Cómo verificar la WMI conectividad remota mediante WBEMTEST
69087
Created On 04/30/19 03:20 AM - Last Modified 07/19/22 03:21 AM
Objective
– Lograr una conexión correcta de Palo Alto Networks firewall al servidor de Active Directory mediante un método de usuario sin ID agente.
– Verifique WMI la conectividad remota desde el cliente de Windows al servidor de Active Directory (controlador de dominio).
Environment
Palo Alto Networks firewall configurado con agentless User- ID method to Microsoft Active Directory server Monitoring muestra el acceso
denegado para uno o más AD servidores Log desde
useridd.log similar al siguiente (tiene NT código):
Error: pan_user_id_win_sess_query(pan_user_id_win.c:1498): session query for dc03.panlab.test failed: NTSTATUS: NT code 0x80041003 - NT code 0x80041003 Error: pan_user_id_win_get_error_status(pan_user_id_win.c:1040): WMIC message from server dc03.panlab.test: NTSTATUS: NT code 0x80041003 - NT code 0x80041003
Procedure
Consulte la siguiente guía para configurar la pertenencia al grupo y WMI los permisos: cómo configurar la pertenencia a grupos sin agenteID
configurada para una cuenta de servicio se replican en todos los AD servidores del dominio.
– WMI los permisos deben configurarse en cada servidor AD (es la configuración local y se NOT replica en otro AD servidor).
En este ejemplo, estamos utilizando los siguientes parámetros:
- AD servidor: dc03.panlab.test
- Nombre de usuario de la cuenta de servicio: svc_paloalto
Para verificar WMI la conectividad remota al AD servidor, una de las herramientas disponibles es , que está disponible en la WBEMTEST mayoría del sistema Windows.
Ejecute los pasos siguientes desde cualquier equipo Windows (miembro del dominio). No se ejecute desde el AD propio servidor.
STEP 1: Vaya a Inicio, escriba wbemtest en el cuadro Buscar o Ejecutar
STEP 2: Se iniciará la nueva ventana titulada "Probador de instrumentación de administración de Windows". Observe que la mayoría de los botones están deshabilitados (atenuado)
STEP 3: Haga clic en Conectar
STEP 4: Especificar espacio de nombres: \\dc03.panlab.test\root\cimv2
STEP 5: Proporcionar nombre de usuario de la cuenta de servicio svc_paloalto y su contraseña
STEP 6: Haga clic en Conectar
STEP 7: Observe si hay algún mensaje de error mostrado (anotar número de error y descripción del error y ver este artículo WMIConstantes de error)
STEP 8: En una conexión correcta, compruebe que el espacio de nombres y todos los botones están habilitados (no atenuados) El error más común es
0x80041003. Esto indica que la cuenta de servicio no tiene permiso para conectarse WMI de forma remota. Asegúrese de que el AD servidor está configurado con los permisos adecuados para esa cuenta de servicio WMI (Habilitar acceso, Habilitar remotamente y Leer seguridad).
Additional Information
Para obtener información adicional, revise los siguientes recursos: Cómo configurar el usuario
sin agente-ID
Usuario sin agente- Error de ID 'acceso denegado' en el
monitor del servidor Usuario sin agente- Error al analizar los vínculos externos del registro de ID seguridad:
Introducción aWBEMTEST
las WMIconstantes de error