Surveillance de serveur configurée à l’aide de WinRM avec HTTP Kerberos montre non connecté

• La configuration de WinRM avec HTTP Kerberos indique que vous n’êtes pas connecté.
• L’état des journaux système " échec de la connexion, erreur Kerberos « .
• Le port 5985 est ouvert sur le firewall
• La commande ping vers le serveur Kerberos réussit.
• Accédez à Device > User identification > Palo Alto Networks User-ID Agent Setup > Server Monitor Account.
  • Configuration IP de l'adresse dans le nom du DNS domaine.

• Afficher les journaux système :

high     userid         connect 0  Server monitor MHG1DC01V(vsys1): connection failed, Kerberos error
high     userid         connect 0  Server monitor MHG2DC01V(vsys1): connection failed, Kerberos error
high     userid         connect 0  Server monitor MHG1DC01V(vsys1): connection failed, Kerberos error
high     userid         connect 0  Server monitor MHG2DC01V(vsys1): connection failed, Kerberos error           

• Examen de userid.logs

+1000 Error: pan_user_id_krb5_init_ticket(pan_user_id_win.c:2063): failed to get krb5 tgt ticket with error -1765328316.
+1000 Error: pan_user_id_krb5_init_ticket(pan_user_id_win.c:2068): krb5: accout=svcMHG2FW01Vuid, domain=TEST.PALOALTONETWORKS.COM.AU,principal=svcMHG2FW01Vuid@TEST.PALOALTONETWORKS.COM.AU,cached file=/opt/pancfg/.userid/krb5_cache_1_MHG1DC01V_1662698913.
+1000 Error: pan_user_id_krb5_init_ticket(pan_user_id_win.c:2094): krb5 error -1765328316: Realm not local to KDC.
+1000 Warning: pan_user_id_krb5_set(pan_user_id_win.c:2182): failed to acquire krb5 tgt ticket on vsys 1 for server MHG1DC01V.
+1000 Error: pan_user_id_winrm_query(pan_user_id_win.c:2725): failed to prepare winrm connection in vsys 1, server=MHG1DC01V.
+1000 connecting to ldap://[10.31.200.50]:389 ...
+1000 Error: pan_ldap_bind_simple(pan_ldap.c:396): ldap_sasl_bind result return(49) : Invalid credentials
+1000 Error: pan_ldap_ctrl_connect(pan_ldap_ctrl.c:1086): pan_ldap_bind() failed

• PAN-OS 
• USER-ID
• Surveillance à l’aide de WinRM sur HTTP

• Une adresse incorrecte DNS IP est utilisée dans le champ « Nom du DNS domaine » sous Device > User identification > Palo Alto Networks User-ID Agent Setup > Server Monitor Account

1. Entrez le DNS nom du serveur surveillé.
2. Si vous configurez l’accès aux serveurs surveillés à l’aide de Kerberos pour l’authentification du serveur, entrez le domaine Domaine Kerberos

• HOW TO CONFIGURE WINRM OVER HTTPS WITH BASIC AUTHENTICATION
• DEDICATED SERVICE ACCOUNT REQUIRED ACTIVE DIRECTORY SECURITY GROUPS FOR WINRM AGENTLESS USER-ID