Der primäre Benutzername wird auf einige Benutzer nicht als sAMAccountName angewendet und erkennt die E-Mail als primären Benutzernamen an
5513
Created On 12/15/21 20:35 PM - Last Modified 10/22/24 23:18 PM
Symptom
Die Verwendung des primären Benutzernamens durch Benutzer wird per E-Mail erkannt, nicht per sAMAccountName.
Environment
- Pan-OS
- Benutzer-ID
- SAML
Cause
- GlobalProtect verlässt sich auf verschiedene Daemons, um den Dienst bereitzustellen.
- Authd und useridd sind zwei Hauptdienste, GlobalProtect von denen die Authentifizierung und Benutzeridentifikation abhängt.
- Authd akzeptiert die Benutzereingabe gemäß dem SAML Authentifizierungsprofil (dh user@domain.com), und dieser Benutzername wird in den Systemprotokollen angezeigt.
- Im Gegensatz zu anderen Authentifizierungsservertypen gibt es im SAML Authentifizierungsprofil keine Option zum Angeben der Domäne.
- GlobalProtect verwendet den UserIDD-Daemon für Benutzer- und/oder Gruppeninformationen, um die Konfiguration freizugeben, und
- Useridd hat keine Domänen-/Gruppen-/Benutzer-ID-Informationen für die SAML Benutzer (und deshalb SAML können Benutzergruppen nicht in Sicherheitsrichtlinien verwendet werden)
- Im Rahmen der Normalisierung wird der Benutzername also zu domain.com\ Benutzer, den wir in der GlobalProtect Konfiguration verwendet haben, um dem Benutzer zu entsprechen.
Resolution
When we need to use the user name in security policies, we need to use the format seen in the ip-user mapping (user@domain.com).