mysql通过LDAP集成MySQL用户权限_MySQL身份验证插件使用-mysql教程-PHP中文网

必须使用mysql 8.0.28+版本并启用tls的openldap，配置authentication_ldap_sasl插件、正确设置dn与组映射参数，且需通过三层日志调试认证失败问题。

mysql通过ldap集成mysql用户权限_mysql身份验证插件使用

MySQL 8.0+ 使用 `authentication_ldap_sasl` 插件连接 OpenLDAP 的前提条件

必须用 MySQL 8.0.28 或更高版本，低版本的 authentication_ldap_simple 不支持绑定用户密码动态传递，且无法对接标准 LDAP DN 模式。OpenLDAP 服务需启用 TLS（ldaps:// 或 start_tls），MySQL 客户端默认拒绝明文 LDAP 连接。

关键配置项要提前确认：

plugin_dir 路径下存在 authentication_ldap_sasl.so（Linux）或 authentication_ldap_sasl.dll（Windows）
MySQL 启动时已加载插件：INSTALL PLUGIN authentication_ldap_sasl SONAME 'authentication_ldap_sasl.so';
OpenLDAP 的 slapd 开放了 uid 和 memberOf 属性可读（MySQL 需查用户所属组）

创建 LDAP 映射用户时 `CREATE USER` 语句的关键参数

不能只写用户名，必须显式指定认证插件、LDAP URL 和基础搜索 DN。MySQL 不会自动推导 LDAP 结构，所有路径都得手写。

典型命令示例：

CREATE USER 'alice'@'%' IDENTIFIED WITH authentication_ldap_sasl
AS 'uid=alice,ou=people,dc=example,dc=com';

注意以下三点：

AS 后面不是密码，是 LDAP 中该用户的完整可识别名（DN）——必须与 OpenLDAP 实际条目完全一致，大小写敏感
如果 LDAP 用户分散在多个 OU，不能用通配符，得为每个 DN 单独建 MySQL 用户，或改用 authentication_ldap_sasl 的 group mapping 模式（见下一条）
若 LDAP 启用了 refint 或 memberof overlay，可配合 authentication_ldap_sasl 的 ldap_server_group_search_attr 参数做角色映射

通过 LDAP 组（groupOfNames）控制 MySQL 权限的配置要点

MySQL 本身不解析 LDAP 组权限，必须靠插件的组搜索机制把用户所属组映射成 MySQL 角色（ROLE）。这需要服务端和客户端双向配合。

MySQL

编写正确的MySQL查询，避免字符集、索引和锁方面的常见陷阱。

下载

需设置的系统变量（在 my.cnf 或运行时 SET）：

authentication_ldap_sasl_server_host = ldap.example.com
authentication_ldap_sasl_server_port = 636
authentication_ldap_sasl_bind_base_dn = cn=admin,dc=example,dc=com（用于搜索用户的管理员账号）
authentication_ldap_sasl_search_attr = uid（登录名字段，对应 MySQL 用户名）
authentication_ldap_sasl_group_search_attr = memberOf（必须是用户条目中包含组 DN 的属性，OpenLDAP 默认是 memberOf，需开启 overlay）

之后创建角色并授权：

CREATE ROLE 'ldap_dev_team';<br>GRANT SELECT, INSERT ON app.* TO 'ldap_dev_team';<br>GRANT 'ldap_dev_team' TO 'alice'@'%';

此时 alice 登录后自动获得该角色权限 —— 但前提是她 LDAP 条目里真有 memberOf: cn=dev-team,ou=groups,dc=example,dc=com 这个值。

调试 `authentication_ldap_sasl` 失败时最常被忽略的三个日志位置

错误不会直接返回“LDAP 连接失败”，而是表现为 Access denied for user 或卡在握手阶段。必须查三层日志才能定位：

MySQL 错误日志（log_error 配置路径）：搜 LDAP bind failed、SASL init error、Can't contact LDAP server
OpenLDAP 服务日志（/var/log/slapd.log 或 journalctl -u slapd）：看是否有来自 MySQL IP 的 BindRequest 拒绝记录，常见于 TLS 证书不匹配或 olcSecurity 策略拦截
MySQL 客户端开启协议追踪：mysql --debug=d,general,protocol:1，输出里找 Authentication plugin 'authentication_ldap_sasl' 后的 SASL step 响应码（如 0x31 表示 LDAP_SUCCESS，0x32 是 LDAP_INVALID_CREDENTIALS）