クライアントプログラムとサーバーは通信し、クライアントはサーバーにクライアントユーザー名 (デフォルトではオペレーティングシステムのユーザー名) とパスワードを送信します:

サーバーは、外部ユーザー名とクライアントの接続元のホストに基づいて、一致する MySQL アカウントを検索します。 PAM プラグインは、MySQL Server によって渡された情報 (ユーザー名、ホスト名、パスワード、認証文字列など) を使用します。 PAM を使用して認証する MySQL アカウントを定義する場合、認証文字列には次のものが含まれます:

プラグインは、認証文字列で指定された PAM サービスを使用してユーザー資格証明を確認し、'Authentication succeeded, Username is user_name'または'Authentication failed'を返します。 パスワードは、PAM サービスで使用されるパスワードストアに適している必要があります。 例:

資格証明チェックが失敗すると、サーバーは接続を拒否します。

それ以外の場合、認証文字列はプロキシが発生するかどうかを示します。 文字列に PAM グループマッピングが含まれていない場合、プロキシは発生しません。 この場合、MySQL ユーザー名は外部ユーザー名と同じです。

それ以外の場合、プロキシは PAM グループマッピングに基づいて示され、MySQL ユーザー名はマッピングリスト内の最初に一致するグループに基づいて決定されます。 「「PAM グループ」」の意味は PAM サービスによって異なります。 例:

プロキシユーザー (外部ユーザー) がプロキシ設定された MySQL ユーザー名に対する PROXY 権限を持っている場合、プロキシ設定は、プロキシ設定されたユーザーがプロキシ設定されたユーザーの権限を引き受けた状態で行われます。

Unix 認証で、ユーザー名が antonio でパスワードが antonio_password のオペレーティングシステムへのログインが許可されていることを確認します。

/etc/pam.d/mysql-unix という名前の mysql-unix PAM サービスファイルを作成して、従来の Unix パスワードを使用して MySQL 接続を認証するように PAM を設定します。 ファイルの内容はシステムに依存するため、/etc/pam.d ディレクトリ内の既存のログイン関連ファイルをチェックして、それらがどのように表示されるかを確認します。 Linux では、mysql-unix ファイルは次のようになります:

#%PAM-1.0
auth            include         password-auth
account         include         password-auth

macOS の場合は、password-auth ではなく login を使用します。

PAM ファイル形式は、一部のシステムで異なる場合があります。 たとえば、Ubuntu およびその他の Debian ベースのシステムでは、かわりに次のファイルコンテンツを使用します:

@include common-auth
@include common-account
@include common-session-noninteractive

オペレーティングシステムユーザー名と同じユーザー名で MySQL アカウントを作成し、PAM プラグインおよび mysql-unix PAM サービスを使用して認証するように定義します:

CREATE USER 'antonio'@'localhost'
  IDENTIFIED WITH authentication_pam
  AS 'mysql-unix';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'antonio'@'localhost';

ここで、認証文字列には PAM サービス名 (mysql-unix) のみが含まれており、これによって Unix パスワードが認証されます。

mysql コマンドラインクライアントを使用して、antonio として MySQL サーバーに接続します。 例:

shell> mysql --user=antonio --password --enable-cleartext-plugin
Enter password: antonio_password

サーバーは接続を許可する必要があり、次のクエリーは次のような出力を返します:

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+-------------------+--------------+
| USER()            | CURRENT_USER()    | @@proxy_user |
+-------------------+-------------------+--------------+
| antonio@localhost | antonio@localhost | NULL         |
+-------------------+-------------------+--------------+

これは、antonio MySQL ユーザーに付与された権限を持つように antonio オペレーティングシステムユーザーが認証され、プロキシが発生していないことを示しています。

Unix 認証で、ユーザー名が antonio でパスワードが antonio_password のオペレーティングシステムへのログインが許可されていることを確認します。

/etc/pam.d/mysql-ldap という名前の mysql-ldap PAM サービスファイルを作成して、LDAP を使用して MySQL 接続を認証するように PAM を設定します。 ファイルの内容はシステムに依存するため、/etc/pam.d ディレクトリ内の既存のログイン関連ファイルをチェックして、それらがどのように表示されるかを確認します。 Linux では、mysql-ldap ファイルは次のようになります:

#%PAM-1.0
auth        required    pam_ldap.so
account     required    pam_ldap.so

PAM オブジェクトファイルのサフィクスがシステム上の .so と異なる場合は、正しいサフィクスに置き換えてください。

PAM ファイル形式は、一部のシステムで異なる場合があります。

オペレーティングシステムユーザー名と同じユーザー名で MySQL アカウントを作成し、PAM プラグインおよび mysql-ldap PAM サービスを使用して認証するように定義します:

CREATE USER 'antonio'@'localhost'
  IDENTIFIED WITH authentication_pam
  AS 'mysql-ldap';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'antonio'@'localhost';

ここで、認証文字列には PAM サービス名 mysql-ldap のみが含まれ、LDAP を使用して認証されます。

サーバーへの接続は、プロキシユーザーを使用しない PAM Unix パスワード認証 で説明されている接続と同じです。

Unix 認証で、ユーザー名が antonio でパスワードが antonio_password のオペレーティングシステムへのログインが許可されていることを確認します。

antonio が root または users PAM グループのメンバーであることを確認します。

/etc/pam.d/mysql-unix という名前のファイルを作成して、オペレーティングシステムユーザーを介して mysql-unix PAM サービスを認証するように PAM を設定します。 ファイルの内容はシステムに依存するため、/etc/pam.d ディレクトリ内の既存のログイン関連ファイルをチェックして、それらがどのように表示されるかを確認します。 Linux では、mysql-unix ファイルは次のようになります:

#%PAM-1.0
auth            include         password-auth
account         include         password-auth

macOS の場合は、password-auth ではなく login を使用します。

PAM ファイル形式は、一部のシステムで異なる場合があります。 たとえば、Ubuntu およびその他の Debian ベースのシステムでは、かわりに次のファイルコンテンツを使用します:

@include common-auth
@include common-account
@include common-session-noninteractive

外部 PAM ユーザーをプロキシ設定されたアカウントにマップするデフォルトプロキシユーザー (''@'') を作成します:

CREATE USER ''@''
  IDENTIFIED WITH authentication_pam
  AS 'mysql-unix, root=developer, users=data_entry';

ここで、認証文字列には PAM サービス名 (mysql-unix) が含まれており、Unix パスワードを認証します。 また、認証文字列は、root および users PAM グループ内の外部ユーザーを、それぞれ developer および data_entry MySQL ユーザー名にマップします。

プロキシユーザーを設定するときは、PAM サービス名のあとに PAM グループマッピングリストが必要です。 そうしないと、プラグインは、外部ユーザー名から適切なプロキシ MySQL ユーザー名へのマッピングの実行方法を認識できません。

プロキシ設定されたアカウントを作成し、各アカウントに次の権限を付与します:

CREATE USER 'developer'@'localhost'
  IDENTIFIED WITH mysql_no_login;
CREATE USER 'data_entry'@'localhost'
  IDENTIFIED WITH mysql_no_login;

GRANT ALL PRIVILEGES
  ON mydevdb.*
  TO 'developer'@'localhost';
GRANT ALL PRIVILEGES
  ON mydb.*
  TO 'data_entry'@'localhost';

プロキシ設定されたアカウントは、mysql_no_login 認証プラグインを使用して、クライアントがアカウントを使用して MySQL サーバーに直接ログインできないようにします。 代わりに、PAM を使用して認証するユーザーは、PAM グループに基づいてプロキシによって developer または data_entry アカウントを使用することが期待されます。 (これは、プラグインがインストールされていることを前提としています。 手順については、セクション6.4.1.8「ログインなしのプラガブル認証」 を参照してください。) プロキシ設定されたアカウントを直接使用しないように保護する別の方法については、プロキシアカウントへの直接ログインの防止 を参照してください。

プロキシされた各アカウントの PROXY 権限をプロキシアカウントに付与します:

GRANT PROXY
  ON 'developer'@'localhost'
  TO ''@'';
GRANT PROXY
  ON 'data_entry'@'localhost'
  TO ''@'';

mysql コマンドラインクライアントを使用して、antonio として MySQL サーバーに接続します。

shell> mysql --user=antonio --password --enable-cleartext-plugin
Enter password: antonio_password

サーバーは、デフォルトの''@''プロキシアカウントを使用して接続を認証します。 結果として生成される antonio の権限は、antonio がメンバーになっている PAM グループによって異なります。 antonio が root PAM グループのメンバーである場合、PAM プラグインは、developer MySQL ユーザー名に root をマップし、その名前をサーバーに返します。 サーバーは、''@''が developer に対する PROXY 権限を持っていることを確認し、接続を許可します。 次のクエリーは、次に示すような出力を返します:

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+---------------------+--------------+
| USER()            | CURRENT_USER()      | @@proxy_user |
+-------------------+---------------------+--------------+
| antonio@localhost | developer@localhost | ''@''        |
+-------------------+---------------------+--------------+

これは、antonio オペレーティングシステムユーザーが developer MySQL ユーザーに付与された権限を持つように認証され、プロキシがデフォルトのプロキシアカウントを介して行われることを示しています。

antonio が root PAM グループのメンバーではなく、users PAM グループのメンバーである場合、同様のプロセスが発生しますが、プラグインは user PAM グループメンバーシップを data_entry MySQL ユーザー名にマップし、その名前をサーバーに返します:

mysql> SELECT USER(), CURRENT_USER(), @@proxy_user;
+-------------------+----------------------+--------------+
| USER()            | CURRENT_USER()       | @@proxy_user |
+-------------------+----------------------+--------------+
| antonio@localhost | data_entry@localhost | ''@''        |
+-------------------+----------------------+--------------+

これは、antonio オペレーティングシステムユーザーが data_entry MySQL ユーザーの権限を持つように認証され、そのプロキシがデフォルトのプロキシアカウントを介して行われることを示しています。