要为MySQL使用Kerberos可插入身份验证，必须满足以下先决条件:

本节概述MySQL和Kerberos如何一起对MySQL用户进行身份验证。有关显示如何设置MySQL帐户以使用Kerberos身份验证插件的示例，请参见使用Kerberos可插入身份验证．

这里假定您熟悉Kerberos的概念和操作。下面的列表简要地定义了几个常见的Kerberos术语。您也可以找到的词汇部分RFC 4120有帮助的。

例如，使用Kerberos进行身份验证需要一个由Microsoft Active Directory提供的KDC服务器。

MySQL中的Kerberos身份验证使用通用安全服务应用程序接口(GSSAPI)，这是一个安全抽象接口。Kerberos是可以通过该抽象接口使用的特定安全协议的实例。使用GSSAPI，应用程序向Kerberos进行身份验证，以获得服务凭证，然后使用这些凭证来支持对其他服务的安全访问。在Windows上，安全支持提供程序接口(SSPI)实现GSSAPI。

有了Kerberos身份验证插件，应用程序和MySQL服务器就能够使用Kerberos身份验证协议来相互验证用户和MySQL服务。通过这种方式，用户和服务器都能够验证彼此的身份。不通过网络发送密码，Kerberos协议消息受到保护，免受窃听和重放攻击。

Kerberos身份验证遵循这些步骤，其中服务器端和客户端部分使用authentication_kerberos而且authentication_kerberos_client认证插件，分别为:

应用程序能够使用提供的用户名和密码进行身份验证，或者使用本地缓存的TGT或ST(例如，使用kinit或类似的)。因此，这种设计涵盖了从完全无用户和无密码连接(从本地存储的Kerberos缓存获取Kerberos服务票据)到同时提供用户名和密码并用于从KDC获取有效Kerberos服务票据并发送到MySQL服务器的连接的用例。

如前所述，MySQL Kerberos身份验证使用两种keytab文件:

有关keytab文件的信息，请参见https://web.mit.edu/kerberos/krb5-latest/doc/basic/keytab_def.html．

本节介绍如何安装服务器端Kerberos身份验证插件。有关安装插件的一般信息，请参见第5.6.1节“安装和卸载插件”．

为了被服务器使用，插件库文件必须位于MySQL插件目录(由plugin_dir系统变量)。如果有必要，可以通过设置的值来配置插件目录位置plugin_dir在服务器启动时。

服务器端插件库文件名为authentication_kerberos．每个平台的文件名后缀不同(例如，所以对于Unix和类Unix系统，. dll对于Windows)。

要在服务器启动时加载插件，请使用——plugin-load-add选项来命名包含它的库文件。使用这种插件加载方法，必须在每次服务器启动时给出该选项。另外，为您希望配置的任何插件提供的系统变量指定值。该插件公开了这些系统变量，使其操作可以被配置:

有关所有Kerberos身份验证系统变量的详细信息，请参见第6.4.1.13节，“可插入的认证系统变量”．

要加载插件并配置它，请在您的my.cnf文件，调整所以根据需要为你的平台添加后缀，并使用适合你安装的系统变量的值:

(mysqld) plugin-load-add = authentication_kerberos。因此authentication_kerberos_service_principal=mysql/krbauth.example.com@MYSQL.LOCAL authentication_kerberos_service_key_tab=/var/mysql/data/mysql.keytab . so authentication_kerberos_service_principal=mysql/krbauth.example.com@MYSQL.LOCAL

修改后my.cnf，重新启动服务器，使新的设置生效。

或者，要在运行时加载插件，使用此语句，调整所以为您的平台添加必要的后缀:

安装authentication_kerberos.so插件

安装插件立即加载插件，并将其注册到mysql.plugins系统表，使服务器在以后每次正常启动时都加载它，而不需要——plugin-load-add．

在运行时安装插件后，它公开的系统变量就可用了，您可以将它们的设置添加到您的my.cnf文件来配置插件以进行后续重启。例如:

[mysqld] authentication_kerberos_service_principal=mysql/krbauth.example.com@MYSQL.LOCAL authentication_kerberos_service_key_tab=/var/mysql/data/mysql.keytab

修改后my.cnf，重新启动服务器，使新的设置生效。

要在运行时而不是启动时设置和持久化每个值，可以使用以下语句:

SET PERSIST authentication_kerberos_service_principal='mysql/krbauth.example.com@MYSQL.LOCAL';SET PERSIST authentication_kerberos_service_key_tab='/var/mysql/data/mysql.keytab';

设置保存为正在运行的MySQL实例设置一个值。它还会保存该值，使其保留到后续服务器重新启动时。要更改正在运行的MySQL实例的值，而不将其保留到后续重启时，请使用全球关键字而不是坚持．看到第13.7.6.1节“变量赋值的SET语法”．

要验证插件安装，请检查INFORMATION_SCHEMA。插件表或使用显示插件声明(见第5.6.2节“获取服务器插件信息”)．例如:

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS FROM INFORMATION_SCHEMA。PLUGIN_NAME = 'authentication_kerberos';+-------------------------+---------------+ | PLUGIN_NAME | PLUGIN_STATUS  | +-------------------------+---------------+ | authentication_kerberos |活跃  | +-------------------------+---------------+

如果一个插件初始化失败，检查服务器错误日志诊断消息。

要将MySQL帐户与Kerberos插件关联，请参见使用Kerberos可插入身份验证．

介绍如何使MySQL帐户使用Kerberos可插入身份验证连接到MySQL服务器。假设服务器运行时启用了服务器端插件，如中所述安装Kerberos可插入身份验证，并且客户端插件在客户端主机上可用。

验证Kerberos的可用性

下面的示例演示如何测试Active Directory中Kerberos的可用性。该示例做出了以下假设:

满足这些假设后，遵循以下步骤:

创建一个使用Kerberos认证的MySQL帐户

MySQL身份验证使用authentication_kerberos身份验证插件基于Kerberos用户主体名(UPN)。这里的说明假设MySQL用户名为卡尔使用Kerberos对MySQL进行身份验证，以确定Kerberos领域的名称MYSQL。当地的，用户主体名为karl@MYSQL.LOCAL．这个UPN必须在以下几个地方注册:

假设适当的服务管理员已经注册了Kerberos用户主体名，并且如前面所述安装Kerberos可插入身份验证， MySQL服务器已经使用服务器端Kerberos插件的适当配置设置启动。创建与的Kerberos UPN对应的MySQL帐户用户@realm_name， MySQL DBA使用如下语句:

创建用户用户用authentication_kerberos BY '识别realm_name”;

该帐户由用户可以包含或省略主机名部分。如果省略主机名，则默认为％像往常一样。的realm_name存储为authentication_string中的帐户的值mysql.user系统表。

创建一个与UPN对应的MySQL帐户karl@MYSQL.LOCAL，使用以下语句:

创建一个认证为kerberos的用户:“karl”

例如，如果MySQL必须为这个帐户构造UPN，以获取或验证票据(tgt或STs)，它将通过组合帐户名(忽略任何主机名部分)和领域名来实现。例如，由上述结果产生的完整帐户名创建用户语句是“卡尔”@“%”．MySQL从用户名部分构造UPN卡尔(忽略主机名部分)和域名MYSQL。当地的生产karl@MYSQL.LOCAL．

设置好帐户后，客户端可以使用它连接到MySQL服务器。这个过程取决于客户端主机运行的是Linux还是Windows，如下面的讨论所示。

使用authentication_kerberos受用户部分相同但领域部分不同的upn不支持的限制。例如，您不能创建同时对应这两个upn的MySQL帐户:

kate@MYSQL.LOCAL kate@EXAMPLE.COM

的用户部分凯特但在领域部分有所不同(MYSQL。当地的与EXAMPLE.COM)．这是不允许的。

使用MySQL帐户连接MySQL服务器

在建立使用Kerberos进行身份验证的MySQL帐户后，客户端可以使用该帐户按如下方式连接到MySQL服务器:

第一步(对Kerberos进行身份验证)可以通过多种方式执行:

Linux和Windows中连接MySQL服务器的客户端命令的细节不同，所以每种主机类型分别讨论，但是这些命令属性适用于任何主机类型:

Linux客户端连接命令

在Linux上，连接到MySQL服务器的适当客户端命令取决于该命令是使用Kerberos缓存中的TGT进行身份验证，还是基于MySQL用户名和UPN密码的命令选项进行身份验证:

如果您不确定TGT是否存在，您可以使用中检查。

Windows客户端连接命令

在Windows上，连接到MySQL服务器的适当客户端命令不同，取决于该命令是基于MySQL用户名和UPN密码的命令选项进行身份验证，还是使用来自Windows内存缓存的TGT进行身份验证。

命令可以显式地为MySQL用户名和UPN密码指定选项，也可以省略这些选项:

Kerberos认证客户端配置参数

如果在MySQL客户端应用程序调用时没有有效的票据授予票据(TGT)存在，应用程序本身可以获取并缓存TGT。如果在Kerberos身份验证过程中，客户机应用程序导致缓存TGT，则可以通过设置适当的配置参数，在不再需要TGT后销毁添加的任何这样的TGT。

的authentication_kerberos_client客户端Kerberos插件读取本地/etc/krb5.conf文件。如果此文件丢失或无法访问，则会发生错误。假设文件是可访问的，它可以包含一个可选的(appdefaults)节提供插件使用的信息。将信息放在mysql部分内容。例如:

[appdefaults] mysql = {destroy_tickets = true}

中的这些参数，客户端插件可以识别mysql部分:

在客户端主机上，可以使用客户端keytab文件获取TGT和TS，而不需要提供密码。有关keytab文件的信息，请参见https://web.mit.edu/kerberos/krb5-latest/doc/basic/keytab_def.html．

的AUTHENTICATION_KERBEROS_CLIENT_LOG环境变量启用或禁用Kerberos身份验证的调试输出。

在服务器端，允许的值是0(关闭)和1(打开)。日志消息被写入服务器错误日志，取决于服务器错误日志的详细级别。例如，如果使用基于优先级的日志过滤，则log_error_verbosity系统变量控制的冗长，如第5.4.2.5节“基于优先级的错误日志过滤(log_filter_internal)”．

在客户端，允许的值从1到5，并写入标准错误输出。下表显示了每个日志级别值的含义。