mysql中使用外部认证与LDAP集成

mysql 8.0+ 不原生支持 ldap 认证，需通过 authentication_pam 插件调用系统 pam 模块（如 pam_ldap.so 或 pam_sss.so）中转实现，依赖正确配置 pam 服务、sssd（推荐）、tls 加密及 selinux 权限。

MySQL 8.0+ 原生支持 LDAP 认证吗？

不支持直接集成。MySQL 官方版本（包括 8.0 和 8.1）**不内置 LDAP 客户端逻辑**，也没有 auth_ldap_simple 或类似插件。所谓“LDAP 认证”，实际依赖操作系统层的 PAM（Pluggable Authentication Modules）中转——MySQL 通过 authentication_pam 插件调用系统 PAM 配置，再由 PAM 模块（如 pam_ldap.so 或 pam_sss.so）连接 LDAP 服务器。

必须启用 authentication_pam 插件并配置 PAM 规则

这是最关键的一步，跳过或配错会导致 Error 1045 (28000): access denied 或 Plugin 'authentication_pam' is not loaded。

• 确认插件已安装：

  INSTALL PLUGIN authentication_pam SONAME 'authentication_pam.so';

• 创建使用 PAM 认证的用户时，IDENTIFIED WITH 必须指定 PAM 服务名（不是 LDAP 地址）：

  CREATE USER 'alice'@'%' IDENTIFIED WITH authentication_pam AS 'mysql-ldap';

• 在 /etc/pam.d/mysql-ldap 中定义认证链，例如使用 pam_ldap.so：

  auth [success=done default=ignore] pam_ldap.so debug account [success=done default=ignore] pam_ldap.so

• 确保 MySQL 进程有权限读取 /etc/ldap.conf 或 /etc/sssd/sssd.conf（取决于你用的是 pam_ldap 还是 pam_sss）

SSSD 比直接 pam_ldap 更可靠，尤其在 TLS 和组映射场景

直接用 pam_ldap.so 容易在 LDAPS 连接、证书验证、超时重试上出问题；而 SSSD 提供缓存、自动重连和细粒度日志，生产环境强烈推荐。

• 安装并配置 sssd，在 /etc/sssd/sssd.conf 中设置 id_provider = ldap 和 auth_provider = ldap
• PAM 配置改用 pam_sss.so：

  auth required pam_sss.so account required pam_sss.so

• MySQL 用户映射需注意：SSSD 默认把 LDAP DN 映射为本地用户名，若 LDAP 中 uid=alice，则 MySQL 用户名也必须是 'alice'@'%'，不能写成 'cn=alice,ou=users,dc=example,dc=com'
• 测试 SSSD 是否工作：getent passwd alice 和 sss_ssh_authorizedkeys alice 应返回有效结果

密码传输与 TLS 验证是高频故障点

明文传输密码或跳过证书校验，看似能连上，实则违反安全策略且容易被中间人劫持。错误日志里常出现 ldap_err2string: Can't contact LDAP server 或 ssl handshake failed。

• 强制 LDAPS：在 /etc/ldap.conf 或 sssd.conf 中设 ldap_uri = ldaps://ldap.example.com:636，禁用 ldap:// 明文协议
• 证书必须可信：将 LDAP 服务器的 CA 证书放入系统信任库（如 /etc/pki/ca-trust/source/anchors/），再运行 update-ca-trust
• 避免 ssl no_verify 或 tls_reqcert never —— 这些配置会让 PAM 认证看似成功，但实际未加密，且 MySQL 错误日志不会明确提示
• 检查 SELinux：若启用，需允许 mysqld 网络连接：setsebool -P mysqld_connect_any on

MySQL 的 LDAP 集成本质是“PAM 转发”，不是数据库直连。真正难调的从来不是 SQL 语句，而是 PAM 日志里一行模糊的 ldap_simple_bind_s failed，以及 SSSD 缓存导致的认证延迟或旧凭据残留。