sha256_password プラグインは、サーバーおよびクライアントフォームに存在します:

SHA-256 パスワードハッシュ用の sha256_password プラグインを使用するアカウントを設定するには、次のステートメントを使用します。ここで、password は目的のアカウントパスワードです:

CREATE USER 'sha256user'@'localhost'
IDENTIFIED WITH sha256_password BY 'password';

サーバーは sha256_password プラグインをアカウントに割り当て、それを使用して SHA-256 を使用してパスワードを暗号化し、mysql.user システムテーブルの plugin および authentication_string カラムにそれらの値を格納します。

前述の手順では、sha256_password がデフォルトの認証プラグインであると想定していません。 sha256_password がデフォルトの認証プラグインである場合は、より単純な CREATE USER 構文を使用できます。

デフォルトの認証プラグインを sha256_password に設定してサーバーを起動するには、サーバーオプションファイルに次の行を入力します:

[mysqld]
default_authentication_plugin=sha256_password

これにより、sha256_password プラグインが新しいアカウントにデフォルトで使用されます。 その結果、プラグインに明示的に名前を付けずに、アカウントを作成してそのパスワードを設定できます:

CREATE USER 'sha256user'@'localhost' IDENTIFIED BY 'password';

default_authentication_plugin を sha256_password に設定した場合の別の結果は、アカウントの作成に他のプラグインを使用するには、そのプラグインを明示的に指定する必要があることです。 たとえば、mysql_native_password プラグインを使用するには、次のステートメントを使用します:

CREATE USER 'nativeuser'@'localhost'
IDENTIFIED WITH mysql_native_password BY 'password';

sha256_password は、セキュアなトランスポートを介した接続をサポートしています。sha256_password では、MySQL が OpenSSL を使用してコンパイルされ、接続先の MySQL サーバーが RSA をサポートするように構成されている場合 (このセクションの後半で説明する RSA 構成手順を使用)、RSA over unencrypted 接続を使用した暗号化パスワード交換もサポートされます。

RSA サポートには、次の特性があります:

sha256_password プラグインを使用するクライアントでは、サーバーへの接続時にパスワードがクリアテキストとして公開されません。 パスワード転送の方法は、セキュアな接続と RSA 暗号化のどちらを使用するかによって異なります:

MySQL が OpenSSL を使用してコンパイルされている場合は、次の手順を使用して、クライアント接続プロセス中にパスワード交換に RSA キーペアを使用できるようにします:

RSA キーファイルを使用してサーバーを構成した後、sha256_password プラグインで認証されるアカウントには、これらのキーファイルを使用してサーバーに接続するオプションがあります。 前述のように、このようなアカウントでは、セキュアな接続 (RSA が使用されない場合) または RSA を使用してパスワード交換を実行する暗号化されていない接続のいずれかを使用できます。 暗号化されていない接続が使用されるとします。 例:

shell> mysql --ssl-mode=DISABLED -u sha256user -p
Enter password: password

sha256user によるこの接続試行の場合、サーバーは sha256_password が適切な認証プラグインであると判断し、それを呼び出します (CREATE USER 時に指定されたプラグインであるため)。 プラグインは、接続が暗号化されていないことを検出したため、RSA 暗号化を使用してパスワードを送信する必要があります。 この場合、プラグインは RSA 公開鍵をクライアントに送信し、クライアントはこの鍵を使用してパスワードを暗号化し、その結果をサーバーに返します。 プラグインは、サーバー側で RSA 秘密キーを使用してパスワードを復号化し、パスワードが正しいかどうかに基づいて接続を受け入れるか拒否します。

サーバーは、必要に応じて RSA 公開鍵をクライアントに送信します。 ただし、サーバーで必要な RSA 公開キーのローカルコピーを含むファイルがクライアントにある場合は、--server-public-key-path オプションを使用してファイルを指定できます:

shell> mysql --ssl-mode=DISABLED -u sha256user -p --server-public-key-path=file_name
Enter password: password

--server-public-key-path オプションで指定されたファイル内の公開鍵値は、sha256_password_public_key_path システム変数で指定されたサーバー側のファイル内の鍵値と同じにするようにしてください。 鍵ファイルに有効な公開鍵値が含まれているが、その値が正しくない場合は、アクセス拒否のエラーが発生します。 鍵ファイルに有効な公開鍵が含まれていない場合は、その鍵をクライアントプログラムで使用できません。 この場合、sha256_password プラグインは、--server-public-key-path オプションが指定されていないかのように公開鍵をクライアントに送信します。

クライアントユーザーは、次の 2 つの方法で RSA 公開キーを取得できます: