如何配置组映射设置

wxiao — Tue, 17 Jan 2023 10:51:31 GMT

环境

Palo Alto 防火墙
PAN-OS 8.1或更高版本
组映射（Group Mapping）

概述

Palo Alto Networks防火墙可以从LDAP服务器（如Active Directory或eDirectory）检索用户到组的映射信息。这些数据可以通过防火墙的LDAP查询（通过无代理的User-ID）或通过配置为代理防火墙LDAP查询的User-ID代理来检索。本文件描述了如何在Palo Alto Networks防火墙上配置组映射。

步骤

配置 LDAP 服务器配置文件：如何配置 LDAP 服务器配置文件
配置如何从LDAP目录中检索组和用户，在PaloAlto防火墙上通过Device > User Identification > Group Mapping Settings创建一个新的组映射条目，然后点击 "Add"。请参考下面的屏幕截图。

输入一个名称。对于支持多个虚拟系统的Palo Alto网络，将有一个下拉列表（Location）供其选择。
在 "Server Profile "标签下的下拉列表中指定LDAP服务器配置文件（在步骤1中配置）。

注意：所有的属性（Attributes）和对象类别（Object Class）将根据你在 "LDAP服务器配置文件 "中选择的目录服务器类型进行填充。

用户组变化的默认更新时间间隔（Update Interval）是3600秒（1小时）。输入一个值来指定一个自定义的时间间隔。
点击转到 "Group Include List "标签。如果你想包括所有的组，就把包括列表留空，否则从左边一栏中选择要包括的组，这些组应该被映射。

CLI命令检查检索的组和与LDAP服务器的连接：

> show user group-mapping state all

> show user group list

> show user group name <group name>

注意：当多个组映射配置在同一基础DN或LDAP服务器上时，每个组映射必须包括不重叠的组，即包括组列表不能有任何共同的组。

article 如何配置组映射设置 in 配置和实施

如何配置组映射设置

环境

概述

步骤