El nombre de usuario principal no se aplica a algunos usuarios como sAMAccountName y reconoce el correo electrónico como nombre de usuario principal
5511
Created On 12/15/21 20:35 PM - Last Modified 10/22/24 23:18 PM
Symptom
El nombre de usuario principal que utilizan los usuarios se reconoce por correo electrónico, no por sAMAccountName.
Environment
- Pan-OS
- El usuario-ID
- SAML
Cause
- GlobalProtect se basa en diferentes demonios para entregar el servicio.
- Authd y useridd son dos servicios GlobalProtect principales de los que depende la autenticación y la identificación del usuario.
- Authd acepta la entrada del usuario tal como está según el perfil de SAML autenticación (es decir, user@domain.com), y este nombre de usuario aparece en los registros del sistema.
- No hay ninguna opción en el SAML perfil de autenticación para especificar el dominio, a diferencia de otros tipos de servidor de autenticación.
- GlobalProtect se basa en el demonio useridd para obtener información de usuario o grupo para liberar la configuración y
- Useridd no tiene ninguna información de dominio/grupo/id de usuario para los SAML usuarios (y es por eso que SAML los grupos de usuarios no se pueden usar en las directivas de seguridad)
- Entonces, como parte de la normalización, el nombre de usuario se convierte en domain.com\user que usamos en la GlobalProtect configuración para que coincida con el usuario.
Resolution
When we need to use the user name in security policies, we need to use the format seen in the ip-user mapping (user@domain.com).