La conexión de ID de usuario de agente a servidores de Active Directory se conecta y desconecta intermitentemente

Actualizado May 2018 kiwi

Incidencia

Los servidores de Active Directory configurados para el identificador de usuario no agente se desconectan con frecuencia del cortafuegos. Estado de la conexión para esos servidores, bajo la sección de supervisión del servidor para la asignación de usuarios, mantenga el aleteo entre conectado y no conectado. Los registros de ID de usuario tienen el siguiente mensaje de error para cada servidor de anuncios configurado:

Error: pan_user_id_win_sess_query (pan_user_id_win. c:1241): query de sesión para error <server name=""> : [WMI/WMIC. c: 216: Main ()] error: recuperar datos de resultado.</server>

Se muestra en la captura de pantalla a continuación, consulte el estado "no conectado" en el servidor de supervisión en el dispositivo > identificación del usuario > asignación de usuario > supervisión del servidor:

Causa

El identificador de usuario de agentless está configurado para supervisar la información de la sesión de usuario de los servidores de la lista de supervisión del servidor. Los intentos de consulta de sesión del cortafuegos a esos servidores de anuncios están fallando debido a problemas de permisos. La cuenta de dominio, utilizada para acceder a la información de la sesión, no tiene privilegios para leer la información de la sesión de usuario de los servidores. Los grupos de operadores de servidores y administradores de dominio incluirán los permisos de lectura de consulta de sesión.

Como se muestra en el ejemplo siguiente, vaya al dispositivo > identificación del usuario > asignación de usuario > configuración del agente de ID de usuario de Palo Alto Networks y haga clic en la configuración para encontrar el nombre de usuario, que se utiliza para conectar el ID de usuario sin agente al servidor de anuncios (172.30.30.15):

Como se muestra en el ejemplo siguiente, en el servidor de anuncios (172.30.30.15) vea los permisos para el usuario CR7:

Resolución:

• Opción 1: conceder a los operadores de servidor o privilegios de administrador de dominio a la cuenta de servicio utilizada bajo autenticación WMI. En el ejemplo siguiente, se muestra cómo agregar el permiso del operador del servidor al usuario CR7:
  
  
  después de agregar el permiso del operador del servidor a CR7 de usuario, en el ejemplo siguiente, vea que el identificador de usuario de agentless está ahora conectado al servidor de anuncios:
  
  
  
• Opción 2: Si no se utiliza, deshabilite la opción de lectura de la sesión del servidor:
  

Propietario: knarra