使用LDAP（AD）進行MySQL身份驗證

Question

我試圖想出一個計劃，允許用戶使用LDAP來驗證MySQL數據庫（許多，實際上）。更具體地說，ActiveDirectory。數據庫可能會通過應用程序訪問，而不是網頁。我有什麼選擇？

編輯：

好。似乎沒有「官方」方式允許使用LDAP在MySQL上進行身份驗證。還有什麼其他選擇？我們可以將LDAP用戶和密碼同步到MySQL用戶表嗎？

Answer 1

這是可能的MySQL代理。還有你需要知道做這項工作的幾件事情：

• MySQL代理可以執行shell命令
• MySQL代理可以攔截和重寫認證

這兩個頁面將幫助您開始： interceptin的http://forge.mysql.com/tools/tool.php?id=79

例如：運行一個外殼命令的

• 示例G和改寫驗證：http://web.archive.org/web/20150329071023/http://jan.kneschke.de/2009/6/25/mysql-proxy-roles/

Answer 2

我個人找不到任何信息表明這是可能的。我看到的只是使用MySQL作爲LDAP目錄的數據存儲。

Answer 3

好像你areout of luck :(

你能使用PostgreSQL？

只不過它使用LDAP作爲身份驗證方法，這種身份驗證方法的操作類似於密碼。LDAP只用於驗證用戶名/密碼對，因此用戶必須已經存在於數據庫中才能使用LDAP進行認證，所使用的服務器和參數在文件pg_hba.conf中的ldap關鍵字之後指定，該參數格式爲：

ldap[s]://servername[:port]/base dn[;prefix[;suffix]]

Answer 4

請看着http://dev.mysql.com/doc/refman/5.5/en/news-5-5-7.html

這是在5.5.7發佈候選

Answer 5

現在這是可能的商業擴展，例如與MySQL External Authentication for Windows：

這使您可以配置MySQL以使用本機Windows服務來驗證客戶端連接。登錄到Windows的用戶可以根據其環境中的令牌信息從MySQL客戶端程序連接到服務器，而無需指定額外的密碼。

Answer 6

您可以使用GPL下的Infoscope Hellas L.P.提供的auth_ldap插件。

它可以從SourceForge上下載： http://sourceforge.net/projects/mysqlauthldap/

首頁： http://infoscope.gr/mysqlauthldap

插件仍然是測試版僅用於UNIX安裝工作。

Answer 7

現在，通過在2017年底，我可以建議是：

https://www.percona.com/doc/percona-server/LATEST/management/pam_plugin.html

Percona的PAM認證插件是MySQL的身份驗證插件的免費和開源實現。該插件充當MySQL服務器，MySQL客戶端和PAM堆棧之間的中介。服務器插件向PAM堆棧請求認證，通過線路將來自PAM堆棧的任何請求和消息轉發給客戶端（以明文形式），並讀取PAM堆棧的任何答覆。

這是不是測試，我不知道它有多好。

Answer 8

這絕對有可能。看到這裏：https://www.percona.com/blog/2017/04/21/how-to-setup-and-troubleshoot-percona-pam-with-ldap-for-external-authentication/

在我的環境中，我沒有設置Samba或NSS/SSS，我沒有加入Windows域。我只是將AD服務器視爲LDAP端點。所以我從上面的第9步開始。

編輯：從上述鏈接添加指令由AfroThundr

安裝的Percona PAM插件作爲建議：

mysql> INSTALL PLUGIN auth_pam SONAME 'auth_pam.so'; 
Query OK, 0 rows affected (0.01 sec) 

mysql> INSTALL PLUGIN auth_pam_compat SONAME 'auth_pam_compat.so'; 
Query OK, 0 rows affected (0.00 sec) 

配置的Percona PAM通過創建/etc/pam.d/目錄來驗證到LDAP

auth required pam_ldap.so 
account required pam_ldap.so 

創建MySQL用戶，將通過auth_pam驗證：此內容mysqld的

mysql> CREATE USER user@'%' IDENTIFIED WITH auth_pam; 
Query OK, 0 rows affected (0.00 sec) 

mysql> GRANT ALL PRIVILEGES ON testdb.* TO user@'%'; 
Query OK, 0 rows affected (0.00 sec) 

mysql> FLUSH PRIVILEGES; 
Query OK, 0 rows affected (0.00 sec) 

登錄爲這個用戶和檢查補助：

[root@ps-20 ~]# mysql -u user 
Password: <your LDAP/AD password> 
Welcome to the MySQL monitor. Commands end with ; or g. 
Your MySQL connection id is 22 
Server version: 5.7.17-13 Percona Server (GPL), Release 13, Revision fd33d43 

Copyright (c) 2009-2016 Percona LLC and/or its affiliates 
Copyright (c) 2000, 2016, Oracle and/or its affiliates. All rights reserved. 

Oracle is a registered trademark of Oracle Corporation and/or its 
affiliates. Other names may be trademarks of their respective 
owners. 

Type 'help;' or 'h' for help. Type 'c' to clear the current input statement. 

mysql> SHOW GRANTS; 
+-----------------------------------------------------+ 
| Grants for user@%         | 
+-----------------------------------------------------+ 
| GRANT USAGE ON *.* TO 'user'@'%'     | 
| GRANT ALL PRIVILEGES ON `testdb`.* TO 'user'@'%' | 
+--------------------------------------------------- 

另外注意的AppArmor的 - 它會阻止AUTH嘗試。您可能會看到/var/log/auth.log誤導性的錯誤消息：

Feb 12 13:37:36 mysqld[15164]: PAM _pam_init_handlers: no default config /etc/pam.d/other 
Feb 12 13:37:36 mysqld[15164]: PAM error reading PAM configuration file 
Feb 12 13:37:36 mysqld[15164]: PAM pam_start: failed to initialize handlers 

您需要添加以下到/etc/apparmor.d/local/usr.sbin.mysqld：

#include <abstractions/authentication>

並重新加載的AppArmor：

service apparmor restart

（感謝https://bugs.launchpad.net/ubuntu/+source/squid/+bug/1608984將我引導至AppArmor部分）