Интеграция Palo Alto Networks с Active Directory используя LDAP

Lightweight Directory Access Protocol (LDAP) - это стандартный протокол для доступа к информационным каталогам. Вы можете настроить LDAP-аутентификацию для конечных пользователей и для администраторов фаервола и Panorama.

Настройка брандмауэра для подключения к серверу LDAP также позволяет вам определять правила политики на основе пользователей и групп пользователей, а не только IP-адресов.

В данной статье мы разберём интеграцию с ActiveDirectory используя LDAP.

ШАГ 1. Определите учетную запись для интеграции.

Вы можете использовать любую доменную учетную запись для интеграции с LDAP. Мы советуем создать отдельного пользователя для User-ID интергации с ролями, перечисленными ниже.

Примечание: Данные роли так же не обязательны для интеграции с LDAP. Они нужны, если вы будете использовать эту же учетную запись при настройке User-to-IP mapping

-Event Log Reader

-Distributed COM Users

-Server Operators

ШАГ 2.Определите Base DN и Bind DN.

Base DN - это место, с которого PAN начнет поиск в структуре каталогов.

Bind DN - это имя пользователя, которое будет использоваться для поиска и запроса аутентификации.

Используйте команду ниже для определение Bind DN:

dsquery user -name “имя пользователя”

Base DN вы найдёте перейдя в раздел Active Directory Users and Computers, как указано на картинке ниже.

ШАГ 3. Настройте LDAP server profile на стороне фаервола.

Перейдите во вкладку Device > Server Profile > LDAP

Укажите информацию для подключения к сервису( IP-адрес сервера, порт, Base DN, Bind DN и пароль данного пользователя ) как указано на картине ниже.

Примечание: TCP-порт 389 является стандартным портом для незашифрованного и/или TLS подключения, порт 636 используется, когда выбрано требование защищенного соединения SSL

После заполнения информации, нажмите ОК, а затем Commit.

ШАГ 4. Проверьте, что интеграция с LDAP работает корректно.

Перейдите во вкладку Device tab > User Identification > Group Mapping List.

Если Вам удалось открыть данную папку и вы видите директории, то интеграция с Active Directory через LDAP настроена правильно.