FAQs für Active Directory-Benutzer und -Gruppen

Informationen zum Konfigurieren eines AD-Servers und zum Importieren von AD-Gruppen in die Firewall finden Sie unter Konfigurieren der Active Directory-Authentifizierung.

Importieren Sie in einem Hochverfügbarkeitscluster AD-Gruppen auf das primäre Gerät.

Nein. Sie müssen die Gruppe mit dem Import-Assistenten importieren. Siehe Active Directory-Gruppen importieren.

Alternativ können Sie die Gruppe sowohl auf dem AD-Server als auch auf der Firewall manuell erstellen.

Beim Importieren von AD-Gruppen werden nur die von Ihnen ausgewählten Gruppen importiert. Bei jeder Anmeldung werden die Benutzer von der Firewall auf Authentifizierung > Benutzer, wertet ihre Gruppen aus und wendet die Aktualisierungen an.

Wenn sich ein Benutzer anmeldet und keine der AD-Gruppen des Benutzers in der Firewall vorhanden ist, weist die Firewall den Benutzer der Standardgruppe zu.

Sie können die Standardgruppe auf Authentifizierung > Leistungen, unter Firewall-Authentifizierungsmethoden. Standardmäßig ist es Offene Gruppe.

Active Directory fügt seine primären Gruppeninformationen nicht den Benutzer- oder Gruppenattributen hinzu. Daher werden die Informationen nicht zur Firewall hinzugefügt.

Wenn Sie die standardmäßige primäre Gruppe des AD beibehalten als Domänenbenutzer, fügt die Firewall dieser Gruppe keine Benutzer hinzu. Wenn Sie die primäre Gruppe des AD in eine andere ändern, z. B. Gruppe A, fügt die Firewall dieser Gruppe keine Benutzer hinzu.

Sehen Sie sich das Verhalten in den folgenden Beispielen an:

In der Firewall haben AD-Benutzer eine Hauptgruppe und weitere Gruppenmitgliedschaften.

Gehe zu Authentifizierung > Benutzer und klicken Sie auf den gewünschten Benutzer. Die Gruppen des Benutzers finden Sie unter Richtlinien wie folgt:

• Gruppe: Die erste Gruppe des Benutzers in der Gruppenliste der Firewall, wenn dieser authentifiziert wird. Dies ist die Hauptgruppe des Benutzers in der Firewall. Einige Regeln und Richtlinien unterstützen nur die Hauptgruppe. Siehe Unterstützung für Active Directory-Gruppenmitgliedschaften.
• Andere Gruppenmitgliedschaften: Andere Gruppen, denen der Benutzer angehört.

Hier ist ein Beispiel:

Verwenden Sie den Importassistenten im Primärgerät. Siehe Active Directory-Gruppen importieren.

Verschachtelte Gruppen werden nicht unterstützt. Sie müssen jede Untergruppe mithilfe des Importassistenten importieren.

Die Gruppenbestellung auf Authentifizierung > Gruppen in der Firewall bestimmt die Hauptgruppe des Benutzers.

Die Hauptgruppe eines Benutzers in der Firewall kann sich aus folgenden Gründen ändern:

• Hinzufügen oder Löschen der Benutzergruppe oder Ändern der Gruppenmitgliedschaft des Benutzers in AD.
• Ändern der Gruppenreihenfolge auf Authentifizierung > Gruppen in der Firewall. Ziehen Sie die Hauptgruppe des Benutzers per Drag & Drop unter die anderen Gruppen, zu denen der Benutzer gehört.

Bei der nächsten Anmeldung fügt die Firewall den Benutzer basierend auf den in AD vorgenommenen Änderungen zu Gruppen hinzu oder entfernt ihn daraus. Anschließend wertet sie die Reihenfolge der Gruppen in der Firewall aus und legt die erste Gruppe des Benutzers in der Liste als Hauptgruppe fest.

Gehen Sie wie folgt vor:

1. Gehe zu Authentifizierung > Gruppen.

2. Klicken Neu anordnen.

   

3. Ziehen Sie die gewünschte Gruppe per Drag & Drop.

4. Klicken Schließen.

Einige Regeln und Richtlinien unterstützen die Mitgliedschaft mehrerer Gruppen für Benutzer. Andere unterstützen nur die Hauptgruppe des Benutzers. Siehe Unterstützung für Active Directory-Gruppenmitgliedschaften.

Bei Regeln und Richtlinien, die mehrere Gruppenmitgliedschaften unterstützen, gleicht die Firewall die Regel oder Richtlinie mit dem Datenverkehr ab und wählt dann die erste passende Gruppe in der Regel oder Richtlinie aus. Dies kann die Hauptgruppe oder eine der anderen Gruppenmitgliedschaften sein. Siehe Unterstützung für Active Directory-Gruppenmitgliedschaften.

Nein, MFA unterstützt nur die Hauptgruppe des Benutzers. Siehe Authentifizierung.

Sie können die Richtlinien und Einstellungen aktualisieren auf Authentifizierung > GruppenAlternativ können Sie diese für bestimmte Benutzer aktualisieren auf Authentifizierung > Benutzer.

Wenn Sie die Richtlinien und Einstellungen für einen Benutzer festlegen, haben diese Vorrang vor den Richtlinien und Einstellungen der Gruppe.

Sie müssen warten, bis sich der Benutzer das nächste Mal anmeldet. Bei jeder Anmeldung eines Benutzers wendet die Firewall alle Aktualisierungen auf die Gruppen, die Gruppenreihenfolge sowie die Richtlinien und Einstellungen des Benutzers an.

Gehen Sie wie folgt vor:

1. Löschen Sie sie auf dem AD-Server.
2. Löschen Sie sie in der Firewall.

Sie müssen die Benutzer sowohl vom AD-Server als auch von der Firewall löschen. Wenn Sie die Benutzer nicht vom AD-Server löschen, werden sie in der Firewall erneut erstellt und beim Anmeldeversuch authentifiziert.

Gehen Sie wie folgt vor:

1. Löschen Sie zuerst die Benutzer vom AD-Server.

2. Löschen Sie diese Benutzer in der Firewall wie folgt:

   1. Gehe zu Authentifizierung > Benutzer.

   2. Klicken AD-Benutzer bereinigen.

      Sie müssen diese Benutzer nicht auswählen. Die Firewall prüft den AD-Server und löscht nur AD-Benutzer, die Sie bereits vom Server gelöscht haben.

      Löschen Sie in einem Hochverfügbarkeitscluster AD-Benutzer auf dem primären Gerät. Die Firewall löscht diese AD-Benutzerdatensätze vom primären und sekundären Gerät.

   Eine Bereinigung unterbricht nicht die Anmeldung, Abmeldung und Benutzerabrechnung der Benutzer.

Die Firewall exportiert nur manuell erstellte Benutzer. Benutzer, die über einen externen Authentifizierungsserver wie AD und RADIUS authentifiziert wurden, werden nicht exportiert, obwohl sie bei der Anmeldung automatisch zur Firewall hinzugefügt werden.

Sie können die AD-Gruppen exportieren, die Sie importieren, und die, die Sie manuell in der Firewall erstellen.

Alle Gruppen und Benutzer, einschließlich derer vom Authentifizierungsserver, sind Teil der von Ihnen erstellten Sicherungen.

Um Benutzer mit mehreren UPNs zu authentifizieren, die zum selben Domänenserver gehören, müssen Sie DNS-Einträge für jede Domäne mit der IP-Adresse des Domänenservers erstellen und anschließend AD-Server für jede Domäne mit dem AD-Domänennamen als Suchabfrage konfigurieren. Siehe Authentifizierung Multi-UPN-Konfiguration.

Ja. Siehe Synchronisierte Benutzer-ID-Authentifizierung.

Nein. Siehe Synchronisierte Benutzer-ID-Authentifizierung.

NEIN.