Vermeiden Sie doppelte Gruppen in Gruppenzuordnung Profil abrufen

Szenario

Für das username-to-IP-Adress-Mapping installiert der softwarebasierte und Agentless User-ID Agent die zuletzt erlernte Kartierung. Betrachten Sie ein Beispiel, in dem user1 auf IP1 abgebildet ist und dieses Mapping über einen Agenten losen UserID-Agent erlernt wird, dann ist die Quelle ein. Wenn User1 nun eine VPN-Verbindung über GlobalProtect vom gleichen PC aus startet und eine neue IP-Adresse zugewiesen wird, dann würde sich die Benutzername-zu-IP-Kartierung auf der Firewall auf User1 und IP2 ändern, und die Quelle ist GlobalProtect. Daher wird der alte Benutzer-Cache von User1 und IP1 durch den neuen Eintrag von User1 und IP2 überschrieben.

Ebenso sollten Gruppen, die von einem Active Directory Domain Controller abgerufen werden, in jedem Gruppen-Mapping-Profil einzigartig sein.
Es kann argumentiert werden, dass Gruppen oft in Sicherheitsrichtlinien referenziert werden, und es spielt keine Rolle, von welchem Gruppen-Mapping-Profil
wir diese Informationen erhalten, aber in einigen Fällen ist es wichtig und kann den Spieß durchaus komplett drehen.

Im folgenden Szenario werden Sie feststellen, dass die gleiche Gruppe, wenn Sie von zwei verschiedenen Gruppen-Mapping-Profilen verwiesen wird, Probleme bei der Anpassung der Sicherheitsrichtlinien verursachen kann, weil Sie einem Benutzer nicht mit der aktiven Verzeichnis Gruppe, zu der er gehört, übereinstimmen.

EIN Gruppen-Mapping-Profil wird mit User-Domain unter Domain-Einstellungen als Test konfiguriert, wobei

Test ist das NetBIOS-Domain-Namens Äquivalent des FQDN Domain-Namens Test.kunaldc.com.

EINE Gruppe, CN = group2, CN = Users, DC = Test, DC = kunaldc, DC = com wird mit diesem Gruppen-Mapping-Profil abgeholt.

EIN User gptest gehört zu dieser Gruppe und sein Benutzername wird als DOMAIN\username- Format auf der Firewall gespeichert .

als test\gptest.

Konfigurieren Sie nun ein weiteres Gruppen-Mapping-Profil, AD-FQDN-Format, bei dem die Benutzer Domäne nicht überschrieben wird und Test.kunaldc.com anstelle von Test ist.

Verwenden Sie die Option Include-Gruppe, um nur die obige ANZEIGENgruppe in dieses Gruppen-Mapping-Profil aufzunehmen.

Diese Änderung begehen.

Wenn die Gruppen-Mapping-Aktualisierung abgeschlossen ist, dann überprüfen Sie den Gruppen-Mapping-Zustand.

Nun wird auch die gleiche ANZEIGENgruppe, CN = group2, CN = Users, DC = Test, DC = kunaldc, DC = com, durch das neue Gruppen-Mapping-Profil AD-FQDN-Format abgerufen.

Schauen Sie sich die Benutzernamen, die zu dieser Gruppe gehören, genau an.

Das Benutzername-Format wurde vom netbios\-Benutzer zum fqdn\-Benutzer geändert.

Die Quelle wurde auch vom alten Gruppen-Mapping-Profil- GPOUP-Mapping-Test auf das neue geändert,

AD-FQDN-FORMAT.

Die primäre Frage, die sich jetzt stellt, ist, dass der Benutzername über jeden User-ID-Mechanismus (Agent oder Agentless User-ID/GlobalProtect/Captive Portal, etc.) gelernt hat.  passt nicht zum Benutzernamen-Format in der Gruppen-Mapping-Tabelle.

Der Verkehr desselben Nutzers würde nicht mit den Sicherheitsrichtlinien übereinstimmen, auf die diese Benutzergruppe verwiesen wird.