Windows可插入身份验证是MySQL企业版(MySQL Enterprise Edition)中的一个扩展,它是一个商业产品。要了解更多关于商业产品的信息,请参见https://www.10bet靠谱mysql.com/products/.
MySQL Enterprise Edition for Windows支持在Windows上执行外部身份验证的身份验证方法,使MySQL Server能够使用本机Windows服务对客户端连接进行身份验证。已经登录到Windows的用户可以根据其环境中的信息从MySQL客户端程序连接到服务器,而无需指定额外的密码。
客户端和服务器在认证握手时交换数据包。作为交换的结果,服务器创建了一个安全上下文对象,该对象表示Windows操作系统中客户机的标识。此标识包括客户端帐户的名称。Windows可插入身份验证使用客户机的身份来检查它是给定的帐户还是组的成员。默认情况下,协商使用Kerberos进行身份验证,如果Kerberos不可用,则使用NTLM。
Windows可插入身份验证提供了以下功能:
外部身份验证:Windows身份验证使MySQL Server能够接受来自MySQL授权表之外的用户的连接,这些用户已经登录到Windows。
代理用户支持:Windows身份验证可以向MySQL返回一个不同于客户端程序传递的外部用户名的用户名。这意味着插件可以返回MySQL用户,该用户定义了外部windows认证用户应该拥有的特权。例如,Windows用户名为
乔
可以连接并拥有MySQL用户的权限开发人员
.
下表显示了插件和库文件名。文件必须位于由plugin_dir
系统变量。
表6.6用于Windows认证的插件和库名称
插件或文件 | 插件或文件名 |
---|---|
服务器端插件 | authentication_windows |
客户端插件 | authentication_windows_client |
库文件 | authentication_windows.dll |
库文件只包含服务器端插件。客户端插件内置到libmysqlclient
客户端库。
服务器端Windows身份验证插件只包含在MySQL企业版中。它不包含在MySQL社区发行版中。客户端插件包含在所有发行版中,包括社区发行版。这使得来自任何发行版的客户端都可以连接到加载了服务器端插件的服务器。
以下部分提供了Windows可插入身份验证的安装和使用信息:
有关MySQL中可插入身份验证的一般信息,请参见第4.17节,“可插入认证”.代理用户信息请参见第4.18节“代理用户”.
介绍如何安装服务器端Windows鉴权插件。有关安装插件的一般信息,请参见安装和卸载插件.
为了被服务器使用,插件库文件必须位于MySQL插件目录(由plugin_dir
系统变量)。如果有必要,可以通过设置的值来配置插件目录位置plugin_dir
在服务器启动时。
要在服务器启动时加载插件,请使用——plugin-load-add
选项来命名包含它的库文件。使用这种插件加载方法,必须在每次服务器启动时给出该选项。例如,将这些行放在服务器中my.cnf
文件:
(mysqld) plugin-load-add = authentication_windows.dll
修改后my.cnf
,重新启动服务器,使新的设置生效。
或者,要在运行时加载插件,使用以下语句:
安装插件authentication_windows.dll
安装插件
立即加载插件,并将其注册到mysql.plugins
系统表,使服务器在以后每次正常启动时都加载它,而不需要——plugin-load-add
.
要验证插件安装,请检查INFORMATION_SCHEMA。插件
表或使用显示插件
声明(见获取服务器插件信息).例如:
mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS FROM INFORMATION_SCHEMA。PLUGIN_NAME为'%windows%'的插件;+------------------------+---------------+ | PLUGIN_NAME | PLUGIN_STATUS | +------------------------+---------------+ | authentication_windows |活跃 | +------------------------+---------------+
如果插件初始化失败,请检查服务器错误日志中的诊断消息。
要将MySQL帐户与Windows身份验证插件关联,请参见使用Windows可插入身份验证.控件提供的附加插件控件authentication_windows_use_principal_name
而且authentication_windows_log_level
系统变量。看到服务器系统变量.
卸载Windows身份验证插件的方法取决于您如何安装它:
如果您在服务器启动时使用
——plugin-load-add
选项,在没有该选项的情况下重新启动服务器。如果你在运行时使用
安装插件
语句,它将在服务器重新启动时保持安装。要卸载它,请使用卸载插件
:卸载插件
此外,删除任何设置Windows插件相关系统变量的启动选项。
Windows认证插件支持使用MySQL帐户,这样登录到Windows的用户就可以连接到MySQL服务器,而不需要指定额外的密码。假设服务器运行时启用了服务器端插件,如中所述安装Windows可插入身份验证.一旦DBA启用了服务器端插件并设置了使用该插件的帐户,客户机就可以使用这些帐户进行连接,而不需要进行其他设置。
的Windows鉴权插件认同
合同条款创建用户
语句,使用名称authentication_windows
.假设Windows用户Rafal
而且塔莎
应该被允许连接到MySQL,以及在管理员
或高级用户
组。为此,创建一个名为sql_admin
使用Windows插件进行身份验证:
CREATE USER sql_admin WITH authentication_windows AS 'Rafal, Tasha, Administrators, "Power Users";
插件名称为authentication_windows
.后面的字符串作为
关键字是认证字符串。它指定Windows用户的名称Rafal
或塔莎
是否允许作为MySQL用户向服务器进行身份验证sql_admin
的任何Windows用户也是如此管理员
或高级用户
组。后一个组名包含一个空格,因此必须用双引号括起来。
在创建sql_admin
登录Windows的用户可以尝试使用该帐号连接服务器:
C:\> mysql——user=sql_admin
这里不需要密码。的authentication_windows
插件使用Windows安全API检查哪个Windows用户正在连接。如果该用户是命名的Rafal
或塔莎
的成员管理员
或高级用户
组时,服务器授予访问权限,客户端被验证为sql_admin
拥有所有被授予的特权sql_admin
帐户。否则,服务器拒绝访问。
Windows身份验证插件的身份验证字符串语法遵循以下规则:
该字符串由一个或多个以逗号分隔的用户映射组成。
每个用户映射关联一个Windows用户或组名和一个MySQL用户名:
win_user_or_group_name = mysql_user_namewin_user_or_group_name
对于后一种语法,使用no
mysql_user_name
函数创建的MySQL用户名创建用户
声明。因此,这些表述是等价的:CREATE USER sql_admin WITH authentication_windows AS 'Rafal, Tasha, Administrators, "Power Users";CREATE USER sql_admin IDENTIFIED WITH authentication_windows AS 'Rafal=sql_admin, Tasha=sql_admin, Administrators=sql_admin, "Power Users"=sql_admin';
每个反斜杠字符(
\
)的值必须加倍,因为反斜杠是MySQL字符串中的转义字符。不位于双引号内的前导和尾随空格将被忽略。
非挂牌
win_user_or_group_name
而且mysql_user_name
值可以包含除等号、逗号或空格之外的任何内容。如果一个
win_user_or_group_name
或mysql_user_name
值用双引号括起来,引号之间的一切都是值的一部分。这是必要的,例如,如果名称包含空格字符。除双引号和反斜杠外,双引号内的所有字符都是合法的。要包含任意一个字符,用反斜杠对其进行转义。win_user_or_group_name
值使用Windows主体的常规语法,无论是本地的还是域中的。示例(注意双反斜杠):domain\\user .\\user域\\组.\\组BUILTIN\\已知组
当服务器调用该插件对客户端进行身份验证时,该插件从左到右扫描身份验证字符串,以查找与Windows用户匹配的用户或组。如果有匹配,插件返回相应的mysql_user_name
到MySQL服务器。如果没有匹配,则验证失败。
用户名匹配优先于组名匹配。假设Windows用户名为win_user
是win_group
认证字符串看起来像这样:
'win_group = sql_user1, win_user = sql_user2'
当win_user
连接到MySQL服务器,有一个匹配win_group
和win_user
.插件将用户验证为sql_user2
因为更特定的用户匹配优先于组匹配,即使组在身份验证字符串中列在前面。
Windows身份验证总是适用于来自运行服务器的同一台计算机的连接。对于跨计算机连接,两台计算机必须在Microsoft Active Directory中注册。如果属于同一个Windows域,则不需要指定域名。也可以允许来自不同域的连接,如下例所示:
CREATE USER sql_accounting IDENTIFIED WITH authentication_windows AS 'SomeDomain\\Accounting';
在这里SomeDomain
是另一个域的名称。反斜杠字符加倍,因为它是字符串中的MySQL转义字符。
MySQL支持代理用户的概念,客户端可以使用一个帐户连接MySQL服务器并进行身份验证,但在连接时拥有另一个帐户的特权(参见第4.18节“代理用户”).假设您希望Windows用户使用单个用户名连接,但根据其Windows用户名和组名将其映射到特定的MySQL帐户,如下所示:
的
local_user
而且MyDomain \ domain_user
本地和域Windows用户应该映射到local_wlad
MySQL账户。用户
MyDomain \开发人员
域组应该映射到local_dev
MySQL账户。的本地机器管理员应该映射到
local_admin
MySQL账户。
为此,创建一个代理帐户供Windows用户连接,并配置该帐户,以便用户和组映射到适当的MySQL帐户(local_wlad
,local_dev
,local_admin
).此外,为MySQL帐户授予与其需要执行的操作相适应的权限。以下说明使用win_proxy
作为代理帐户,和local_wlad
,local_dev
,local_admin
作为代理帐户。
创建代理MySQL帐户:
CREATE USER win_proxy IDENTIFIED WITH authentication_windows AS 'local_user = local_wlad, MyDomain\\domain_user = local_wlad, MyDomain\\Developers = local_dev, BUILTIN\\Administrators = local_admin';
为了让代理工作,代理帐户必须存在,所以创建它们:
CREATE USER local_wlad WITH mysql_no_login;创建用户名(local_dev)创建用户名(local_admin)
代理帐户使用
mysql_no_login
认证插件,防止客户端使用该帐户直接登录MySQL服务器。相反,使用Windows进行身份验证的用户应该使用win_proxy
代理帐户。(这里假设已经安装了插件。有关说明,请参见第6.1.9节“无登录可插式认证”)。有关保护代理帐户不被直接使用的其他方法,请参见防止直接登录代理帐户.您还应该执行
格兰特
语句(未显示),授予每个代理帐户MySQL访问所需的特权。授予代理帐户
代理
每个代理帐户的权限:授予win_proxy的local_wlad代理在local_dev上授予win_proxy代理授予win_proxy代理权限
现在Windows用户local_user
而且MyDomain \ domain_user
可以连接到MySQL服务器win_proxy
通过身份验证后,拥有身份验证字符串中给出的帐户的特权(在本例中,local_wlad
).的用户MyDomain \开发人员
连接为win_proxy
拥有的特权local_dev
帐户。的用户内装式\管理员
的权限local_admin
帐户。
要配置身份验证,使所有没有自己MySQL帐户的Windows用户都通过代理帐户,请替换默认的代理帐户(“@”
)win_proxy
在上述指示中。有关默认代理帐户的信息,请参见第4.18节“代理用户”.
如果您的MySQL安装有匿名用户,他们可能会与默认的代理用户冲突。有关此问题的更多信息以及处理方法,请参见默认代理用户与匿名用户冲突.
若要在Connector/NET 8.0及更高版本中使用带有Connector/NET连接字符串的Windows身份验证插件,请参见连接器/网络身份验证.