LDAP 使用组包括列表时，组映射无法检索某些组

FW(active)> show user group-mapping state <name> 
Example:
FW(active)> show user group-mapping state Group-Mapping-Configuration

Group Mapping((null), type: active-directory): Group-Mapping-Configuration
        Bind DN    : svc_panldap@company.com
        Base       : DC=company,DC=com
        Group Filter: (None)
        User Filter: (None)
        Servers    : configured 1 server
                10.0.0.1(389)
                        Last Action Time: 147 secs ago(took 3 secs)
                        Next Action Time: In 3453 secs
        Number of Groups: 1
        cn=domain users,ou=group,dc=company,dc=com    <-- Only 1 group is retrieved when there are many

FW(active)> show log system direction equal backward subtype equal "userid"
Time Severity Subtype Object EventID ID Description
===============================================================================
xxxx  info     userid   connect 0  ldap cfg Group-Mapping-Configuration connected to server 
                                   10.0.0.1:389, initiated by: 10.0.0.2

FW(active)> less mp-log useridd.log
xxxx ldap cfg Group-Mapping-Configuration connected to 10.0.0.1:389(index 2)
xxxx Warning:  pan_ldap_ctrl_search_single_group(pan_ldap_ctrl.c:3462): failed to get group
               obj for 'cn=users,cn=group,dc=company,dc=com'

• 帕洛阿尔托 Firewall 管理 Panorama 。
• 一个尼 PAN-OS
• LDAP 组映射配置与组包括列表
• 组包括列表可能已配置并从 Panorama

• 该组包括列表可能已配置为不正确的字符或 AD 森林容器，如意外地将 CN OU 路径中的""换"换成" AD
• 检查组包含列表以验证当前配置的语法：

  FW(active)> show config merged | match group-include-list
  
  group-include-list [ "cn=Domain Users,ou=group,DC=company,dc=com" "cn=users,cn=group,dc=company,dc=com"];
  

• 从 WEB-UI " LDAP 可用组"下浏览树并验证从服务器返回的实际组名 LDAP ：

• 在上面，我们看到"包括组"被配置为"cn=用户，cn=组，直流公司，直流"，但从服务器返回的组 LDAP 是"cn=用户，ou=组，直流公司，直流"com
• 如果管理员在无法 Panorama 使用树浏览器查找可用组时配置组包括列表，则此错误配置更有可能发生 LDAP ，而该列表必须手动配置。