MySQL默认使用mysql.user表存储账号和密码哈希，但在大型组织中，为每个数据库账号单独维护密码既繁琐又存在安全风险。借助外部身份认证，可以将用户验证交给LDAP目录服务或操作系统PAM框架完成，MySQL不再直接保存密码，从而简化账号管理和登录审计。本文将介绍如何在MySQL中配置LDAP与PAM两种外部认证方式，包括插件安装、参数配置、用户创建以及调试方法。
一、外部身份认证的工作机制与前置条件
MySQL从5.6开始支持可插拔认证插件，认证过程不再局限于mysql_native_password或caching_sha2_password。LDAP和PAM认证插件由MySQL官方提供，但默认不启用，需要安装插件并创建对应的用户账号。企业版自带这些插件，社区版也可以单独获取或从源码编译。
配置之前需要先确认几个条件：MySQL服务器能访问LDAP服务器（通常端口389或636），具备PAM开发库（如libpam0g-dev），以及插件文件位于MySQL插件目录。对于PAM认证，还要求操作系统PAM模块可用，例如pam_unix.so、pam_ldap.so等。如果使用LDAP over SSL，还需要准备CA证书。
二、LDAP认证集成配置
MySQL提供了两种LDAP插件：authentication_ldap_simple用于简单绑定，authentication_ldap_sasl用于SASL绑定。简单绑定适合大多数OpenLDAP和Active Directory场景。
先安装插件：
INSTALL PLUGIN authentication_ldap_simple SONAME 'authentication_ldap_simple.so';
然后修改my.cnf，增加LDAP服务器信息：
[mysqld] plugin-load-add=authentication_ldap_simple.so authentication_ldap_simple_server_host=ldap.ipipp.com authentication_ldap_simple_server_port=389 authentication_ldap_simple_bind_base_dn=ou=People,dc=ipipp,dc=com authentication_ldap_simple_bind_root_dn=cn=admin,dc=ipipp,dc=com authentication_ldap_simple_bind_root_pwd=secret authentication_ldap_simple_user_search_attr=uid
需要注意的是，示例中的ipipp.com需替换为实际环境；若涉及127.0.0.1或192.168.0.1等内部地址则保留。配置完成后重启MySQL服务使参数生效。
创建使用LDAP认证的MySQL账号时，密码字段不再存储用户密码，而是作为LDAP绑定DN的模板处理：
CREATE USER 'ldapuser'@'%' IDENTIFIED WITH authentication_ldap_simple BY 'uid=ldapuser,ou=People,dc=ipipp,dc=com';
这里BY子句的内容会被传给LDAP服务器进行绑定。用户连接MySQL时，输入ldapuser和LDAP密码即可登录，MySQL会使用该DN和密码向LDAP服务器发起绑定请求，验证通过后允许访问。也可以使用代理用户模式，把LDAP用户映射到统一的MySQL代理账户，便于权限管理。
LDAP认证的优势在于密码集中管理，用户修改LDAP密码后无需同步MySQL。但它依赖网络和LDAP服务可用性，如果LDAP不可用，认证会失败，因此需要规划高可用LDAP集群或本地缓存机制。
三、PAM认证集成配置
PAM（Pluggable Authentication Modules）允许MySQL通过操作系统PAM栈进行用户验证。常见的场景是让数据库账号与Linux系统账号共用同一套密码，并且可以结合SSH的两步验证、账户锁定策略等。
先安装PAM插件：
INSTALL PLUGIN authentication_pam SONAME 'authentication_pam.so';
接着在操作系统中创建PAM服务配置。例如在/etc/pam.d/目录下新建mysql文件：
auth required pam_unix.so account required pam_unix.so
然后在MySQL配置文件中启用插件并指定PAM服务名：
[mysqld] plugin-load-add=authentication_pam.so authentication_pam_use_cleartext_plugin=ON
authentication_pam_use_cleartext_plugin参数在不同版本中有变化，MySQL 8.0中通常不需要显式开启，但若客户端提示认证插件无法使用，可以检查该设置。
创建PAM认证的MySQL用户：
CREATE USER 'pamuser'@'localhost' IDENTIFIED WITH authentication_pam;
此时MySQL不再检查mysql.user表中的密码，而是调用系统的PAM栈。用户连接时输入操作系统账号密码即可。如果需要将MySQL用户映射到不同的系统用户，可以使用IDENTIFIED WITH authentication_pam AS 'systemuser'语法，这要求PAM配置允许对应映射。
企业环境中常把PAM配置为使用pam_ldap或pam_sss，这样MySQL认证实际上也间接连接了LDAP或AD，但与直接使用LDAP插件相比，PAM层可以整合更多策略，例如pam_faillock锁定、pam_access访问控制等。
四、认证流程调试与常见错误排查
配置完成后可以通过SQL查看插件状态：
SELECT PLUGIN_NAME, PLUGIN_STATUS FROM INFORMATION_SCHEMA.PLUGINS WHERE PLUGIN_NAME LIKE 'authentication%';
如果插件状态为DISABLED，需要检查plugin-load-add配置或插件文件权限。用户认证失败时，可以先查看MySQL错误日志，通常位于数据目录下的主机名.err文件。LDAP插件报错可能包含绑定失败、搜索超时等信息；PAM插件报错可能涉及PAM服务名不存在或系统认证模块拒绝。
常见问题之一是匿名用户干扰。MySQL中存在匿名账号时，外部认证用户可能被匿名账户匹配导致登录异常。可以删除匿名用户或调整账号匹配顺序。另一个问题是LDAP服务器使用SSL时证书校验失败，需要在my.cnf中正确设置authentication_ldap_simple_server_ca_path或关闭校验（不推荐生产环境）。PAM方式下，如果系统密码策略要求强密码，MySQL登录也会被拒绝，需要统一调整策略。
为了确保认证连续性，建议在测试环境验证LDAP服务器故障时的行为，并配置合适的连接超时参数。对于PAM认证，注意操作系统PAM模块的日志通常写入/var/log/secure或/var/log/auth.log，结合这些日志能更快定位问题。
以上就是MySQL配置LDAP与PAM外部身份认证的核心内容，希望对统一账号管理有所帮助。