caching_sha2_password プラグインは、サーバーおよびクライアントフォームに存在します:

サーバー側プラグインは、sha2_cache_cleaner 監査プラグインをヘルパーとして使用して、パスワードキャッシュ管理を実行します。caching_sha2_password と同様に、sha2_cache_cleaner は組み込まれており、インストールする必要はありません。

SHA-256 パスワードハッシュ用の caching_sha2_password プラグインを使用するアカウントを設定するには、次のステートメントを使用します。ここで、password は目的のアカウントパスワードです:

CREATE USER 'sha2user'@'localhost'
IDENTIFIED WITH caching_sha2_password BY 'password';

サーバーは caching_sha2_password プラグインをアカウントに割り当て、それを使用して SHA-256 を使用してパスワードを暗号化し、mysql.user システムテーブルの plugin および authentication_string カラムにそれらの値を格納します。

前述の手順では、caching_sha2_password がデフォルトの認証プラグインであると想定していません。 caching_sha2_password がデフォルトの認証プラグインである場合は、より単純な CREATE USER 構文を使用できます。

デフォルトの認証プラグインを caching_sha2_password に設定してサーバーを起動するには、サーバーオプションファイルに次の行を入力します:

[mysqld]
default_authentication_plugin=caching_sha2_password

これにより、caching_sha2_password プラグインが新しいアカウントにデフォルトで使用されます。 その結果、プラグインに明示的に名前を付けずに、アカウントを作成してそのパスワードを設定できます:

CREATE USER 'sha2user'@'localhost' IDENTIFIED BY 'password';

default_authentication_plugin を caching_sha2_password に設定した場合の別の結果は、アカウントの作成に他のプラグインを使用するには、そのプラグインを明示的に指定する必要があることです。 たとえば、mysql_native_password プラグインを使用するには、次のステートメントを使用します:

CREATE USER 'nativeuser'@'localhost'
IDENTIFIED WITH mysql_native_password BY 'password';

caching_sha2_password は、セキュアなトランスポートを介した接続をサポートしています。 このセクションで後述する RSA の構成手順に従うと、暗号化されていない RSA 接続を介した暗号化されたパスワード交換もサポートされます。 RSA サポートには、次の特性があります:

caching_sha2_password プラグインを使用するクライアントの場合、サーバーへの接続時にパスワードがクリアテキストとして公開されることはありません。 パスワード転送の方法は、セキュアな接続と RSA 暗号化のどちらを使用するかによって異なります:

クライアント接続プロセス中にパスワード交換に RSA キーペアを使用できるようにするには、次の手順を使用します:

RSA キーファイルを使用してサーバーを構成した後、caching_sha2_password プラグインで認証されるアカウントには、これらのキーファイルを使用してサーバーに接続するオプションがあります。 前述のように、このようなアカウントでは、セキュアな接続 (RSA が使用されない場合) または RSA を使用してパスワード交換を実行する暗号化されていない接続のいずれかを使用できます。 暗号化されていない接続が使用されるとします。 例:

shell> mysql --ssl-mode=DISABLED -u sha2user -p
Enter password: password

sha2user によるこの接続試行の場合、サーバーは caching_sha2_password が適切な認証プラグインであると判断し、それを呼び出します (CREATE USER 時に指定されたプラグインであるため)。 プラグインは、接続が暗号化されていないことを検出したため、RSA 暗号化を使用してパスワードを送信する必要があります。 ただし、サーバーは公開鍵をクライアントに送信せず、クライアントは公開鍵を提供しなかったため、パスワードを暗号化できず、接続に失敗します:

ERROR 2061 (HY000): Authentication plugin 'caching_sha2_password'
reported error: Authentication requires secure connection.

RSA 公開キーをサーバーにリクエストするには、--get-server-public-key オプションを指定します:

shell> mysql --ssl-mode=DISABLED -u sha2user -p --get-server-public-key
Enter password: password

この場合、サーバーは RSA 公開鍵をクライアントに送信し、クライアントはこの鍵を使用してパスワードを暗号化し、その結果をサーバーに返します。 プラグインは、サーバー側で RSA 秘密キーを使用してパスワードを復号化し、パスワードが正しいかどうかに基づいて接続を受け入れるか拒否します。

または、サーバーで必要な RSA 公開キーのローカルコピーを含むファイルがクライアントにある場合は、--server-public-key-path オプションを使用してファイルを指定できます:

shell> mysql --ssl-mode=DISABLED -u sha2user -p --server-public-key-path=file_name
Enter password: password

この場合、クライアントは公開キーを使用してパスワードを暗号化し、結果をサーバーに返します。 プラグインは、サーバー側で RSA 秘密キーを使用してパスワードを復号化し、パスワードが正しいかどうかに基づいて接続を受け入れるか拒否します。

--server-public-key-path オプションで指定されたファイル内の公開キー値は、caching_sha2_password_public_key_path システム変数で指定されたサーバー側ファイル内のキー値と同じである必要があります。 鍵ファイルに有効な公開鍵値が含まれているが、その値が正しくない場合は、アクセス拒否のエラーが発生します。 鍵ファイルに有効な公開鍵が含まれていない場合は、その鍵をクライアントプログラムで使用できません。

クライアントユーザーは、次の 2 つの方法で RSA 公開キーを取得できます:

サーバー側では、caching_sha2_password プラグインはメモリー内キャッシュを使用して、以前に接続したクライアントの認証を高速化します。 エントリは、account-name/password-hash のペアで構成されます。 キャッシュは次のように機能します:

このように、クライアントが最初に接続すると、mysql.user システムテーブルに対する認証が行われます。 その後、クライアントが接続すると、キャッシュに対する認証が高速になります。

エントリの追加以外のパスワードキャッシュ操作は、caching_sha2_password の代わりに次のアクションを実行する sha2_cache_cleaner 監査プラグインによって処理されます:

キャッシュのクリア操作は、後続のクライアント接続の認証要件に影響します。 ユーザーアカウントごとに、次のいずれかの操作後のユーザーの最初のクライアント接続では、セキュアな接続 (TLS 資格証明、Unix ソケットファイルまたは共有メモリーを使用して TCP を使用して確立) または RSA キーペアベースのパスワード交換を使用する必要があります:

FLUSH PRIVILEGES はキャッシュ全体をクリアし、caching_sha2_password プラグインを使用するすべてのアカウントに影響します。 その他の操作では、特定のキャッシュエントリがクリアされ、操作の一部であるアカウントにのみ影響します。

ユーザーが正常に認証されると、アカウントに影響する別のキャッシュクリアイベントが発生するまで、アカウントはキャッシュに入力され、後続の接続にセキュアな接続または RSA キーペアは必要ありません。 (キャッシュを使用できる場合、サーバーはクリアテキストパスワード転送を使用せず、セキュアな接続を必要としないチャレンジレスポンスメカニズムを使用します。)