Le nom d’utilisateur principal n’est pas appliqué à certains utilisateurs en tant que sAMAccountName et reconnaît l’e-mail en tant que nom d’utilisateur principal
5513
Created On 12/15/21 20:35 PM - Last Modified 10/22/24 23:18 PM
Symptom
Le nom d'utilisateur principal utilisé par les utilisateurs est reconnu par e-mail, et non par sAMAccountName.
Environment
- Pan-OS
- Utilisateur-ID
- SAML
Cause
- GlobalProtect s’appuie sur différents démons pour fournir le service.
- Authd et useridd sont deux services GlobalProtect principaux dont dépendent l’authentification et l’identification de l’utilisateur.
- Authd accepte l’entrée utilisateur telle quelle selon le SAML profil d’authentification (c’est-à-dire user@domain.com), et ce nom d’utilisateur apparaît dans les journaux système.
- Il n’existe aucune option dans SAML le profil d’authentification pour spécifier le domaine, contrairement à d’autres types de serveurs d’authentification.
- GlobalProtect s’appuie sur le démon useridd pour les informations sur l’utilisateur et/ou le groupe afin de libérer la configuration et
- Useridd n'a pas d'informations de domaine/groupe/userid pour les utilisateurs (et c'est pourquoi SAML les SAML groupes d'utilisateurs ne peuvent pas être utilisés dans les stratégies de sécurité)
- Ainsi, dans le cadre de la normalisation, le nom d’utilisateur devient domain.com\user que nous avons utilisé dans la GlobalProtect configuration pour correspondre à l’utilisateur.
Resolution
When we need to use the user name in security policies, we need to use the format seen in the ip-user mapping (user@domain.com).