操作系统用户名相同的用户名的 MySQL 帐户，并将其定义为使用 PAM 插件和 mysql-unix PAM 服务进行身份验证

CREATE USER 'antonio'@'localhost'
  IDENTIFIED WITH authentication_pam
  AS 'mysql-unix';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'antonio'@'localhost';

此处，身份验证字符串仅包含 PAM 服务名称 mysql-unix，它用于验证 Unix 密码。

使用 mysql 命令行客户端以 antonio 用户身份连接到 MySQL 服务器。例如

$> mysql --user=antonio --password --enable-cleartext-plugin
Enter password: antonio_password

服务器应该允许连接，并且以下查询将返回如下所示的输出

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+-------------------+--------------+
| USER()            | CURRENT_USER()    | @@proxy_user |
+-------------------+-------------------+--------------+
| antonio@localhost | antonio@localhost | NULL         |
+-------------------+-------------------+--------------+

这表明 antonio 操作系统用户被验证为拥有授予 antonio MySQL 用户的权限，并且没有发生代理。

验证 Unix 身份验证是否允许使用用户名 antonio 和密码 antonio_password 登录到操作系统。

通过创建名为 /etc/pam.d/mysql-ldap 的 mysql-ldap PAM 服务文件，设置 PAM 以使用 LDAP 对 MySQL 连接进行身份验证。文件内容依赖于系统，因此请检查 /etc/pam.d 目录中现有的与登录相关的文件，看看它们是什么样的。在 Linux 上，mysql-ldap 文件可能如下所示

#%PAM-1.0
auth        required    pam_ldap.so
account     required    pam_ldap.so

如果 PAM 对象文件的后缀与您系统上的 .so 不同，请替换正确的后缀。

PAM 文件格式在某些系统上可能有所不同。

创建一个与操作系统用户名相同的用户名的 MySQL 帐户，并将其定义为使用 PAM 插件和 mysql-ldap PAM 服务进行身份验证

CREATE USER 'antonio'@'localhost'
  IDENTIFIED WITH authentication_pam
  AS 'mysql-ldap';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'antonio'@'localhost';

此处，身份验证字符串仅包含 PAM 服务名称 mysql-ldap，它用于使用 LDAP 进行身份验证。

连接到服务器与 无代理用户的 PAM Unix 密码身份验证 中描述的相同。

验证 Unix 身份验证是否允许使用用户名 antonio 和密码 antonio_password 登录到操作系统。

验证 antonio 是否是 root 或 users PAM 组的成员。

通过创建名为 /etc/pam.d/mysql-unix 的文件，设置 PAM 以通过操作系统用户对 mysql-unix PAM 服务进行身份验证。文件内容依赖于系统，因此请检查 /etc/pam.d 目录中现有的与登录相关的文件，看看它们是什么样的。在 Linux 上，mysql-unix 文件可能如下所示

#%PAM-1.0
auth            include         password-auth
account         include         password-auth

对于 macOS，使用 login 而不是 password-auth。

PAM 文件格式在某些系统上可能有所不同。例如，在 Ubuntu 和其他基于 Debian 的系统上，请改用以下文件内容

@include common-auth
@include common-account
@include common-session-noninteractive

创建一个默认代理用户 (''@'')，将外部 PAM 用户映射到代理帐户

CREATE USER ''@''
  IDENTIFIED WITH authentication_pam
  AS 'mysql-unix, root=developer, users=data_entry';

此处，身份验证字符串包含 PAM 服务名称 mysql-unix，它用于验证 Unix 密码。身份验证字符串还将 root 和 users PAM 组中的外部用户分别映射到 developer 和 data_entry MySQL 用户名。

在设置代理用户时，需要 PAM 服务名称后面的 PAM 组映射列表。否则，插件无法知道如何从外部用户名映射到正确的代理 MySQL 用户名。

创建代理帐户，并为每个帐户授予它应该拥有的权限

CREATE USER 'developer'@'localhost'
  IDENTIFIED WITH mysql_no_login;
CREATE USER 'data_entry'@'localhost'
  IDENTIFIED WITH mysql_no_login;

GRANT ALL PRIVILEGES
  ON mydevdb.*
  TO 'developer'@'localhost';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'data_entry'@'localhost';

代理帐户使用 mysql_no_login 身份验证插件来阻止客户端使用这些帐户直接登录到 MySQL 服务器。相反，使用 PAM 进行身份验证的用户应该通过代理使用 developer 或 data_entry 帐户，具体取决于其 PAM 组。（这假设插件已安装。有关说明，请参见 第 8.4.1.8 节，“无登录可插拔身份验证”。）有关保护代理帐户免受直接使用的方法，请参见 阻止直接登录代理帐户。

为代理帐户授予每个代理帐户的 PROXY 权限

GRANT PROXY
  ON 'developer'@'localhost'
  TO ''@'';
GRANT PROXY
  ON 'data_entry'@'localhost'
  TO ''@'';

使用 mysql 命令行客户端以 antonio 用户身份连接到 MySQL 服务器。

$> mysql --user=antonio --password --enable-cleartext-plugin
Enter password: antonio_password

服务器使用默认的 ''@'' 代理帐户验证连接。antonio 的结果权限取决于 antonio 是哪个 PAM 组的成员。如果 antonio 是 root PAM 组的成员，则 PAM 插件会将 root 映射到 developer MySQL 用户名，并将该用户名返回给服务器。服务器会验证 ''@'' 是否对 developer 拥有 PROXY 权限，并允许连接。以下查询将返回如下所示的输出

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+---------------------+--------------+
| USER()            | CURRENT_USER()      | @@proxy_user |
+-------------------+---------------------+--------------+
| antonio@localhost | developer@localhost | ''@''        |
+-------------------+---------------------+--------------+

这表明 antonio 操作系统用户被验证为拥有授予 developer MySQL 用户的权限，并且代理通过默认代理帐户进行。

如果 antonio 不是 root PAM 组的成员，而是 users PAM 组的成员，则会发生类似的过程，但插件会将 user PAM 组成员资格映射到 data_entry MySQL 用户名，并将该用户名返回给服务器

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+----------------------+--------------+
| USER()            | CURRENT_USER()       | @@proxy_user |
+-------------------+----------------------+--------------+
| antonio@localhost | data_entry@localhost | ''@''        |
+-------------------+----------------------+--------------+

这表明 antonio 操作系统用户被验证为拥有授予 data_entry MySQL 用户的权限，并且代理通过默认代理帐户进行。