防火墙没有用 OU 检索 LDAP 服务器配置文件库的用户名

症状

当使用 ou (组织单位) 作为 LDAP 服务器配置文件基础 (例如: OU = 亚太地区、dc = sub、dc = 示例、dc = com) 时, 只有组由帕洛阿尔托网络防火墙知道。不检索用户名。

下面是 LDAP 服务器配置文件配置的示例:

原因

如果在 ldap 服务器配置文件基设置中使用 OU 的位置不在 ldap 树的点处, 则可以在其中搜索组和用户名, 从而出现此问题。

解决办法

对于 LDAP 服务器配置文件基础设置, 建议使用域的 dc 组件 (例如: dc = sub、dc = 示例、dc = com), 以便

它的树中的条目是可搜索的。

下面是 LDAP 树示例:

com (dc)

|---示例 (dc)

      |---子 (dc)

            |---用户 (ou)

            |---亚太地区 (ou)

            |   |---新加坡 (cn)

            |---EMEA (ou)

            |   |---布鲁塞尔 (cn)

            |---南 (ou)

            |   |---圣克拉拉 (cn)

如果在上面的用户中定义了所有用户, 则 "ou = 用户、dc = sub、dc = 示例、dc = com" 的 LDAP 服务器配置文件基础设置可以搜索和检索组和用户。

WebGUI 上的 LDAP 服务器配置文件基础设置位于设备 > 服务器配置文件 > ldap-ldap 服务器配置文件 > 基础上。如果该基设置为 "ou = 亚太地区、dc = sub、dc = 示例、dc = com", 则只有在 "亚太地区" 下的组才能在防火墙上可见。用户不可见, 因为它们是在 OU "用户" 下定义的, 并且不能通过基设置进行搜索。

解决方法

解决方法是在基的 OU 下定义用户名。

注意:使用空格的 OU 工作正常. 但是, 强烈建议避免使用空格的 LDAP 项目。而不是使用 "圣克拉拉" 使用 "圣诞老人克拉拉" 或 "Santa_Clara" 的统一性。

要列出可用组的 CLI 命令:

>> 显示用户组映射状态<group mapping="" name=""></group>

要在组中显示用户名的 CLI 命令:

>> 显示用户组名称<domain\group></domain\group>

所有者： jlunario