¿Cómo forzar las credenciales de usuario con un certificado de cliente válido cuando se permite la autenticación del certificado de cliente de credenciales OR de usuario?
20190
Created On 04/21/21 23:49 PM - Last Modified 04/23/24 01:55 AM
Objective
Puede haber escenarios en los que desee que se solicite a cierto grupo de usuarios las credenciales de usuario aunque haya un certificado de GlobalProtect cliente válido instalado en sus equipos.
Environment
- PAN-OS 9.0 y superior
- Palo Alto Firewall con GlobalProtect configurado
- LDAP autenticación y perfil de certificado con campo de nombre de usuario configurado tanto en el portal como GlobalProtect en la puerta de enlace
- Permitir autenticación con credenciales OR de usuario Certificado de cliente establecido en Sí
Procedure
- GlobalProtect La autenticación del portal o de la puerta de enlace se puede segregar solo en función del cliente OS .
- Cuando la opción Permitir autenticación con credenciales OR de usuario Certificado de cliente se establece en Sí como se muestra arriba, es obligatorio tener el campo de nombre de usuario establecido en el perfil de certificado para crear una GP asignación después de una autenticación correcta del certificado de cliente.
- Con la opción anterior, primero se autenticaría usando el certificado de cliente y, si falla, GlobalProtect solicitaría al usuario las credenciales.Para forzar la solicitud de credenciales de usuario para ciertos usuarios, seleccione un campo que esté vacío en Campo de nombre de usuario. Aunque el certificado de cliente está firmado por el certificado al que se hace referencia en el perfil de certificado, se producirá un error en la autenticación del certificado de cliente ya que no se puede extraer el CA nombre de usuario. A continuación, se le pedirán al usuario las credenciales de usuario.
Additional Information
La restricción de campo de nombre de usuario se ha eliminado de PAN-OS 9.1.11 y 10.0.8 para adaptarse a ciertos escenarios. Tenga en cuenta que la autenticación basada en certificados de cliente pura no se realizará correctamente si no se puede extraer el nombre de usuario del certificado de cliente.