mysql 8.0+ 不原生支持 ldap 认证，需通过 authentication_pam 插件调用系统 pam 模块（如 pam_ldap.so 或 pam_sss.so）中转实现，依赖正确配置 pam 服务、sssd（推荐）、tls 加密及 selinux 权限。
MySQL 8.0+ 原生支持 LDAP 认证吗？
不支持直接集成。MySQL 官方版本（包括 8.0 和 8.1）**不内置 LDAP 客户端逻辑**，也没有 auth_ldap_simple 或类似插件。所谓“LDAP 认证”，实际依赖操作系统层的 PAM（Pluggable Authentication Modules）中转——MySQL 通过 authentication_pam 插件调用系统 PAM 配置，再由 PAM 模块（如 pam_ldap.so 或 pam_sss.so）连接 LDAP 服务器。
必须启用 authentication_pam 插件并配置 PAM 规则
这是最关键的一步，跳过或配错会导致 ERROR 1045 (28000): Access denied 或 Plugin 'authentication_pam' is not loaded。
动态WEB网站中的PHP和MySQL：直观的QuickPro指南第2版
下载
动态WEB网站中的PHP和MySQL详细反映实际程序的需求，仔细地探讨外部数据的验证(例如信用卡卡号的格式)、用户登录以及如何使用模板建立网页的标准外观。动态WEB网站中的PHP和MySQL的内容不仅仅是这些。书中还提到如何串联JavaScript与PHP让用户操作时更快、更方便。还有正确处理用户输入错误的方法，让网站看起来更专业。另外还引入大量来自PEAR外挂函数库的强大功能，对常用的、强大的包
- 确认插件已安装：
INSTALL PLUGIN authentication_pam SONAME 'authentication_pam.so';
- 创建使用 PAM 认证的用户时，
IDENTIFIED WITH必须指定 PAM 服务名（不是 LDAP 地址）：CREATE USER 'alice'@'%' IDENTIFIED WITH authentication_pam AS 'mysql-ldap';
- 在
/etc/pam.d/mysql-ldap中定义认证链，例如使用pam_ldap.so：auth [success=done default=ignore] pam_ldap.so debug account [success=done default=ignore] pam_ldap.so
- 确保 MySQL 进程有权限读取
/etc/ldap.conf或/etc/sssd/sssd.conf（取决于你用的是pam_ldap还是pam_sss）
SSSD 比直接 pam_ldap 更可靠，尤其在 TLS 和组映射场景
直接用 pam_ldap.so 容易在 LDAPS 连接、证书验证、超时重试上出问题；而 SSSD 提供缓存、自动重连和细粒度日志，生产环境强烈推荐。
- 安装并配置
sssd，在/etc/sssd/sssd.conf中设置id_provider = ldap和auth_provider = ldap - PAM 配置改用
pam_sss.so：auth required pam_sss.so account required pam_sss.so
- MySQL 用户映射需注意：SSSD 默认把 LDAP DN 映射为本地用户名，若 LDAP 中
uid=alice，则 MySQL 用户名也必须是'alice'@'%'，不能写成'cn=alice,ou=users,dc=example,dc=com' - 测试 SSSD 是否工作：
getent passwd alice和sss_ssh_authorizedkeys alice应返回有效结果
密码传输与 TLS 验证是高频故障点
明文传输密码或跳过证书校验，看似能连上，实则违反安全策略且容易被中间人劫持。错误日志里常出现 ldap_err2string: Can't contact LDAP server 或 SSL handshake failed。
- 强制 LDAPS：在
/etc/ldap.conf或sssd.conf中设ldap_uri = ldaps://ldap.example.com:636，禁用ldap://明文协议 - 证书必须可信：将 LDAP 服务器的 CA 证书放入系统信任库（如
/etc/pki/ca-trust/source/anchors/），再运行update-ca-trust - 避免
ssl no_verify或tls_reqcert never—— 这些配置会让 PAM 认证看似成功，但实际未加密，且 MySQL 错误日志不会明确提示 - 检查 SELinux：若启用，需允许 mysqld 网络连接：
setsebool -P mysqld_connect_any on
ldap_simple_bind_s failed，以及 SSSD 缓存导致的认证延迟或旧凭据残留。 
